La protection des données patients en clinique ne se résume plus à verrouiller un serveur et nommer un DPO. Le règlement européen sur l’Espace européen des données de santé (EEDS) ajoute une couche sectorielle au RGPD, avec des restrictions explicites sur l’usage secondaire et l’interdiction de réidentification hors environnements autorisés. Pour les structures de soins, le sujet a basculé de la conformité documentaire vers la sécurité opérationnelle quotidienne.
Anonymisation des données de santé : un traitement soumis au RGPD
Nous observons encore trop de cliniques qui considèrent l’anonymisation comme une opération technique neutre, sans encadrement juridique propre. Le CEPD a clarifié ce point : l’anonymisation elle-même constitue un traitement de données personnelles soumis au RGPD. Tant que le risque de réidentification n’est pas maîtrisé, les données restent sous le régime des données personnelles, avec toutes les obligations qui en découlent.
La distinction entre pseudonymisation et anonymisation n’est pas qu’un débat terminologique. Une donnée pseudonymisée (remplacement du nom par un identifiant) reste une donnée personnelle au sens du règlement. Seule l’anonymisation irréversible fait sortir la donnée du périmètre RGPD, à condition de démontrer que la réidentification est impossible par recoupement.
En pratique, pour une clinique qui transmet des jeux de données à un prestataire d’analyse ou à un éditeur de logiciel, la charge de la preuve repose sur le responsable de traitement. Documenter la méthode d’anonymisation, évaluer le risque résiduel de réidentification et conserver cette analyse dans le registre des traitements : ces étapes ne sont pas optionnelles.
Espace européen des données de santé : ce que l’EEDS change pour les cliniques
L’EEDS ne remplace pas le RGPD. Il s’y superpose pour encadrer spécifiquement l’utilisation secondaire des données de santé (recherche, innovation, santé publique). Les cliniques sont directement concernées dès qu’elles partagent des données au-delà du parcours de soins du patient.
Interdictions explicites et environnements sécurisés
Le règlement introduit des interdictions franches. Les usages commerciaux visant à défavoriser un patient sont expressément prohibés, tout comme les décisions individuelles automatisées fondées sur des données de santé secondaires. Ce cadre va bien au-delà de ce que le RGPD prévoyait en termes de limitation de finalité.
L’accès aux données pour usage secondaire doit se faire dans des environnements de traitement sécurisés. Le téléchargement de données hors de ces environnements est interdit. Pour une clinique qui collabore avec un laboratoire de recherche ou un éditeur d’IA médicale, cela signifie que les données ne quittent jamais l’infrastructure autorisée.
Impact sur les conventions de partage existantes
Nous recommandons de réauditer les conventions de mise à disposition de données signées avant l’entrée en vigueur de l’EEDS. Les clauses de finalité, de durée de conservation et de localisation des traitements doivent être alignées sur ce nouveau cadre sectoriel, sous peine de non-conformité cumulée RGPD et EEDS.
IA en santé et gouvernance des données patients tout au long du cycle de vie
L’intégration d’outils d’intelligence artificielle dans les cliniques (aide au diagnostic, comptes rendus médicaux générés par IA, tri de dossiers) déplace le risque. La conformité ne se joue plus uniquement au moment de la collecte, mais à chaque étape du cycle de vie de la donnée.
- Minimisation à la source : ne transmettre au modèle que les données strictement nécessaires à la tâche, jamais le dossier complet du patient par défaut.
- Exactitude et traçabilité : vérifier la qualité des données d’entraînement et documenter leur provenance, y compris quand un éditeur tiers fournit le modèle pré-entraîné.
- Validation clinique avant déploiement : un compte rendu médical généré par IA reste sous la responsabilité du professionnel de santé signataire, qui doit pouvoir en contester ou corriger le contenu.
- Transparence envers le patient : informer explicitement de l’utilisation d’un traitement algorithmique dans le parcours de soins, conformément aux exigences de la CNIL.
La responsabilité du professionnel de santé ne se délègue pas à l’éditeur du logiciel. Même lorsqu’un outil tiers génère un compte rendu ou propose un diagnostic, c’est la clinique qui reste responsable de traitement au sens du RGPD.
Obligations concrètes de gestion des droits patients en clinique
Les articles grand public s’arrêtent souvent au droit d’accès et au droit de rectification. En pratique, les droits des patients sur leurs données de santé posent des difficultés opérationnelles spécifiques que les équipes administratives sous-estiment.
Droit de rectification sur un dossier médical
Un patient qui conteste une information clinique dans son dossier exerce un droit de rectification. La clinique ne peut pas modifier unilatéralement une observation médicale, mais doit annexer la contestation au dossier. Le dossier médical ne se « corrige » pas comme une fiche client : la traçabilité des versions successives est une obligation.
Portabilité et transfert entre structures
Le droit à la portabilité prend une dimension nouvelle avec l’EEDS, qui distingue portabilité dans le cadre des soins (usage primaire) et mise à disposition pour la recherche (usage secondaire). Les formats d’export, les délais de réponse et les garanties de sécurité lors du transfert doivent être formalisés dans les procédures internes.
- Mettre en place un circuit de traitement des demandes de portabilité avec un délai de réponse documenté.
- Vérifier que le format d’export est interopérable (les standards d’interopérabilité promus par l’ANS en France servent de référence).
- S’assurer que le transfert vers une autre structure se fait via un canal chiffré, avec accusé de réception.
Le registre des traitements doit refléter ces flux. Une clinique qui transfère régulièrement des dossiers sans tracer ces opérations s’expose à un défaut de conformité détectable lors d’un contrôle CNIL.
La protection des données patients n’est plus un sujet périphérique géré par le service informatique. Entre l’EEDS, les exigences du CEPD sur l’anonymisation et la montée en puissance de l’IA médicale, chaque clinique doit structurer une gouvernance des données transversale, impliquant direction médicale, DPO et équipes techniques sur un pied d’égalité.
