Les données de santé sont la catégorie la plus protégée par le RGPD : un traitement incorrect expose à des amendes allant jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial. Nous accompagnons cliniques, cabinets médicaux, centres de diagnostic et établissements médico-sociaux pour se conformer avec précision, sans paralyser l'activité de soins.
Le secteur de la santé traite des données particulièrement sensibles : diagnostics, traitements, résultats d'examens, dossiers cliniques. L'article 9 du RGPD les classe comme catégorie particulière et impose des mesures techniques et organisationnelles renforcées. Pour un centre de santé privé ou un cabinet spécialisé, il ne s'agit pas de bureaucratie facultative : l'Agencia Española de Protección de Datos (AEPD) a infligé des sanctions de plusieurs millions d'euros à des cliniques dentaires, des laboratoires et des hôpitaux pour des lacunes dans la gestion du consentement, des accès non contrôlés ou une notification tardive de violations de données.
Le problème le plus fréquent n'est pas la mauvaise foi, mais le manque d'organisation : registres des activités de traitement incomplets, formulaires de consentement éclairé qui mélangent finalités médicales et commerciales, contrats insuffisants avec les fournisseurs de logiciels cliniques ou de services de nettoyage, et absence d'un protocole réel de réponse aux incidents. Lorsqu'une fuite de données ou une plainte devant l'AEPD survient, l'établissement découvre qu'il ne dispose d'aucune documentation prouvant qu'il a agi correctement.
Summum Consultoría accompagne les entreprises dans leurs projets de conformité réglementaire depuis 2007. Dans le domaine de la santé, nous travaillons en étroite collaboration avec le responsable de l'établissement pour mettre en place un système de protection des données que l'équipe peut maintenir au quotidien, sans dépendre d'un avocat externe pour chaque question. Nous nous coordonnons avec Summum Sistemas lorsque la solution implique de renforcer les contrôles techniques dans le logiciel clinique, et avec Summum IA lorsque l'établissement utilise des outils de diagnostic assisté ou de traitement automatisé de données.
Analyse des flux de données de l'établissement : quelles informations sont collectées, qui y accède, avec quels systèmes et dans le cadre de quels contrats. Nous identifions les écarts par rapport au RGPD et à la LOPDGDD 3/2018, et nous priorisons les actions selon le risque réel.
Nous rédigeons ou mettons à jour le registre des activités de traitement, les politiques de confidentialité et les formulaires de consentement éclairé différenciés par finalité (soins, recherche, communications). Nous examinons et complétons les contrats avec les sous-traitants : laboratoires, logiciels cliniques, services externalisés.
Nous définissons la politique de contrôle des accès, la gestion des mots de passe, le chiffrement des dossiers cliniques et la traçabilité des consultations. Nous établissons la procédure de notification des violations à l'AEPD (délai maximum de 72 heures) et le protocole de traitement des droits des patients (accès, rectification, effacement, portabilité).
Nous formons le personnel administratif et soignant à ses obligations concrètes. Nous proposons une révision annuelle du système, une mise à jour en cas d'évolution réglementaire et, en option, le service de Délégué à la Protection des Données externe (DPD) qu'impose le RGPD à certains établissements de santé.
Le détail opérationnel : ce que nous livrons dans le cadre du travail et ce que nous maintenons vivant ensuite.
Registre des activités de traitement
Document central exigé par l'article 30 du RGPD. Nous le constituons pour l'ensemble des traitements de l'établissement : dossier clinique, gestion des rendez-vous, facturation, vidéosurveillance, ressources humaines.
Analyse d'impact (AIPD)
Obligatoire lorsque le traitement présente un risque élevé (systèmes de diagnostic automatisé, données génétiques, traitement à grande échelle). Nous réalisons l'analyse et documentons les mesures adoptées.
Contrats avec les sous-traitants
Examen et signature des accords avec les fournisseurs de logiciels cliniques, les laboratoires externes, les services de nettoyage et de maintenance, la téléphonie et tout tiers accédant aux données de l'établissement.
