Secrecy Care Blog
Find the latest news from Secrecy Care, new products, events, and articles from our experts here.
Find the latest news from Secrecy Care, new products, events, and articles from our experts here.
Vos données de santé ne se limitent pas à votre dossier médical. Elles circulent aussi dans votre montre connectée, votre application de suivi de sommeil, votre balance intelligente — des services qui, eux, ne relèvent pas toujours du même niveau de protection. Voici les gestes concrets pour garder la main.
Protéger ses données de santé repose sur trois terrains distincts. Le premier concerne vos comptes officiels, comme Mon espace santé : un mot de passe unique, une authentification renforcée et une vigilance face aux courriels frauduleux suffisent à couvrir l'essentiel du risque. Le deuxième, souvent négligé, concerne les applications et objets connectés de bien-être : montres, balances, applications de suivi menstruel ou de sommeil collectent des informations très révélatrices sur votre état physique, sans être nécessairement soumises au régime protecteur applicable aux données de santé au sens strict. Le troisième porte sur ce que vous communiquez vous-même : à un assureur qui n'a pas le droit de le demander, à une application qui n'en a pas besoin, ou sur les réseaux sociaux. La CNIL recommande sur ce point plusieurs réflexes simples : utiliser un pseudonyme quand c'est possible, désactiver le partage automatique vers les réseaux sociaux, ne communiquer que le minimum d'informations nécessaires, et supprimer ses données lorsqu'on cesse d'utiliser un service.
Commençons par le plus simple et le plus efficace. Vos comptes liés à la santé — Mon espace santé, espace assuré de l'Assurance Maladie, portail de votre mutuelle, plateformes de prise de rendez-vous — doivent chacun disposer d'un mot de passe distinct. La raison est mécanique : lorsqu'un service quelconque subit une fuite, les identifiants dérobés sont automatiquement testés sur d'autres sites. Un mot de passe réutilisé transforme une fuite mineure en compromission de votre espace santé.
Activez l'authentification renforcée partout où elle est proposée. Sur Mon espace santé, la connexion combine déjà un identifiant, un mot de passe et un code à usage unique envoyé par message ou courriel : ce second facteur constitue votre principale protection contre un vol de mot de passe.
Enfin, la menace la plus courante n'est pas une intrusion technique dans les serveurs, mais un message vous incitant à saisir vous-même vos identifiants sur un faux site. Aucun organisme de santé légitime ne vous demandera de « vérifier votre dossier » en cliquant sur un lien reçu par message. En cas de doute, n'utilisez jamais le lien : tapez vous-même l'adresse du service dans votre navigateur.
C'est ici que se situe l'angle mort le plus important. Une montre mesurant votre rythme cardiaque, une application de suivi du cycle menstruel ou un tensiomètre connecté produisent des informations extrêmement révélatrices. Or, selon leur finalité déclarée, ces services peuvent relever du régime des données de bien-être plutôt que de celui, nettement plus protecteur, des données de santé.
La CNIL formule pour ces objets plusieurs recommandations concrètes que peu d'utilisateurs appliquent. Utilisez un pseudonyme plutôt que vos véritables nom et prénom lorsque le service le permet. Ne communiquez que le strict minimum : si une application a seulement besoin de connaître votre âge, une date de naissance approximative suffit. Créez une adresse de messagerie dédiée pour ce type de service, plutôt que celle que vous utilisez partout. Désactivez systématiquement le partage automatique vers les réseaux sociaux. Et lorsque vous cessez d'utiliser un service, ne vous contentez pas de désinstaller l'application : demandez la suppression effective de vos données, ou récupérez-les avant de fermer le compte.
Un dernier réflexe, très efficace et rarement adopté : passez en revue les permissions accordées à vos applications de santé. Une application de suivi d'activité a besoin d'accéder à vos capteurs de mouvement, rarement à votre carnet de contacts ou à votre microphone.
Prenons une application de suivi du cycle menstruel, utilisée par des millions de personnes. Les informations qu'elle enregistre permettent d'inférer bien plus que ce qui est saisi : une grossesse en cours, une tentative de conception, un traitement hormonal, parfois une pathologie. Ces déductions ont une valeur commerciale considérable pour des annonceurs.
