Réponse courte : dans le cadre du RGPD, les données de santé constituent une catégorie spéciale. L'article 9(1) interdit leur traitement ; l'article 9(2) énumère les exceptions qui lèvent cette interdiction. Pour une équipe produit, quatre points sont importants : (a) le consentement explicite de la personne, (h) la fourniture de soins de santé par ou sous la responsabilité d'un professionnel soumis au secret, (i) la santé publique, et (j) la recherche scientifique avec les garanties prévues à l'article 89. Une exception de l'article 9 est nécessaire en plus d'une base légale ordinaire de l'article 6, et non à sa place. Le traitement de données de santé à grande échelle déclenche également une EIPD (article 35) et la nomination d'un délégué à la protection des données (article 37).
Qu'est-ce qui est considéré comme des données de santé
Selon le RGPD, les données de santé sont des données personnelles relatives à la santé physique ou mentale d'une personne, y compris la fourniture de services de santé, qui révèlent des informations sur son état de santé (Article 4(15)). Interprété largement, cela couvre les valeurs de laboratoire, les diagnostics, les médicaments, les rendez-vous et les certificats de maladie, ainsi que toute donnée à partir de laquelle un état de santé peut être déduit.
L'article 4(15) définit les données de santé comme des données personnelles relatives à la santé physique ou mentale d'une personne, y compris la fourniture de services de soins de santé, qui révèlent des informations sur son état de santé. Le considérant 35 et la jurisprudence l'interprètent largement : une valeur de laboratoire, un diagnostic, un médicament, un rendez-vous médical, un certificat de maladie, un nombre de pas combiné à une condition cardiaque, une recherche de symptôme liée à un compte. Les données qui révèlent l'état de santé sont des données de santé même si elles n'ont pas été collectées comme telles. La Cour de justice a confirmé en 2022 (OT, C-184/20) que les données à partir desquelles un fait de catégorie spéciale peut être inféré sont elles-mêmes des données de catégorie spéciale.
Les exceptions qui comptent
Les exceptions de l'article 9(2) du RGPD les plus importantes pour les produits de santé sont le consentement explicite (a), utilisé par les applications de santé grand public et les dossiers contrôlés par le patient ; la fourniture de soins de santé (h), utilisée par les cliniques et leurs fournisseurs de logiciels sous le secret professionnel ; la santé publique (i) ; la recherche scientifique (j) avec les garanties de l'article 89 ; et l'intérêt public substantiel (g), sur lequel le EHDS s'appuie pour l'utilisation secondaire.
| Article 9(2) | Qui l'utilise généralement | Conditions |
|---|---|---|
| (a) Consentement explicite | Applications de santé grand public, services de bien-être, dossiers contrôlés par le patient | Libre, spécifique, éclairé, non ambigu, par un acte positif clair, aussi facile à retirer qu'à donner ; non groupé avec le service sauf si le service a besoin des données |
| (c) Intérêts vitaux | Accès d'urgence | Uniquement lorsque la personne est physiquement ou légalement incapable de consentir |
| (h) Fourniture de soins de santé | Cliniques, hôpitaux, médecins généralistes, leurs fournisseurs de logiciels en tant que sous-traitants | Nécessaire au diagnostic, aux soins, au traitement ou à la gestion des systèmes de santé, en vertu du droit de l'UE ou national ou d'un contrat avec un professionnel, et sous le secret professionnel (article 9(3)) |
| (i) Santé publique | Autorités de santé publique, pharmacovigilance | Basé sur une loi prévoyant des mesures appropriées |
| (j) Recherche, statistiques, archivage | Instituts de recherche, registres, plateformes permettant la recherche | Basé sur la loi, proportionné, avec les garanties de l'article 89 (pseudonymisation, minimisation) |
| (g) Intérêt public majeur | Infrastructures nationales de données de santé | Basé sur la loi ; l'EHDS s'appuie sur lui pour l'usage secondaire |
Un dossier de santé personnel contrôlé par le patient repose sur (a) : la personne décide quoi stocker et avec qui partager. Une clinique qui écrit dans ce dossier repose sur (h) pour son propre traitement, et le consentement du patient régit le partage. Une plateforme qui sert les deux est un sous-traitant pour la clinique (contrat article 28) et un responsable du traitement pour le compte qu'elle offre à la personne. La documentation de cela, par opération de traitement, est le cœur des registres requis par l'article 30.
