Qu'est-ce qu'une donnée de santé ? Définition et exemples

Avant de parler de HDS ou de protection renforcée, il faut savoir de quoi on parle. La notion de « donnée de santé » est plus large qu'on ne le croit, et c'est souvent là que les entreprises se trompent.

La définition

Une donnée de santé est une donnée personnelle qui renseigne sur l'état de santé, physique ou mental, d'une personne, passé, présent ou futur. Le RGPD la range parmi les données sensibles, une catégorie à protection renforcée.

Ce qui compte, c'est l'information qu'elle révèle sur la santé, pas seulement son origine médicale. Une donnée anodine peut devenir une donnée de santé selon le contexte.

Des exemples clairs

Sont des données de santé, sans discussion :

• un diagnostic, une pathologie, un antécédent médical ;
• des résultats d'analyses ou d'examens ;
• un traitement, une prescription, un suivi ;
• un handicap ou une invalidité ;
• des données d'un dispositif médical.

Les cas limites, souvent oubliés

C'est là que ça se complique. Certaines données deviennent des données de santé par recoupement ou par déduction :

• le fait qu'une personne soit suivie dans un service spécialisé (ce seul rattachement révèle une pathologie) ;
• des données d'une application de suivi d'activité si elles permettent de déduire un état de santé ;
• un simple rendez-vous chez un spécialiste, associé à d'autres informations.

À l'inverse, une donnée brute sans lien avec la santé (un nombre de pas isolé, sans finalité médicale) n'est pas nécessairement une donnée de santé. Tout dépend de la finalité et du recoupement possible.

Pourquoi cette qualification change tout

Dès qu'une donnée est qualifiée de donnée de santé, deux conséquences majeures s'enchaînent. D'abord, son traitement est en principe interdit par le RGPD, sauf exceptions encadrées (soins, consentement explicite, obligation légale). Ensuite, si vous l'hébergez pour le compte d'un tiers, la certification HDS devient obligatoire. Se tromper sur la qualification, c'est risquer de passer à côté de ces deux obligations.

Le bon réflexe

En cas de doute, demandez-vous : cette donnée, seule ou combinée à d'autres, permet-elle de déduire quelque chose sur la santé d'une personne ? Si oui, traitez-la comme une donnée de santé. Mieux vaut une prudence excessive qu'un manquement sur des données aussi sensibles. Notez cette qualification dans votre registre des traitements.

En résumé

Une donnée de santé renseigne sur l'état de santé d'une personne, directement ou par déduction. Le RGPD la classe parmi les données sensibles, à protection renforcée : traitement en principe interdit sauf exceptions, et hébergement soumis à HDS. Attention aux cas limites, où une donnée devient « de santé » par recoupement. Dans le doute, appliquez le régime le plus protecteur.

FAQ

Un rendez-vous médical est-il une donnée de santé ? Le fait d'être suivi dans un service spécialisé peut l'être, car il révèle une pathologie. Un simple créneau de rendez-vous, isolé, l'est moins, mais la prudence s'impose selon le contexte.

Les données d'une montre connectée sont-elles des données de santé ? Cela dépend. Si elles permettent de déduire un état de santé ou sont utilisées à une finalité médicale, oui. Une mesure brute sans finalité santé, pas nécessairement.

Pourquoi cette qualification est-elle importante ? Parce qu'elle déclenche deux régimes : l'interdiction de principe de traitement au titre du RGPD, et l'obligation de certification HDS pour l'hébergement.