Avant d'installer ce type d'application, trois vérifications valent la peine. Où sont hébergées les données, et le service précise-t-il s'il relève d'un hébergement certifié pour les données de santé ? La politique de confidentialité mentionne-t-elle un partage avec des partenaires publicitaires ou des tiers ? Existe-t-il une fonction permettant d'exporter puis de supprimer définitivement l'historique ? Une réponse évasive à l'une de ces questions justifie de chercher une alternative — plusieurs applications de ce type proposent désormais un stockage local sur l'appareil, sans transmission vers un serveur.
Les données de santé bénéficient d'un régime renforcé au titre de l'article 9 du RGPD, qui les classe parmi les catégories particulières de données dont le traitement est interdit par principe, sauf exceptions précises. En France, l'article L. 1111-8 du Code de la santé publique impose par ailleurs que tout hébergement de données de santé pour le compte d'un tiers soit assuré par un prestataire certifié.
La difficulté tient à la frontière entre données de santé et données de bien-être. Une donnée collectée dans un cadre de soins relève sans ambiguïté du régime protecteur ; une donnée d'activité physique collectée par une application grand public peut, selon le contexte et les finalités, être qualifiée différemment. La CNIL a publié des recommandations dédiées aux applications mobiles, applicables aux acteurs de la santé comme du bien-être, qui rappellent les obligations d'information, de minimisation et de sécurité, ainsi que des fiches pratiques destinées aux utilisateurs d'objets connectés (source : CNIL, recommandations relatives aux applications mobiles et fiches pratiques sur les objets connectés, cnil.fr).
Deux mouvements se dessinent. D'un côté, l'encadrement se resserre : les recommandations de la CNIL sur les applications mobiles s'accompagnent d'un contrôle effectif de leur mise en œuvre, et le cadre européen sur les données de santé continue de se structurer. De l'autre, la quantité de données produites par les appareils du quotidien augmente, tout comme la finesse des déductions qu'un traitement automatisé peut en tirer — un rythme cardiaque et un rythme de sommeil suffisent aujourd'hui à inférer des informations qu'aucun formulaire ne demandera jamais explicitement.
Cette tension rend le choix des services d'autant plus déterminant. Les architectures où les données restent chiffrées sur l'appareil, sans que le fournisseur puisse y accéder, offrent une garantie structurelle que ne remplacent ni une politique de confidentialité bien rédigée ni une promesse commerciale.
Message clé : votre dossier médical est bien protégé par la loi, mais vos données de santé quotidiennes — montre, application, balance — le sont souvent beaucoup moins, et c'est là que se joue l'essentiel de votre vigilance.
Trois gestes couvrent la plus grande partie du risque : un mot de passe unique par service, une revue des permissions de vos applications, et la suppression effective de vos données lorsque vous cessez d'utiliser un service.
Une application de bien-être traite-t-elle des données de santé ? Pas nécessairement au sens juridique : la qualification dépend de la finalité déclarée et du contexte, ce qui peut entraîner un niveau de protection inférieur à celui d'un service de soins.
Comment savoir si une application protège correctement mes données ? Vérifiez sa politique de confidentialité sur trois points : la localisation de l'hébergement, l'existence d'un partage avec des tiers ou partenaires publicitaires, et la possibilité de supprimer définitivement votre historique.
Désinstaller une application suffit-il à supprimer mes données ? Non, la désinstallation retire l'application de votre appareil mais ne supprime pas les données stockées côté serveur : il faut demander explicitement leur effacement.
Que faire si un organisme me demande mes informations de santé ? Vérifiez qu'il en a le droit : un employeur, une mutuelle ou une banque ne peuvent exiger l'accès à votre dossier médical, y compris avec votre consentement.
Quelles permissions une application santé devrait-elle demander ? Uniquement celles nécessaires à sa fonction : des capteurs de mouvement pour une application d'activité, pas votre carnet de contacts, votre microphone ou votre localisation permanente.
Faut-il utiliser un pseudonyme sur les services de bien-être ? La CNIL le recommande lorsque le service le permet, tout comme la limitation des informations communiquées et l'usage d'une adresse de messagerie dédiée.
Comment reconnaître un message frauduleux se réclamant d'un service de santé ? Un organisme légitime ne vous demande jamais de saisir vos identifiants via un lien reçu par message : en cas de doute, saisissez vous-même l'adresse du service dans votre navigateur.
La protection de vos données de santé se joue sur trois terrains : la sécurisation de vos comptes officiels (mot de passe unique, authentification renforcée, vigilance face à