Données de santé et RGPD : ce que l'entreprise doit sécuriser

Sommaire

Données de santé et RGPD : ce que l'entreprise doit sécuriser

Ce qu'est une donnée de santé au sens du RGPD

Pourquoi ces données relèvent de l'article 9

Dans quels cas l'entreprise peut les traiter

Obligations du responsable de traitement (DPO, registre, AIPD)

Sanctions CNIL et risques en cas de non-conformité

Bonnes pratiques pour sécuriser les traitements de santé

FAQ

Pour aller plus loin

Données de santé et RGPD : ce que l'entreprise doit sécuriser

Les données de santé circulent dans le système d'information de toute entreprise : gestion des arrêts maladie, déclarations de mutuelle, dossiers de médecine du travail, applications RH intégrant des indicateurs d'absentéisme. Pour un DSI, ces flux représentent un risque juridique précis. Le RGPD classe ces informations parmi les données sensibles et soumet leur traitement à un régime d'interdiction de principe. Une qualification erronée ou un hébergement non conforme expose l'entreprise à des sanctions financières et à une mise en cause directe du responsable de traitement.

Ce qu'est une donnée de santé au sens du RGPD

L'article 4, paragraphe 15, du RGPD définit les données de santé comme les données à caractère personnel relatives à la santé physique ou mentale d'une personne, y compris la prestation de services de soins, qui révèlent des informations sur son état de santé. Le considérant 35 du règlement élargit cette définition à 3 catégories :

Un point souvent sous-estimé : la qualification ne dépend pas du document, mais de l'information qu'il révèle. Un tableau de bord RH affichant le taux d'arrêts maladie par service ne contient pas de diagnostic, mais peut constituer une donnée de santé dès lors qu'il permet d'identifier un salarié et d'en déduire un état de santé.

Pourquoi ces données relèvent de l'article 9

L'article 9 du RGPD pose une interdiction de principe : le traitement des données sensibles — dont les données de santé — est interdit sauf exceptions limitatives. Cette rigueur s'explique par le risque de discrimination. Un employeur qui accède à des informations sur la séropositivité ou la dépression d'un salarié dispose d'un levier susceptible d'affecter des décisions de carrière.

En droit français, la loi Informatique et Libertés (article 6) renforce cette protection en imposant des conditions supplémentaires, notamment l'intervention d'un professionnel de santé soumis au secret médical pour certains traitements.

Qualifier correctement les données de santé traitées par votre SI est le préalable à toute mise en conformité RGPD.
Consultez un avocat spécialisé en données personnelles de santé

Dans quels cas l'entreprise peut les traiter

L'article 9, paragraphe 2, du RGPD énumère 10 exceptions. En pratique, 3 bases légales couvrent la majorité des traitements de données de santé en entreprise :

1. Obligations légales en droit du travail et de la protection sociale (article 9.2.b) : gestion de la paie incluant les indemnités journalières, déclarations sociales nominatives (DSN), suivi des arrêts de travail imposé par le Code du travail.
2. Médecine du travail et évaluation de la capacité de travail (article 9.2.h) : visites médicales obligatoires, avis d'aptitude ou d'inaptitude. Ces traitements doivent être réalisés sous la responsabilité d'un professionnel de santé.
3. Consentement explicite (article 9.2.a) : utilisable pour des dispositifs volontaires (programme de bien-être, téléconsultation proposée par l'employeur). Le consentement doit être libre, éclairé, spécifique et révocable — ce qui exclut les situations où le salarié subit une pression hiérarchique.

Obligations du responsable de traitement (DPO, registre, AIPD)

Le responsable de traitement — en pratique, l'entreprise représentée par son dirigeant — supporte l'ensemble des obligations de conformité. Pour un DSI, cela se traduit par 3 chantiers opérationnels.

Désignation d'un DPO

La désignation d'un délégué à la protection des données (DPO) est obligatoire lorsque l'organisme traite des données de santé à grande échelle (article 37 du RGPD). La CNIL considère qu'un groupe de plus de 250 salariés gérant en interne la médecine du travail entre dans ce périmètre.

Tenue du registre des traitements

Chaque traitement impliquant des données de santé doit figurer dans le registre des activités de traitement (article 30). Le registre précise la finalité, les catégories de données, les destinataires, les durées de conservation et les mesures de sécurité.

Analyse d'impact (AIPD)

L'AIPD (analyse d'impact relative à la protection des données) est obligatoire pour tout traitement de données de santé à grande échelle ou présentant un risque élevé (article 35). La CNIL a publié une liste de traitements soumis à AIPD qui inclut explicitement les traitements de données de santé à des fins de gestion RH dès lors qu'ils concernent un volume significatif de personnes.

