RGPD : qui est responsable de quoi dans une maison médicale

La conversation revient à chaque audit : « le RGPD, c’est le logiciel qui s’en occupe, non ? ». Non. Le logiciel en est un instrument. La responsabilité, elle, ne se sous-traite pas — et il vaut mieux savoir précisément où elle se situe avant qu’un patient ne pose la question.

Vous êtes responsable du traitement, nous sommes sous-traitant

Le vocabulaire compte parce qu’il détermine qui répond en cas de problème.

La maison médicale est responsable du traitement : c’est elle qui décide quelles données de ses patients sont collectées, pourquoi, et combien de temps elles sont conservées. Un éditeur de logiciel est sous-traitant : il traite ces données sur instruction, sans jamais décider seul de leur finalité.

Concrètement, cela veut dire que nous ne pouvons pas décider à votre place d’exporter vos données, de les analyser à des fins commerciales ou de les conserver plus longtemps que ce que vous avez fixé. Cela veut dire aussi que si une donnée est collectée sans base légale, c’est vous qui devez le justifier — pas nous.

Cette répartition doit être écrite dans un contrat de sous-traitance (article 28). S’il ne vous a jamais été proposé, c’est déjà une anomalie.

Le DPO : obligatoire, et souvent absent

Une maison médicale traite des données de santé à grande échelle. Elle entre donc dans les cas où la désignation d’un délégué à la protection des données est obligatoire.

Le DPO n’a pas besoin d’être salarié : il peut être mutualisé entre plusieurs structures ou externalisé. Ce qu’il ne peut pas être, c’est fictif. Son rôle n’est pas de signer un document une fois par an, mais d’être consulté quand une décision touche aux données : ouverture d’un portail patient, changement de logiciel, arrivée d’un nouveau prestataire.

Le registre des traitements, sans le fantasme

Le registre a mauvaise réputation parce qu’il est vu comme un exercice de conformité. Rédigé correctement, c’est simplement l’inventaire de ce que vous faites déjà : gestion des dossiers patients, agenda, facturation, communications, ressources humaines, vidéosurveillance s’il y en a.

Pour chaque traitement : la finalité, les catégories de personnes, les catégories de données, les destinataires, la durée de conservation, les mesures de sécurité. Une dizaine de lignes par traitement suffit. Ce qui prend du temps, ce n’est pas l’écriture, c’est de constater qu’une donnée circule quelque part où personne ne l’avait prévu — un tableur partagé, une boîte mail personnelle, un groupe WhatsApp.

Ce que votre logiciel doit vous fournir

Un outil ne vous met pas en conformité. Il vous rend la conformité tenable. Les éléments à exiger :

• Un journal d’audit consultable. Qui a ouvert quel dossier, quand. Sans lui, vous ne pouvez pas répondre à un patient qui demande qui a consulté ses données — une demande parfaitement légitime.
• Des permissions par rôle. Un secrétariat n’a pas besoin d’ouvrir une consultation pour vérifier une assurabilité. Le principe de minimisation se traduit d’abord par des droits d’accès.
• L’export de vos données dans un format exploitable. Le droit à la portabilité concerne vos patients, mais la réversibilité concerne votre structure. Les deux se préparent avant, pas au moment de partir.
• La localisation de l’hébergement, par écrit. « Dans le cloud » n’est pas une réponse. « Dans l’Union européenne, chez tel hébergeur, avec tel sous-traitant ultérieur » en est une.
• La liste des sous-traitants ultérieurs. Un éditeur qui utilise un service tiers pour ses sauvegardes ou ses envois d’emails doit vous le dire, et vous devez pouvoir vous y opposer.

Les trois écarts que nous voyons le plus souvent

Les canaux personnels. Un message patient reçu sur le WhatsApp privé d’une collègue est un traitement de données de santé sur un terminal non maîtrisé, sans traçabilité et sans possibilité de suppression. C’est l’écart le plus répandu, et le plus facile à corriger.

Les comptes partagés. Un identifiant « accueil » utilisé par quatre personnes rend le journal d’audit inutilisable : vous savez qu’un dossier a été ouvert, jamais par qui.

Les durées de conservation jamais fixées. Le dossier médical a une durée légale ; un enregistrement d’appel, un formulaire de contact ou un log technique n’en ont pas par défaut. Sans décision explicite, tout est conservé indéfiniment — ce qui est précisément ce que le règlement interdit.

Par où commencer si rien n’est fait

Prenez une heure et écrivez la liste des endroits où vit une donnée de patient : logiciel métier, agenda, boîtes mail, téléphones, tableurs, papier. La liste est presque toujours plus longue que prévu.

C’est ce document, et non le règlement lui-même, qui rend la suite évidente : chaque ligne qui n’a pas de raison d’exister est une exposition inutile, et chaque ligne qui doit exister mérite d’être décrite dans votre registre.