DPO externe santé : protéger les données de santé sans temps plein

Sommaire

Quelles structures de santé doivent désigner un DPO ?

Pourquoi externaliser le DPO dans le secteur de la santé

Missions du DPO externe face aux données de santé

Hébergement HDS et sous-traitants : les points de vigilance

DPO externe, temps partagé ou salarié : comparer les options

Faut-il un avocat aux côtés du DPO externe santé ?

Les limites de l'externalisation du DPO en santé

FAQ

Pour aller plus loin

Quelles structures de santé doivent désigner un DPO ?

Une structure de santé doit désigner un délégué à la protection des données (DPO) lorsqu'elle traite des données de santé à grande échelle. La CNIL précise que cabinets médicaux, pharmacies et laboratoires de biologie médicale n'y sont tenus que dans ce cas, par exemple en cas d'exercice en réseau, en maison de santé, en centre de santé ou avec des dossiers partagés entre plusieurs professionnels.

La CNIL apprécie la grande échelle selon 4 critères :

• le nombre de personnes concernées ;
• le volume et les catégories de données traitées ;
• la durée ou la permanence du traitement ;
• l'étendue géographique de l'activité.

Ainsi, le traitement des données de patients par un hôpital dans le cadre normal de ses activités constitue un traitement à grande échelle. Le même raisonnement vise les éditeurs de logiciels et startups e-santé dont l'activité repose sur les données de nombreux patients. En revanche, un praticien exerçant seul n'est pas tenu de désigner un DPO, mais reste soumis aux autres obligations du RGPD.

Pourquoi externaliser le DPO dans le secteur de la santé

La plupart des structures de santé soumises à l'obligation n'ont pas un volume de travail justifiant un DPO à temps plein. Le RGPD autorise cette solution : le DPO peut être un membre du personnel ou exercer sur la base d'un contrat de service (article 37 du RGPD).

Le DPO externe santé répond à 3 contraintes du dirigeant :

1. Un volume ajustable : l'intervention se facture à l'heure, à la journée ou au forfait, selon les projets en cours.
2. Des connaissances spécialisées : la CNIL exige du DPO une compétence en protection des données, que le prestataire apporte sans formation préalable.
3. L'absence de conflit d'intérêts : le DPO ne doit pas contrôler des traitements qu'il pilote lui-même, ce qui écarte souvent le responsable informatique ou administratif.

Toutefois, l'externalisation ne transfère pas la responsabilité. La structure reste responsable de traitement, c'est-à-dire l'entité qui décide pourquoi et comment les données sont traitées.

Le choix du modèle de DPO détermine la manière dont la conformité des données de santé sera pilotée au quotidien.
Consulter un avocat spécialisé en protection des données

Missions du DPO externe face aux données de santé

Le DPO externe informe, conseille et contrôle la structure sur sa conformité au RGPD, sans décider à sa place. Dans la santé, ses missions portent sur des données sensibles : dossiers patients, résultats d'analyses, téléconsultation, objets connectés.

L'analyse d'impact est une étude documentée des risques qu'un traitement fait peser sur les personnes, menée avant sa mise en œuvre. Le DPO en conseille la réalisation, tandis que le responsable de traitement la conduit. Le DPO est enfin le point de contact de la CNIL et des patients.

Hébergement HDS et sous-traitants : les points de vigilance

Toute structure qui confie des données de santé à un hébergeur numérique doit vérifier que celui-ci est certifié HDS (hébergeur de données de santé). L'article L1111-8 du Code de la santé publique impose cette certification pour l'hébergement de données de santé pour le compte de tiers sur support numérique. Un logiciel de cabinet en SaaS ou un stockage cloud sont donc concernés.

Le DPO externe intervient à 3 moments :

• Avant la signature : contrôle du certificat HDS et de son périmètre.
• À la contractualisation : vérification des clauses de sécurité, de confidentialité et de restitution des données.
• Pendant l'exécution : suivi des incidents et des changements de sous-traitant.

Ces vérifications ont une limite. Le DPO signale qu'une clause manque ; en revanche, rédiger ou négocier cette clause relève de la consultation juridique, réservée aux avocats lorsqu'elle est pratiquée pour autrui à titre habituel et rémunéré.

Les contrats d'hébergement et de sous-traitance déterminent qui répond d'une fuite de données de santé.
Faire relire ses contrats par un avocat en protection des données

DPO externe, temps partagé ou salarié : comparer les options

Le modèle adapté dépend du volume de traitements, de la stabilité de l'activité et du besoin de conseil juridique.