Structurer la gouvernance des données de santé dans votre SI nécessite un cadrage juridique adapté à votre architecture technique.
Échangez avec un avocat spécialisé en données de santé

Sanctions CNIL et risques en cas de non-conformité

Le non-respect des règles applicables aux données de santé expose à 2 niveaux de sanctions.

Sanctions administratives. L'article 83 du RGPD prévoit des amendes pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial. En 2024, la CNIL a prononcé une amende de 800 000 euros à l'encontre d'une société éditant un logiciel médical pour défaut de sécurisation des données de santé hébergées. En 2022, Dedalus Biologie avait été sanctionnée à hauteur de 1,5 million d'euros après une fuite de données médicales concernant près de 500 000 patients.

Sanctions pénales. L'article 226-17 du Code pénal punit de 5 ans d'emprisonnement et 300 000 euros d'amende le fait de ne pas mettre en œuvre les mesures de sécurité prescrites.

Au-delà des sanctions, une violation de données de santé déclenche une obligation de notification à la CNIL sous 72 heures (article 33 du RGPD) et, si le risque est élevé, une information individuelle des personnes concernées.

Bonnes pratiques pour sécuriser les traitements de santé

La sécurisation des données de santé repose sur des mesures techniques et organisationnelles que le DSI doit intégrer dès la conception des traitements (privacy by design, article 25 du RGPD).

• Hébergement certifié HDS : en France, tout hébergeur de données de santé doit détenir la certification HDS (Hébergeur de Données de Santé), délivrée par un organisme accrédité par le COFRAC. Cette obligation s'applique aussi aux prestataires SaaS et cloud.
• Chiffrement : chiffrement des données au repos (AES-256 minimum) et en transit (TLS 1.2 ou supérieur).
• Contrôle d'accès : principe du moindre privilège. Seuls les personnels habilités accèdent aux données de santé, avec traçabilité des accès.
• Cloisonnement : séparation logique entre les données de santé et les autres données RH dans le SI.
• Audits réguliers : tests d'intrusion et revues d'habilitations au minimum annuels.
• Gestion des sous-traitants : contrat conforme à l'article 28 du RGPD avec chaque prestataire accédant aux données de santé, incluant des clauses d'audit et de notification d'incident.

Sécuriser vos traitements de données de santé implique un cadrage juridique de vos contrats d'hébergement et de sous-traitance.
Faites appel à un avocat en données personnelles de santé

FAQ

Un simple arrêt de travail constitue-t-il une donnée de santé au sens du RGPD ?

Oui. Un arrêt de travail, même sans mention du diagnostic, révèle une information sur l'état de santé d'une personne identifiée. Il entre dans le champ de l'article 4.15 du RGPD et doit être traité selon les exigences de l'article 9.

L'entreprise doit-elle réaliser une AIPD pour la gestion des arrêts maladie ?

L'AIPD est obligatoire lorsque le traitement porte sur des données de santé à grande échelle ou présente un risque élevé. Pour une entreprise de plusieurs centaines de salariés gérant les arrêts maladie de manière centralisée, la CNIL recommande de la réaliser.

Un logiciel RH en mode SaaS hébergeant des données de santé doit-il être certifié HDS ?

Oui. Dès lors qu'un prestataire héberge des données de santé pour le compte d'un tiers, la certification HDS est requise en droit français. Le DSI doit vérifier cette certification avant toute contractualisation.

Qui est responsable en cas de fuite de données de santé : l'entreprise ou le prestataire ?

L'entreprise, en tant que responsable de traitement, reste juridiquement responsable. Le sous-traitant engage sa propre responsabilité au titre de l'article 28 du RGPD, mais cela ne décharge pas le responsable de traitement de ses obligations de contrôle et de notification.

Le consentement du salarié suffit-il pour traiter ses données de santé ?

Le consentement est une base légale valide uniquement s'il est libre, éclairé et spécifique. Dans une relation de travail, la CNIL considère que le lien de subordination peut altérer la liberté du consentement. Les obligations légales ou la médecine du travail constituent des bases plus solides pour les traitements courants.

Pour aller plus loin

Qu'est-ce qu'une donnée de santé ? - CNIL

Les données de santé en pratique - CNIL

Obligations en matière de protection des données personnelles (RGPD) - Service-Public.fr

SWIM LEGAL est une alternative au cabinet d'avocats traditionnel pour les besoins juridiques des entreprises. Incubé par le Barreau de Paris, SWIM a reçu le Prix de l'Innovation pour sa solution permettant à toute entreprise, quelle que soit sa taille ou sa localisation, d'accéder rapidement via la plateforme à des avocats d'affaires expérimentés. Les entreprises peuvent déposer leur besoin — qu'il s'agisse d'un dossier, d'une consultation ou d'un renfort temporaire — de manière confidentielle et recevoir des propositions d'avocats pour répondre rapidement à leur demande.