Les données de santé figurent parmi les catégories les plus sensibles du RGPD. Un SIH traite quotidiennement des milliers d’identités, diagnostics, résultats biologiques et comptes rendus opératoires. La conformité ne se résume pas à une mention légale sur un formulaire d’admission : elle se construit dans l’architecture même du système d’information.
Données de santé : un régime juridique renforcé
L’article 9 du RGPD interdit par principe le traitement des données de santé. Les exceptions — soins, intérêt public en santé, recherche — sont encadrées par des conditions strictes. En France, la CNIL qualifie les données de santé de manière large : diagnostic, résultat d’examen, traitement prescrit, mais aussi toute donnée permettant de déduire un état de santé (historique de rendez-vous, consommation médicamenteuse).
Pour un établissement de santé, cela signifie que l’intégralité du SIH — dossier patient, prescription, résultats, imagerie, facturation — traite des données à caractère spécial. Le responsable de traitement (le directeur d’établissement) doit démontrer la conformité à tout moment, pas seulement lors d’un contrôle.
Principes RGPD appliqués au SIH
Le principe de minimisation impose de ne collecter que les données strictement nécessaires à la finalité du traitement. En pratique hospitalière, la frontière est ténue : un dossier patient complet est nécessaire à la qualité des soins. La minimisation se traduit alors par la limitation des accès : seuls les professionnels participant à la prise en charge accèdent aux données pertinentes pour leur intervention.
- Limitation des finalités — les données collectées pour le soin ne sont pas réutilisables pour le marketing sans base légale distincte.
- Exactitude — le patient peut demander la rectification d’une erreur dans son dossier ; le SIH doit tracer la correction sans effacer l’historique.
- Limitation de conservation — les durées légales de conservation du dossier médical (20 ans en règle générale) s’appliquent, mais les données administratives ont des durées plus courtes.
- Intégrité et confidentialité — chiffrement, contrôle d’accès, journalisation.
Registre des traitements : chaque module du SIH constitue potentiellement un traitement distinct (prescription, biologie, imagerie, facturation). Le registre doit les recenser avec leurs finalités, bases légales, durées de conservation et sous-traitants impliqués.
Contrôle d’accès et traçabilité
Le modèle d’habilitation d’un SIH conforme repose sur le principe du moindre privilège. Un brancardier n’a pas besoin de lire un compte rendu opératoire ; un médecin d’un autre service n’a pas à consulter un dossier sans lien avec sa prise en charge. Le Dossier Patient Informatisé doit implémenter un contrôle d’accès contextuel : rôle, service, relation de soin active avec le patient.
La CNIL a sanctionné des établissements pour défaut de traçabilité des accès aux dossiers patients. Chaque consultation doit être journalisée avec l’identifiant de l’utilisateur, l’horodatage, le dossier consulté et l’action réalisée. Ces logs doivent être conservés et exploitables en cas d’audit ou de plainte patient.
Droits des patients dans le contexte hospitalier
Le droit d’accès (article 15) oblige l’établissement à fournir une copie des données dans un délai d’un mois. Le droit à l’effacement (article 17) est limité en contexte de soins par l’obligation légale de conservation du dossier médical, mais le patient peut demander la suppression de données non médicales (coordonnées de personne de confiance obsolète, par exemple).
Le Portail Patient facilite l’exercice du droit d’accès en permettant au patient de consulter directement ses résultats, comptes rendus et historique de séjours. Cela réduit la charge administrative et améliore la transparence.
Hébergement HDS et sous-traitance
Tout prestataire hébergeant des données de santé pour le compte d’un établissement doit être certifié HDS (Hébergeur de Données de Santé). Cette obligation couvre l’éditeur SIH en mode SaaS, le prestataire d’infogérance, le fournisseur de sauvegarde externalisée. Le contrat de sous-traitance (article 28 RGPD) doit préciser les mesures techniques, les lieux de traitement, les conditions de réversibilité et les obligations de notification en cas de violation.
La HAS intègre la sécurité des SI dans son référentiel de certification : un défaut de protection des données peut entraîner une décision défavorable sur le critère « management de la qualité et des risques ».
Violation de données : réagir en 72 heures
En cas de fuite, d’accès non autorisé ou de perte de données, l’établissement dispose de 72 heures pour notifier la CNIL. Si le risque est élevé pour les personnes concernées, les patients doivent également être informés. Le SIH doit fournir rapidement les éléments d’investigation : périmètre des données exposées, nombre de personnes concernées, vecteur de l’incident.
- Détection — supervision des accès anormaux (connexion hors horaires, volume de consultations inhabituel).
- Qualification — déterminer si l’incident constitue une violation au sens du RGPD.
- Notification — formulaire CNIL dans les 72 h, communication patient si risque élevé.
- Remédiation — correction technique, révocation d’accès, mise à jour des habilitations.
Évaluez la conformité RGPD native de votre futur SIH — habilitations, journalisation, portabilité.
