Secrecy Care Blog
Find the latest news from Secrecy Care, new products, events, and articles from our experts here.
Find the latest news from Secrecy Care, new products, events, and articles from our experts here.
Demander au patient s'il accepte que l'on traite ses données avant de le soigner : la démarche semble vertueuse. Elle repose pourtant sur une erreur de base légale, et elle place l'établissement dans une position juridique plus fragile, pas plus solide.
Le RGPD interdit par principe le traitement des données de santé, puis prévoit des dérogations à l'article 9. Le consentement explicite figure parmi elles, mais il n'est ni la seule ni la plus courante. Pour les soins, c'est l'article 9.2.h qui s'applique : le traitement est autorisé lorsqu'il est nécessaire au diagnostic médical ou à la prise en charge, dès lors qu'il est réalisé par un professionnel soumis au secret. Aucun consentement au traitement des données n'est requis dans ce cadre. La CNIL insiste par ailleurs sur deux distinctions que le terrain confond régulièrement. D'une part, la base légale de l'article 6 et la dérogation de l'article 9 sont cumulatives : il faut justifier les deux. D'autre part, le consentement au traitement des données n'est pas le consentement à l'acte de soins, ni le consentement à participer à une étude. Trois notions, trois régimes, trois formalismes.
Un patient signe un document avant une intervention. De quoi parle-t-on exactement ?
Du consentement à l'acte de soins, qui relève du Code de la santé publique et vise l'accord du patient à recevoir un traitement médical. Il garantit son autonomie face au corps médical, sans rien dire de l'usage informatique de ses informations.
Du consentement à participer à une recherche, qui obéit à un régime propre selon le type d'étude, avec des exigences formelles renforcées pour certaines catégories, notamment les recherches portant sur des caractéristiques génétiques.
Du consentement au traitement des données, au sens du RGPD, qui suppose une manifestation libre, spécifique, éclairée et univoque, et qui doit être explicite lorsqu'il porte sur des données sensibles.
La CNIL formule cette distinction sans ambiguïté. Un établissement qui fait signer un document unique couvrant les trois obtient en pratique un consentement fragile sur chacun, puisque le caractère spécifique fait défaut.
Voici le point technique que les analyses juridiques manquent le plus souvent.
L'article 6 du RGPD énumère six bases légales possibles pour tout traitement de données personnelles : consentement, contrat, obligation légale, sauvegarde des intérêts vitaux, mission d'intérêt public, intérêt légitime. L'article 9 traite d'autre chose : il pose l'interdiction de principe des catégories particulières, dont les données de santé, puis liste les dérogations permettant de lever cette interdiction.
Les deux doivent être justifiées, et elles ne se confondent pas. Un traitement peut reposer sur l'intérêt légitime au titre de l'article 6, tout en nécessitant le consentement explicite au titre de l'article 9. Inversement, un traitement de soins s'appuie sur la dérogation de l'article 9.2.h et sur une base légale distincte, souvent la mission d'intérêt public ou l'obligation légale selon le statut de la structure.
Confondre les deux conduit à des mentions d'information incomplètes. La bonne pratique consiste à indiquer expressément, dans ces mentions, à la fois la base légale invoquée et la dérogation de l'article 9 retenue.
Le consentement redevient la voie à emprunter dès que le traitement sort du cadre du soin.
Trois situations reviennent le plus souvent. La transmission de données à un tiers pour une finalité commerciale. L'inscription à un service qui n'entre pas dans la prise en charge, par exemple une application de bien-être proposée en complément. La participation à certaines recherches, selon la méthodologie applicable.
Sur ce dernier point, la CNIL a construit un cadre gradué. La méthodologie de référence MR-001 vise les recherches nécessitant le recueil du consentement, dont les essais cliniques. La MR-003 concerne les recherches ne nécessitant ni consentement ni information individuelle. La MR-004 couvre les recherches n'impliquant pas la personne humaine, menées sur des données déjà collectées, où le patient dispose d'un droit d'opposition plutôt que d'un consentement à donner.
Le choix entre ces méthodologies détermine tout le dispositif d'information et de recueil. Se tromper de méthodologie revient à construire une conformité sur un fondement qui ne correspond pas au traitement réel.
Un patient consent à ce que ses données alimentent un programme de recherche, puis change d'avis six mois plus tard. Que se passe-t-il ?
Sur le papier, le retrait est de droit et doit être aussi simple à exercer que le consentement initial. Dans les faits, tout dépend de ce que la chaîne technique permet.
La sanction prononcée en mai 2026 contre un exploitant d'entrepôts de données de santé documente précisément cette défaillance. Le logiciel déployé chez les partenaires transmettait les données même lorsque la personne avait exprimé son refus. Le droit existait, le formulaire existait, et rien ne s'arrêtait.
Deux dispositions techniques évitent cette situation. La première consiste à propager le refus jusqu'au point de collecte le plus en amont, avec un test automatisé vérifiant qu'aucun flux ne subsiste. La seconde relève du chiffrement des données de santé : lorsque chaque personne ou chaque lot dispose d'une clé distincte, la destruction de cette clé rend les données inexploitables, y compris dans les sauvegardes. On parle alors de suppression cryptographique, et elle apporte une garantie qu'une suppression logique ne procure pas.
L'article 9.1 du RGPD pose l'interdiction de traiter les données concernant la santé. L'article 9.2 énumère les dérogations, parmi lesquelles le consentement explicite au point a, la médecine préventive et la prise en charge au point h, et la recherche scientifique au point j.
