Comment garantir la sécurité et la confidentialité de vos données de santé en téléconsultation ?

Toutes les données personnelles ne se valent pas aux yeux de la loi. Les données de santé (diagnostics, prescriptions, motifs de consultation, antécédents médicaux, etc.) appartiennent à la catégorie des données « sensibles » au sens de l'article 9 du RGPD. Concrètement, leur traitement est interdit par principe, sauf exceptions strictement encadrées par la loi, dont la prise en charge médicale.

Comme le rappelle la CNIL, les données de santé sont particulièrement protégées par les textes (RGPD, loi Informatique et Libertés, Code de la santé publique) afin de garantir le respect de la vie privée des personnes.

En pratique, cela se traduit par des obligations très concrètes pour toute plateforme de téléconsultation :  

• informer le patient de l'usage de ses données,  

• traiter les données en visant les bases légales appropriées,  

• sécuriser le stockage et les échanges,  

• et permettre l'exercice effectif des droits des patients.

Ce que c'est

Au-delà du RGPD, la France a instauré une obligation supplémentaire : la certification HDS (Hébergement de Données de Santé). Inscrite dans la loi depuis 2018 et codifiée à l'article L.1111-8 du Code de la santé publique, elle s'impose à toute personne qui héberge des données de santé à caractère personnel collectées dans le cadre d'activités de prévention, de diagnostic ou de soins.

La certification est délivrée après audit indépendant par un organisme accrédité par le COFRAC (Comité Français d'Accréditation). Elle est valable trois ans, avec audit de surveillance annuel.

Ce que ça change concrètement pour vous

Les sanctions en cas de manquement sont particulièrement dissuasives : jusqu'à 3 ans d'emprisonnement et 225 000 euros d'amende pour l'hébergeur non certifié, auxquelles s'ajoutent les sanctions CNIL au titre du RGPD. Une plateforme certifiée HDS vous garantit que vos données ne sont pas stockées sur un serveur non sécurisé, hors de l'Union européenne, ou accessible à des tiers non habilités.

Chez MédecinDirect, nous nous appuyons sur un hébergeur certifié pour garantir la sécurité de nos infrastructures :

• Certification ISO 27001 (Système de Management de la Sécurité de l'Information)

• Certification HDS (Hébergeur de Données de Santé)

Ces certifications de notre hébergeur couvrent l'infrastructure d'hébergement et les mesures de sécurité physiques et logiques associées. Cette conformité est un prérequis non négociable de notre activité.

Le chiffrement des échanges

Durant la consultation vidéo, vos échanges doivent être chiffrés de bout en bout. La CNIL le précise clairement : si l'échange de données passe par une plateforme, celle-ci doit présenter les mêmes garanties qu'une messagerie sécurisée. Les messageries personnelles (Gmail, Hotmail) et les outils grand public (Skype, FaceTime, WhatsApp, etc.) ne remplissent pas ces conditions et ne peuvent pas être utilisés dans le cadre d'une téléconsultation remboursée et conforme.

L'authentification renforcée

L'Agence du Numérique en Santé (ANS) classe les solutions de télémédecine selon un référentiel v1.5.1 (arrêté du 18 octobre 2024), dont voici quelques exemples :

• L'identification du patient sur au moins 5 traits d'identité

• L'authentification à deux facteurs du patient

• La vérification du droit d'exercer du professionnel de santé

• L'authentification renforcée du médecin (carte de professionnel de santé ou équivalent)

La traçabilité des accès

Toute plateforme conforme doit maintenir un registre des accès aux données : qui a consulté quelles informations, à quelle heure, depuis quel dispositif. Cette traçabilité permet de détecter toute consultation non autorisée et d'en apporter la preuve en cas de litige.

Ce qu'elle peut faire

• Stocker vos données médicales pour assurer la continuité des soins

• Les partager avec le médecin que vous consultez et les professionnels intervenant dans votre prise en charge, sauf opposition de votre part

• Les transmettre à l'Assurance Maladie pour le remboursement de l'acte ; uniquement les données strictement nécessaires

Ce qu'elle ne peut pas faire

• Vendre vos données à des tiers, assureurs ou acteurs publicitaires : formellement interdit par le RGPD

• Les partager sans base légale : toute communication à un tiers non habilité est illicite

• Les conserver indéfiniment : elles doivent être supprimées ou anonymisées à l'expiration de la durée définie.
  