Consentements et clauses d'information
Rédaction de formulaires de consentement éclairé différenciés par finalité, clauses RGPD dans les contrats patients, mentions légales et politique de cookies adaptées à l'activité de santé.
Protocole de violation de données
Procédure interne de détection, de confinement, de notification à l'AEPD dans les 72 heures et de communication aux personnes concernées lorsque cela est requis, conformément à l'article 33 du RGPD.
DPD externe (option)
Service de Délégué à la Protection des Données pour les établissements qui y sont tenus (cliniques traitant à grande échelle des données de santé) ou qui souhaitent disposer d'un expert indépendant accrédité auprès de l'AEPD.
La conformité réglementaire dans le secteur de la santé traverse transversalement les cinq divisions de Grupo Summum : la consultance juridique relève de notre périmètre, les contrôles techniques dans le logiciel clinique sont renforcés par Summum Sistemas, et les projets de diagnostic assisté ou d'IA en santé sont accompagnés par Summum IA sous l'angle de l'AI Act et du RGPD.
Pour les établissements de santé ayant besoin d'un Délégué à la Protection des Données indépendant et accrédité auprès de l'AEPD.
Voir le service → consultoríaCadre général de mise en conformité RGPD pour tout secteur, dont le RGPD santé est la spécialisation à plus haut risque.
Voir le service → sistemasLorsque la conformité technique exige de renforcer les contrôles d'accès, le chiffrement et la traçabilité dans le logiciel de gestion clinique.
Voir le service →Le RGPD impose la désignation d'un Délégué à la Protection des Données aux responsables de traitement dont l'activité principale consiste à traiter à grande échelle des catégories particulières de données (article 37.1.c). L'AEPD a précisé que les hôpitaux, les cliniques accueillant un volume significatif de patients et les laboratoires d'analyses cliniques entrent dans cette obligation. Pour les cabinets individuels ou les petits centres, cela n'est pas toujours obligatoire, mais très recommandé comme mesure de responsabilité proactive.
Le droit à l'effacement prévu à l'article 17 du RGPD comporte des exceptions importantes en matière de santé : les données du dossier clinique doivent être conservées conformément à la législation sanitaire régionale (généralement 5 ans à compter de la sortie, bien que cela varie selon la communauté autonome). L'établissement doit répondre dans un délai d'un mois, expliquer la base juridique de la conservation et supprimer uniquement les données non couvertes par cette obligation légale.
L'article 33 du RGPD fixe un délai maximum de 72 heures à compter du moment où le responsable prend connaissance de la violation, dès lors qu'il est probable qu'elle engendre un risque pour les droits des personnes concernées. En santé, presque toute violation touchant des dossiers cliniques dépasse ce seuil. La notification tardive ou l'omission constituent des infractions graves. Disposer du protocole préparé à l'avance est la seule façon de respecter le délai dans la pratique.
Ce ne sont pas la même chose. Le consentement éclairé du patient pour une intervention ou un traitement médical est régi par la Loi 41/2002 relative à l'autonomie du patient. Le consentement au traitement des données à caractère personnel est réglementé par le RGPD et a ses propres exigences : il doit être libre, éclairé, spécifique et non ambigu, et distinct selon les finalités. Un même document peut couvrir les deux aspects, mais il doit être rédigé avec soin pour que les deux sections soient juridiquement correctes.
Ils sont sous-traitants et l'établissement est tenu de conclure avec eux un contrat de sous-traitance conforme à l'article 28 du RGPD, réglementant quelles données ils traitent, à quelle fin, pendant combien de temps et quelles mesures de sécurité ils appliquent. Si le fournisseur ne propose pas ce contrat ou si ses conditions sont insuffisantes, l'établissement reste responsable devant l'AEPD. Nous examinons ces contrats dans le cadre du projet de mise en conformité.