Je développe une plateforme de santé numérique
Que vérifier avant de traiter des données médicales sur ma plateforme ?
Ce qu’il faut retenir
L’article 7 soumet à autorisation préalable, avant toute mise en œuvre, les traitements portant sur les données médicales qu’il vise. Si votre plateforme en traite, cette exigence doit être prise en compte avant son démarrage.
L’autorisation préalable ne remplace pas l’examen des conditions légales de traitement des données de santé.
Pourquoi cette situation mérite votre attention
Le contenu réel du service importe : un dossier de suivi, un résultat d’examen ou un message médical peut conduire à traiter des données médicales, même dans une application présentée comme un simple outil technique.
L’article 21 encadre les données sensibles et prévoit des exceptions à son interdiction. La seule qualité de plateforme de santé ne démontre pas qu’une exception est applicable.
Ce qui peut changer l’analyse
- Quels contenus médicaux sont collectés, consultés ou transmis ?
- Quelle condition légale permet le traitement des données sensibles concernées ?
- Quels professionnels et prestataires accèdent aux dossiers, et depuis quels lieux ?
Ces questions aident à comprendre votre situation ; leurs réponses ne valent pas décision.
Que pouvez-vous faire ?
- Inventoriez les contenus médicaux et les accès prévus pour chaque fonction.
- Faites examiner les conditions de l’article 21 et les garanties des prestataires.
- Pour le traitement de données médicales visé par l’article 7, obtenez l’autorisation préalable avant sa mise en œuvre et faites préciser les exigences propres au service.
Ce que prévoit la loi
« Sont soumis à autorisation préalable de l’Autorité de protection avant toute mise en œuvre : - le traitement des données à caractère personnel portant sur des données génétiques, médicales et sur la recherche scientifique dans ces domaines ; »
Ce que ce texte établit. L’article 7 vise expressément les traitements portant sur des données génétiques, médicales et sur la recherche scientifique dans ces domaines, soumis à autorisation préalable avant toute mise en œuvre.
Pourquoi il concerne votre situation. Si les fonctions de la plateforme comportent le traitement de données médicales, elles entrent dans la catégorie expressément visée ; le seul intitulé du produit ne remplace pas cet examen.
Ce qui reste à apprécier
- L’exception applicable au titre de l’article 21 et les textes sanitaires propres au service.
- Les rôles et garanties des intervenants ; aucune certification particulière d’hébergement n’est établie par cette fiche.
Autres articles à consulter (2)
- Loi n° 2013-450 — article 21Interdiction et exceptions relatives aux données sensibles ; lire l’article complet, pages 13–14.
- Loi n° 2013-450 — article 20Garanties des sous-traitants intervenant pour le compte du responsable.