Le temps partagé désigne un professionnel qui intervient pour plusieurs structures, quelques jours par mois chacune. Le CDD répond à un pic de charge, alors que la fonction de DPO s'inscrit dans la durée. La mise à disposition par une agence d'intérim peut couvrir une absence, à condition que le profil proposé dispose des connaissances spécialisées exigées par le RGPD.

Faut-il un avocat aux côtés du DPO externe santé ?

La fonction de DPO n'est pas réservée aux avocats : le RGPD exige des qualités professionnelles et des connaissances spécialisées en protection des données. En revanche, l'article 54 de la loi n° 71-1130 du 31 décembre 1971 réserve la consultation juridique et la rédaction d'actes pour autrui, à titre habituel et rémunéré, aux professionnels habilités, au premier rang desquels les avocats.

Par conséquent, un DPO externe santé non avocat ne peut ni délivrer un conseil juridique personnalisé, ni rédiger un contrat d'hébergement. Un avocat peut, lui, exercer comme DPO externe et cumuler les 2 dimensions, ce qui évite les allers-retours lors d'une négociation avec un éditeur.

Une structure sans direction juridique peut aussi conserver son DPO externe et mobiliser un avocat en renfort, à la journée ou sur un dossier. SWIM LEGAL, plateforme d'avocats d'affaires indépendants, propose ce format avec des avocats spécialisés justifiant d'au moins 5 ans d'expérience.

Un avocat en protection des données peut assurer la fonction de DPO ou intervenir en renfort sur les contrats et analyses d'impact.
Trouver un avocat en protection des données

Les limites de l'externalisation du DPO en santé

L'externalisation ne fonctionne que si la structure organise l'accès du DPO à l'information. Un prestataire non informé d'un nouveau logiciel ou d'une fuite ne peut ni conseiller ni alerter.

3 limites appellent une organisation :

1. La distance opérationnelle : le DPO externe dépend d'un référent interne qui fait remonter projets et incidents.
2. La réactivité en cas de violation : le contrat doit fixer les délais d'intervention du prestataire.
3. La continuité : un changement de prestataire impose de transmettre le registre et les analyses d'impact.

Le contrat de service précise donc le périmètre de la mission, les moyens alloués, la facturation et les conditions de résiliation.

FAQ

Un cabinet médical seul doit-il désigner un DPO ?

Non, sauf s'il traite des données de santé à grande échelle. La CNIL vise l'exercice en réseau, en maison ou centre de santé, ou avec des dossiers partagés. Le cabinet reste soumis aux autres obligations du RGPD.

Le DPO externe doit-il être avocat ?

Non. Le RGPD exige des connaissances spécialisées en protection des données, sans condition de profession. Seuls le conseil juridique personnalisé et la rédaction de contrats pour autrui sont réservés aux avocats et professionnels habilités.

Comment est facturé un DPO externe ?

Il est facturé à l'heure, à la journée ou au forfait. Le choix dépend du nombre de traitements et des projets en cours.

Le DPO externe est-il responsable en cas de manquement ?

Non. La structure reste responsable de traitement et répond de sa conformité devant la CNIL. Le DPO conseille et contrôle, sans décider des traitements.

Un logiciel de cabinet en ligne exige-t-il un hébergeur HDS ?

Oui, dès qu'il héberge des données de santé pour le compte du cabinet sur support numérique. Le Code de la santé publique impose alors la certification de l'hébergeur.

Pour aller plus loin

Professionnels de santé : la désignation d'un délégué à la protection des données (DPO), c'est obligatoire ? - CNIL

Règlement européen : un traitement à grande échelle, c'est quoi ? - CNIL

Article L1111-8 du Code de la santé publique : hébergement des données de santé - Légifrance

SWIM LEGAL est une alternative au cabinet d'avocats traditionnel pour les besoins juridiques des entreprises. Incubé par le Barreau de Paris, SWIM a reçu le Prix de l'Innovation pour sa solution permettant à toute entreprise, quelle que soit sa taille ou sa localisation, d'accéder rapidement via la plateforme à des avocats d'affaires expérimentés. Les entreprises peuvent déposer leur besoin, qu'il s'agisse d'un dossier, d'une consultation ou d'un renfort temporaire, de manière confidentielle et recevoir des propositions d'avocats pour répondre rapidement à leur demande.