Consentement qui a une réelle valeur
Le consentement explicite pour les données de santé selon le RGPD n'est valable que lorsqu'il s'agit d'une déclaration distincte et spécifique par objectif, donnée par un acte positif clair, informé sur les destinataires, enregistré avec l'heure et la méthode, et révocable aussi facilement qu'il a été donné. Les cases pré-cochées, les finalités groupées et les applications inutilisables sans consentement à l'analyse ont toutes été jugées invalides.
Les régulateurs ont invalidé le consentement pour les applications de santé pour les mêmes raisons de manière répétée : cases pré-cochées ; consentement demandé pour tout en une seule fois ; aucune possibilité d'utiliser l'application sans consentir à l'analytique ; textes de consentement ne nommant pas les destinataires ; absence de voie de retrait. Un consentement explicite valide pour les données de santé signifie une déclaration distincte et spécifique ("J'accepte qu'Anpheros stocke les résultats de laboratoire que je télécharge"), granulaire par objectif (stockage ; partage avec une clinique nommée ; statistiques anonymisées), avec un enregistrement de quand et comment il a été donné, et un interrupteur qui le révoque avec effet immédiat sur les traitements futurs. Les données des enfants nécessitent le détenteur de l'autorité parentale, avec des seuils d'âge fixés par chaque État membre entre 13 et 16 ans.
Secret, article 9(3)
L'article 9(3) du RGPD établit la condition de secret pour l'exception des soins de santé : les données de santé ne peuvent être traitées en vertu de l'article 9(2)(h) que par ou sous la responsabilité d'un professionnel lié par le secret professionnel en vertu du droit de l'UE ou du droit national, ou par une autre personne soumise à une obligation de secret équivalente.
Les fournisseurs de logiciels pour les cliniques remplissent cette condition par contrat : l'accord de traitement impose la confidentialité au personnel ayant accès, et l'accès est consigné.
Au-delà de l'article 9
Une exception de l'article 9(2) n'est pas la seule obligation du RGPD pour les données de santé. Le traitement nécessite également une base de l'article 6, généralement une analyse d'impact relative à la protection des données (AIPD) en vertu de l'article 35 et un délégué à la protection des données (DPD) en vertu de l'article 37, des limites sur les décisions automatisées en vertu de l'article 22, un outil du chapitre V pour les transferts hors de l'UE, une notification de violation dans les 72 heures et les lois nationales sur les dossiers de santé.
- L'article 6 s'applique toujours : contrat (6(1)(b)) pour la fourniture du service demandé par la personne, consentement (6(1)(a)), obligation légale, mission d'intérêt public ou intérêts légitimes, qui ne peuvent être utilisés pour outrepasser l'article 9.
- Article 35 EIPD est obligatoire pour le traitement à grande échelle de catégories spéciales ; la plupart des applications de santé et toutes les plateformes entrent dans cette catégorie. Voir EIPD pour une application de santé.
- Article 37 DPO est obligatoire pour les activités principales consistant en un traitement à grande échelle de catégories spéciales.
- L'article 22 limite les décisions fondées uniquement sur un traitement automatisé ayant des effets significatifs, ce qui inclut le triage ou l'éligibilité automatisés ; les données de santé ne peuvent être utilisées pour ceux-ci qu'avec un consentement explicite ou une base légale prévue par la loi, avec des garanties.
- Article 44 et suivants : les transferts hors de l'UE nécessitent une décision d'adéquation (le Cadre de protection des données UE-États-Unis pour les entreprises américaines certifiées), des clauses contractuelles types avec une évaluation d'impact du transfert, ou un autre outil du chapitre V. L'hébergement dans l'UE évite la question pour les données au repos ; le personnel de support à l'étranger ne le fait pas.
- Articles 33-34 : notification de violation à l'autorité dans les 72 heures et aux personnes lorsque le risque est élevé, ce qui est généralement le cas pour les données de santé.
- Droit national ajoute des couches : lois sur le secret médical, lois sur les dossiers de santé, périodes de conservation, et dans certains pays règles spécifiques pour les applications de santé (certification d'hébergement HDS en France, cadre DiGA en Allemagne).