Le droit d'accès

En application de l'article 15 du RGPD, vous pouvez demander une copie de l'ensemble de vos données de santé. La réponse doit vous être adressée dans un délai d'un mois maximum.

Le droit de rectification

Si des informations vous concernant sont inexactes ou incomplètes, vous pouvez demander leur correction à tout moment.

Le droit à l'effacement (« droit à l'oubli »)

Vous pouvez demander la suppression de vos données lorsqu'elles ne sont plus nécessaires à la finalité pour laquelle elles ont été collectées.

Le droit à la portabilité

Vous pouvez recevoir vos données dans un format structuré et lisible, afin de les transmettre à un autre professionnel ou une autre plateforme.

Le droit d'opposition

Vous pouvez vous opposer au traitement de vos données pour certaines finalités, notamment le partage avec des professionnels non directement impliqués dans votre prise en charge.

Pour exercer ces droits, adressez votre demande par écrit à la plateforme impliquée (délai de réponse : 1 mois). En cas de refus ou de non-réponse, vous pouvez saisir la CNIL. Dans le cas de MédecinDirect, vous pouvez nous contacter à l’adresse : dataprotectionofficer@teladochealth.com. Vous avez le :

• droit de retirer votre consentement au traitement de l'une quelconque de vos données à caractère personnel.  

• Droit à la limitation du traitement : droit de nous demander de limiter le traitement de vos données à caractère personnel dans certaines circonstances.

‍

Bon à savoir : Chez MédecinDirect, notre politique de confidentialité est accessible depuis toutes les pages de la plateforme. Les médecins qui exercent sur MédecinDirect sont inscrits à l'Ordre des médecins et leur identité est vérifiée. Nos consultations respectent l'intégralité du cadre légal français et européen applicable à la télémédecine. Pour toute demande, écrivez à dataprotectionofficer@teladochealth.com.

Le secret médical est pleinement applicable à la téléconsultation. L'article L.1110-4 du Code de la santé publique pose le principe selon lequel toute information relative à la santé d'un patient est couverte par le secret médical, quel que soit le support utilisé.

Le médecin que vous consultez en ligne est soumis aux mêmes obligations déontologiques qu'en cabinet. La plateforme, de son côté, est qualifiée de sous-traitant au sens du RGPD vis-à-vis du médecin (responsable de traitement). Elle ne peut accéder aux données médicales que dans les strictes limites définies par le contrat de sous-traitance, conformément à l'article 28 du RGPD.

Les informations et documents confiés par le patient, ainsi que les prescriptions médicales émises et transmises à l’occasion de la téléconsultation sont conservés dans un dossier médical.

• Consultez dans un espace privé : évitez les espaces ouverts où des tiers pourraient entendre ou voir votre consultation

• Utilisez une connexion sécurisée : évitez les Wi-Fi publics non sécurisés

• Vérifiez l'URL : assurez-vous que le site commence bien par https:// (connexion chiffrée)

• Ne partagez jamais vos identifiants de connexion, même avec un proche

• Mettez à jour votre appareil : un système et un navigateur à jour limitent les failles de sécurité.

‍

Ce qu'il faut retenir

• Vos données de santé sont les données les plus protégées du droit européen : leur traitement est interdit par principe

• La certification HDS est une obligation légale française ; son absence sur une plateforme est un signal d'alerte

• Une plateforme conforme chiffre vos échanges, ne peut pas vendre vos données et vous permet d'exercer vos droits

• Le secret médical s'applique intégralement en téléconsultation

• Quelques vérifications simples (politique de confidentialité, certification HDS, hébergement en UE) suffisent à distinguer une plateforme sérieuse.

‍

Cet article est rédigé à titre informatif. Pour toute question relative au traitement de vos données personnelles sur MédecinDirect, contactez notre Délégué à la Protection des Données via les coordonnées disponibles dans notre politique de confidentialité.

‍

‍

Sources

1. CNIL – Le RGPD appliqué au secteur de la santé

2. CNIL – Télémédecine : comment protéger les données des patients ?

3. CNIL – L'accès au dossier médical

4. CNIL – RGPD et professionnels de santé libéraux : ce que vous devez savoir

5. Agence du Numérique en Santé (ANS) – Certification HDS

6. ANS – Référentiel HDS mis à jour (mai 2024)

7. Légifrance – Article L.1111-8 du Code de la santé publique

8. CNIL – Quelles formalités pour les traitements de données de santé ?

‍