Est-ce que les données médicales partagées lors d'une téléconsultation sont bien protégées ?

Les données médicales ne sont pas des données comme les autres. En droit européen, elles appartiennent à la catégorie des données "sensibles" au sens de l'article 9 du RGPD (la seule catégorie dont le traitement est interdit par principe, sauf exceptions limitativement définies par la loi). Diagnostics, motifs de consultation, prescriptions, antécédents médicaux : tout ce que vous partagez lors d'une téléconsultation entre dans ce cadre ultra-protégé.  

En France, une couche réglementaire supplémentaire s'y ajoute, spécifique au numérique en santé : la certification HDS (Hébergement de Données de Santé), obligatoire depuis 2018 en vertu de l'article L.1111-8 du Code de la santé publique. Toute plateforme qui héberge des données de santé à caractère personnel (ce qu'une plateforme de téléconsultation fait par définition) doit impérativement passer par un hébergeur certifié.  

Donc oui : si vous utilisez une plateforme conforme, vos données médicales sont bien protégées. Le cadre réglementaire est l'un des plus exigeants au monde.

Le RGPD ne se contente pas d'interdire les abus, il crée des obligations très concrètes pour toute plateforme qui traite vos données de santé.  

Finalité limitée  

Vos données ne peuvent être utilisées que pour la finalité pour laquelle elles ont été collectées, c’est-à-dire, pour le cas d’espèce, votre prise en charge médicale et pour accéder aux services proposés par la plateforme.

Une plateforme de téléconsultation conforme ne peut pas réutiliser vos données pour de la publicité ciblée, les vendre à un assureur ou les croiser avec d'autres bases de données sans base légale sans votre consentement expréssement recueilli.  

La vente de données de santé à des tiers non autorisée par la personne concernée par la donnée est formellement illicite et passible de sanctions CNIL allant jusqu'à 4 % du chiffre d'affaires mondial, plus d'éventuelles sanctions pénales au titre de l'article 226-21 du Code pénal.  

Durée de conservation encadrée  

Vos données ne peuvent pas être conservées indéfiniment. La durée de conservation doit être proportionnée à la finalité. Pour les dossiers médicaux, la règle générale en France est de 20 ans à partir du dernier contact.

Secret médical intégral  

Le médecin que vous consultez à distance est soumis aux mêmes obligations déontologiques qu'en cabinet (le support numérique ne change rien à cela) et ne peut accéder à vos données médicales que dans les strictes limites définies par contrat.  

Notification obligatoire en cas de violation

Si une plateforme subit une cyberattaque ou une fuite de données, elle est légalement obligée de notifier la CNIL dans les 72 heures et de vous en informer si la violation présente un risque élevé pour vos droits. Cette transparence forcée est l'une des protections les plus palpables pour les patients.

La certification HDS, délivrée par un organisme accrédité par le COFRAC après audit indépendant, va au-delà du RGPD. Elle impose notamment :  

• La localisation des données en Europe : les données de santé doivent être hébergées en France ou dans l'Espace économique européen. La HDS v2 (mise à jour en avril 2024) a renforcé les exigences de souveraineté et de documentation des transferts ;

• Chiffrement obligatoire : les données doivent être chiffrées au repos (stockage) et en transit (échanges). Concrètement, cela signifie que même si quelqu'un parvenait à accéder aux serveurs, il ne lirait pas vos données sans la clé de déchiffrement ;

• Sécurité basée sur l'ISO 27001 : la certification HDS a pour prérequis la norme ISO 27001, le standard international de management de la sécurité de l'information. Audits réguliers, plan de continuité d'activité, gestion des accès, surveillance des incidents : tout est transcrit et vérifié par des auditeurs indépendants ;  

• Traçabilité des accès : tout accès à des données de santé doit être tracé : qui a consulté quoi, à quelle heure, depuis quel poste. Cette journalisation permet de détecter les accès anormaux et d'apporter la preuve en cas de litige.  

Pendant la consultation elle-même, vos échanges avec le médecin transitent via un protocole sécurisé chiffré. La CNIL le précise clairement : les plateformes de téléconsultation doivent garantir la confidentialité des échanges avec le même niveau de sécurité qu'une messagerie médicale sécurisée.

L'authentification est également renforcée des deux côtés. Côté patient, votre identité est vérifiée sur plusieurs points (nom, date de naissance, numéro de sécurité sociale). Côté médecin, l'accès à la plateforme nécessite une authentification forte et la vérification de son inscription à l'Ordre des médecins.  