L'EHDS en plus
Le règlement sur l'Espace européen des données de santé (2025/327) ne modifie pas l'article 9. Il ajoute des droits d'accès et de portabilité des données de santé dans un format commun, des obligations pour les systèmes de DSE, et un système de permis pour l'usage secondaire qui s'appuie sur les articles 9(2)(g), (h), (i) et (j) avec ses propres garanties et une option de retrait. Voir Vos données médicales dans l'UE.
Chez Anpheros
Anpheros traite les données de santé sur la base du consentement explicite de la personne pour le dossier qu'elle conserve (article 9(2)(a)), par objectif et révocable dans l'application, et en tant que sous-traitant pour les cliniques qui écrivent dans ce dossier sous leur propre base de l'article 9(2)(h). Chaque accès par une clinique nécessite l'approbation de la personne pour une portée et une durée et apparaît dans son journal d'accès. Voir Plateforme de consentement du patient et Qui a consulté mon dossier médical ?.
Cette page explique la réglementation pour les équipes produit et ingénierie. Ce n'est pas un avis juridique ; les textes liés sous Sources font autorité, et votre délégué à la protection des données, organisme notifié ou conseiller décide pour votre cas. Dernière révision : octobre 2026.
Pages connexes
- EIPD pour une application de santé : checklist et modèle
- Vos données médicales dans l'UE : RGPD, EHDS et vos droits
- HIPAA vs RGPD
- Désidentification des données de santé
- Plateforme de consentement du patient
- Carte de la réglementation des données de santé
- RGPD pour les développeurs (site développeur)
Sources
- Article 9 du RGPD, EUR-Lex
- Article 4(15) et considérant 35 du RGPD, EUR-Lex
- EDPB : Lignes directrices 05/2020 sur le consentement
- CJUE, C-184/20 (OT c. Vyriausioji tarnybinės etikos komisija), 2022
- EDPB : Lignes directrices sur le traitement des données de santé à des fins de recherche dans le contexte de la COVID-19 (03/2020)
- Règlement (UE) 2025/327 (EHDS), EUR-Lex
Questions fréquentes
Un nombre de pas est-il une donnée de santé ?
En soi, généralement pas. Combiné à d'autres données qui révèlent un état de santé (un diagnostic, un programme de rééducation, une condition cardiaque), ou traité pour en déduire un, cela devient une donnée de santé. Les régulateurs examinent l'objectif et l'inférence, pas seulement le champ brut.
Puis-je utiliser les intérêts légitimes pour les données de santé ?
Non. Les intérêts légitimes sont une base de l'article 6 ; les données de santé nécessitent en plus une exception de l'article 9(2), et aucune d'entre elles n'est les intérêts légitimes. L'analytique sur les données de santé nécessite un consentement ou une anonymisation.
Une clinique a-t-elle besoin du consentement du patient pour tenir des dossiers ?
Pas dans le cadre du RGPD : elle traite en vertu de l'article 9(2)(h) et du droit national de la santé. Le consentement devient pertinent lorsque les données sont utilisées à d'autres fins (partage avec une application, recherche, marketing) ou lorsque la loi nationale l'exige.
Combien de temps les données de santé peuvent-elles être conservées ?
Le RGPD stipule pas plus longtemps que nécessaire ; les lois nationales sur les dossiers de santé fixent des périodes de conservation concrètes pour les dossiers cliniques (souvent 10 à 30 ans). Un dossier personnel contrôlé par la personne est conservé tant qu'elle le souhaite, et supprimé sur demande.
Essayez gratuitement dans le sandbox
Votre premier appel FHIR en 5 minutes. Une API HL7 FHIR R4 avec le consentement du patient intégré : essayez-la dans le bac à sable, puis connectez votre propre application ou système de clinique.
Gratuit · 30 patients synthétiques · sans carte
Anpheros développe un dossier médical que le patient contrôle et peut partager avec n'importe quelle clinique, sur une plateforme HL7 FHIR R4, basée en UE. Ces guides vous aident à comprendre et organiser votre santé ; ils ne remplacent pas votre médecin.
À propos d'Anpheros →