En droit français, la loi Informatique et Libertés complète ce dispositif. Son article 44 encadre les traitements de données de santé à des fins de recherche, d'étude ou d'évaluation, qui supposent le respect d'une méthodologie de référence ou une autorisation de la CNIL. Des dispositions particulières s'appliquent aux examens des caractéristiques génétiques, avec un recueil du consentement sous forme écrite.
S'ajoute le secret professionnel, prévu à l'article L. 1110-4 du Code de la santé publique, qui protège les informations concernant une personne prise en charge, indépendamment du régime de protection des données. Ces deux ensembles se superposent sans se substituer l'un à l'autre (source : CNIL, « Quelles formalités pour les traitements de données de santé ? », cnil.fr).
Les usages secondaires des données de santé se multiplient : entrepôts, entraînement de modèles, études sur données de vie réelle. Chacun repose sur une articulation entre base légale et dérogation qui n'a rien d'évident, et les décisions récentes de la CNIL montrent une attention croissante à la cohérence de cette construction.
Un déplacement se dessine par ailleurs dans les attentes des autorités. Il ne suffit plus d'organiser le recueil d'un consentement ou d'une opposition : encore faut-il démontrer que l'expression de ce choix produit un effet technique réel. C'est là que les architectures fondées sur une gestion de clés par personne ou par lot prennent un intérêt qui dépasse la seule sécurité.
Message clé : en santé, le consentement au traitement des données est l'exception plutôt que la règle, et le confondre avec le consentement aux soins fragilise la conformité au lieu de la renforcer.
La question utile pour un DPO n'est donc pas « avons-nous recueilli un consentement », mais « quelle dérogation de l'article 9 et quelle base légale de l'article 6 ce traitement mobilise-t-il ».
Faut-il le consentement du patient pour traiter ses données de santé ? Pas pour les soins. L'article 9.2.h du RGPD autorise le traitement nécessaire au diagnostic ou à la prise en charge, réalisé par un professionnel soumis au secret, sans consentement au traitement des données.
Quelle différence entre consentement aux soins et consentement RGPD ? Le premier relève du Code de la santé publique et porte sur l'acceptation d'un acte médical ; le second relève du RGPD et porte sur l'usage des données. La CNIL distingue explicitement les deux, ainsi que le consentement à participer à une étude.
Quand le consentement explicite est-il obligatoire en santé ? Lorsque le traitement sort du cadre du soin : transmission à des fins commerciales, service hors prise en charge, ou recherche relevant d'une méthodologie qui l'impose comme la MR-001.
Peut-on retirer son consentement à tout moment ? Oui, et le retrait doit être aussi simple à exercer que le consentement initial ; encore faut-il que la chaîne technique en tire les conséquences.
Le consentement suffit-il comme base légale ? Non. Le consentement explicite lève l'interdiction de l'article 9, mais une base légale de l'article 6 doit également être identifiée : les deux exigences se cumulent.
Comment garantir qu'un retrait de consentement est effectif ? En propageant le refus jusqu'au point de collecte le plus en amont, avec un test automatisé, et en recourant à une gestion de clés distinctes permettant une suppression cryptographique.
Le RGPD interdit par principe le traitement des données de santé et prévoit des dérogations à l'article 9. Pour les soins, la dérogation applicable est celle du point h, qui n'exige aucun consentement au traitement des données. Le consentement explicite redevient nécessaire lorsque le traitement dépasse le cadre du soin. La base légale de l'article 6 et la dérogation de l'article 9 doivent être justifiées de façon cumulative. Enfin, la CNIL distingue le consentement au traitement des données, le consentement à l'acte de soins et le consentement à participer à une étude.
Reprenez vos mentions d'information et vérifiez qu'elles indiquent à la fois la base légale de l'article 6 et la dérogation de l'article 9 retenue. Vérifiez ensuite qu'aucun document ne mélange consentement aux soins, consentement à une étude et consentement au traitement des données. Ces deux corrections prennent peu de temps et couvrent l'essentiel des fragilités constatées lors des contrôles.
Demander un consentement pour les soins suggère qu'un refus serait sans conséquence sur la prise en charge, ce qui est inexact.
La base légale de l'article 6 et la dérogation de l'article 9 se cumulent : justifier l'une ne dispense pas de justifier l'autre.
Un droit de retrait qui ne produit aucun effet dans la chaîne technique reste un droit théorique.
Imaginez trois autorisations distinctes que l'on vous demanderait dans un même rendez-vous : accepter une opération, accepter de participer à une étude, accepter que vos informations soient conservées dans un fichier. Les trois portent sur des objets différents et engagent des conséquences différentes. Les regrouper sur un formulaire unique reviendrait à vous faire signer un document dont vous ne pourriez pas dire ce qu'il couvre exactement. Le droit exige précisément l'inverse : une autorisation pour un objet clairement identifié.
Les choix d'architecture conditionnent la valeur juridique du dispositif. Sur la traçabilité du consentement, chaque expression doit être horodatée, rattachée à une version identifiée du texte présenté, et conservée avec le canal de recueil : sans ces éléments, la preuve du caractère éclairé devient difficile à produire. Sur la propagation du refus ou du retrait, le point de vigilance porte sur les copies déjà constituées, jeux d'entraînement, environnements de recherche et sauvegardes compris, où un simple indicateur dans la base de production ne produit aucun effet ; un test automatisé vérifiant l'absence de flux résiduel après retrait constitue le seul contrôle fiable. Sur le chiffrement enfin, une clé dérivée par personne ou par lot permet une suppression cryptographique dont la démonstration est immédiate, là où une suppression logique suppose de prouver l'effacement dans chaque système, y compris ceux dont on a oublié l'existence. Cette approche impose en contrepartie une gestion de clés rigoureuse, avec un stockage séparé des données et une journalisation des opérations de destruction.