Données de santé, sous-traitants, hébergement en France, ce que tout médecin doit savoir avant de choisir une solution de transcription conforme au RGPD.
RGPD, DPA obligatoire
hébergé en France (OVH Roubaix)
AES-256 en transit
L’article 9 du RGPD place les données de santé dans les « catégories particulières », un régime juridique plus strict. Leur traitement exige un fondement légal spécifique et des mesures techniques renforcées.
Dès qu’une tierce partie traite des données médicales en votre nom, elle est sous-traitant au sens de l’art. 28 RGPD. Vous devez signer un DPA (Data Processing Agreement) avec elle avant tout traitement.
Note : La CNIL a sanctionné plusieurs établissements de santé pour transfert illicite de données médicales vers des prestataires non conformes. Le DPA n’est pas une formalité.
Demandez le certificat hébergement France RGPD (Hébergeur de Données de Santé) délivré par un organisme accrédité COFRAC. Ce certificat atteste que le prestataire respecte l’article L.1111-8 du Code de la santé publique.
L’art. 28 RGPD impose un contrat de sous-traitance écrit. Ce DPA doit préciser : objet, durée, nature du traitement, obligations du sous-traitant, et liste des sous-sous-traitants autorisés.
Les données de santé ne peuvent pas être transférées hors UE sans garanties équivalentes (SCCs ou décision d’adéquation). Exigez une localisation France ou UE contractuellement.
Tout traitement de données personnelles doit figurer dans votre registre des activités de traitement (art. 30 RGPD). Ajoutez-y votre prestataire de transcription avec les détails du DPA et la localisation des données.
Oui. Même les médecins libéraux sont responsables de traitement au sens du RGPD. Tout prestataire qui traite des données patients en leur nom doit signer un DPA, sans exception.
hébergement France RGPD = Hébergeur de Données de Santé. La certification est obligatoire en France pour tout hébergement de données de santé (art. L.1111-8 CSP). Un prestataire sans hébergement France RGPD = risque juridique pour le médecin.
Uniquement avec consentement explicite. Le RGPD interdit l’utilisation des données de santé pour d’autres finalités que celles déclarées initialement. Chez Meditext, vos données ne sont jamais réutilisées.
Cessez les envois de données patients immédiatement. Demandez la destruction des données existantes par écrit. Cherchez un prestataire hébergé en France avec DPA, un changement préventif évite une sanction CNIL.
Oui. Meditext fournit un DPA conforme à l’art. 28 RGPD sur demande. Contactez [email protected] pour obtenir le document à signer avant tout traitement de données patients.
DPA disponible. Hébergement France (OVH Roubaix). Essai sans engagement.
Selon le RGPD, le médecin ou l’établissement qui dicte est responsable de traitement : c’est lui qui définit la finalité et les moyens du traitement. Le prestataire de transcription, quant à lui, est sous-traitant. Cette distinction est fondamentale : un prestataire non-conforme engage la responsabilité du responsable de traitement, même si c’est le prestataire qui a fauté.
Meditext signe un Accord de Traitement des Données (ATD) avec chaque client. Ce contrat formalise les obligations réciproques : finalités du traitement, durées de conservation, mesures de sécurité implémentées, sous-traitants ultérieurs éventuels. Sans ATD, vous ne pouvez pas légalement confier de données de santé à un prestataire.
Transmettre des fichiers audio ou des comptes-rendus par e-mail standard est une violation RGPD. Meditext utilise un portail chiffré HTTPS avec accès authentifié.
Les données de santé hébergées aux États-Unis ou en Asie ne bénéficient pas des protections européennes. Meditext héberge exclusivement sur OVH Roubaix (France).
Sans accord de sous-traitance formé, vous êtes en infraction. L’ATD est obligatoire dès le premier fichier confié à un prestataire extérieur.
Les données de santé ne peuvent être conservées au-delà de la durée nécessaire. Meditext applique une politique de suppression automatique après livraison.
Chaque transcripteur Meditext signe un accord de confidentialité individuel. Les données patients ne sont jamais partagées avec des tiers non autorisés.
Meditext héberge l’intégralité de ses données sur des serveurs OVH situés à Roubaix, en France. Cela garantit :
Important : Meditext n’est pas certifié HDS (Hébergeur de Données de Santé). Si votre établissement exige spécifiquement cette certification, vérifiez avec votre DPO les conditions d’utilisation.
Avant de confier vos fichiers audio médicaux à un prestataire de transcription, posez-lui ces cinq questions. Les réponses vous permettront déjà d’évaluer son niveau de conformité RGPD :
Le RGPD accorde aux patients des droits qu’ils peuvent exercer directement auprès du responsable de traitement (vous). Meditext facilite l’exercice de ces droits en tant que sous-traitant :