Le secteur de la santé figure parmi les secteurs les plus exposés aux cyberattaques. Selon le rapport 2025 de l'Observatoire des incidents du CERT Santé, 764 incidents de sécurité ont été déclarés par les établissements sanitaires et médico-sociaux en 2025. De son côté, l'ANSSI indique que le secteur de la santé représente 10 % des incidents qu'elle a traités en 2025. La CNIL souligne également une augmentation des violations de données personnelles et fait de la cybersécurité l'une de ses priorités de contrôle pour 2026.

Des incidents ont touché́ des hôpitaux, des laboratoires d'analyses, des éditeurs de logiciels médicaux et des plateformes de santé numérique et donc, aucune organisation, aussi bien protégée soit-elle, ne peut se déclarer invulnérable à toutes les formes d'attaque, notamment celles qui exploitent des failles humaines ou des prestataires tiers.  

Ce contexte est important à connaître pour deux raisons. D'abord parce qu'il justifie de choisir soigneusement sa plateforme. Ensuite parce que la réglementation a précisément anticipé ce risque : l'obligation de notification en 72 heures (délai maximal), les droits des patients en cas de violation, et les sanctions pour les plateformes défaillantes ont été mises sur pied précisément parce que le risque zéro n'existe pas.

En cas de violation de données de santé vous concernant, la plateforme a des obligations précises. Elle doit informer la CNIL dans les 72 heures et, si la violation présente un risque élevé pour vous, vous contacter directement pour vous en informer et vous indiquer les mesures à prendre.  

De votre côté, vous pouvez :  

• Demander l'accès à vos données : en application de l'article 15 du RGPD, vous pouvez demander à obtenir une copie de l'ensemble de vos données détenues par la plateforme. Le délai légal de réponse est d’un mois.  

• Demander leur suppression : si vous estimez que vos données ne sont plus nécessaires à la finalité pour laquelle elles ont été collectées, vous pouvez demander leur effacement, sauf lorsqu'une obligation légale impose leur conservation.  

• Déposer une réclamation auprès de la CNIL : si vous estimez que vos données ont été mal protégées ou que vos droits n'ont pas été respectés, vous pouvez saisir la CNIL gratuitement en ligne. La CNIL est l'autorité de contrôle compétente pour toute violation de données de santé en France.  

Toutes les plateformes de santé numérique ne se valent pas. Voici quelques éléments concrets à vérifier :

• La certification HDS est explicitement mentionnée : elle doit apparaître dans les mentions légales ou la politique de confidentialité.

• Les sociétés de téléconsultation agréées par le ministère de la Santé, comme MédecinDirect, sont soumises à un référentiel technique de l'Agence du Numérique en Santé qui intègre la sécurité comme prérequis.

• La politique de confidentialité est claire et datée : elle précise ce qui est collecté, pourquoi, par qui, pendant combien de temps, et comment exercer vos droits.

• Un DPO (Délégué à la Protection des Données) est joignable : ses coordonnées de contact doivent apparaître dans les mentions légales. Il est votre interlocuteur pour toute question relative à vos données. Chez MédecinDirect, vous pouvez écrire au DPO à l’adresse dpo-fr@teladochealth.com

• Vos données médicales partagées lors d'une téléconsultation sont protégées par le cadre réglementaire le plus strict du droit européen.  

• La certification HDS, le chiffrement des échanges, l'obligation de notification en 72 heures et les sanctions dissuasives créent un bon environnement de protection.  

• Le secteur de la santé est cependant très ciblé par les cyberattaques, et il faut choisir sa plateforme en conséquence.  

• Une plateforme certifiée, agréée, transparente sur ses pratiques de sécurité et sur lesquelles vous disposez de droits actifs (accès, suppression, réclamation CNIL) est la bonne réponse à cette réalité.

‍

Cet article est rédigé à titre informatif. Pour toute question relative au traitement de vos données personnelles, vous pouvez contacter le Délégué à la Protection des Données (DPO) de la plateforme que vous utilisez via les coordonnées disponibles dans sa politique de confidentialité, ou saisir la CNIL.

‍

Sources :

• CNIL – Le RGPD appliqué au secteur de la santé (article 9)

• CNIL – Télémédecine : comment protéger les données des patients ?  

• CNIL – L'accès au dossier médical (droits RGPD)  

• Agence du Numérique en Santé (ANS) - Certification HDS : Hébergement de Données de Santé

• ANS – Sécurité

• Légifrance - Article L.1111-8 du Code de la santé publique (obligation HDS)  

• Légifrance - Article 226-21 du Code pénal (sanctions violations données santé)  

• Ministère de la Santé - Agrément des sociétés de téléconsultation

‍