Données de santé, sous-traitants, hébergement HDS — ce que tout médecin doit savoir avant de choisir une solution de transcription conforme au RGPD.
RGPD — DPA obligatoire
certifié HDS en France
AES-256 en transit
L’article 9 du RGPD place les données de santé dans les « catégories particulières » — un régime juridique plus strict. Leur traitement exige un fondement légal spécifique et des mesures techniques renforcées.
Dès qu’une tierce partie traite des données médicales en votre nom, elle est sous-traitant au sens de l’art. 28 RGPD. Vous devez signer un DPA (Data Processing Agreement) avec elle avant tout traitement.
Note : La CNIL a sanctionné plusieurs établissements de santé pour transfert illicite de données médicales vers des prestataires non conformes. Le DPA n’est pas une formalité.
Demandez le certificat HDS (Hébergeur de Données de Santé) délivré par un organisme accrédité COFRAC. Ce certificat atteste que le prestataire respecte l’article L.1111-8 du Code de la santé publique.
L’art. 28 RGPD impose un contrat de sous-traitance écrit. Ce DPA doit préciser : objet, durée, nature du traitement, obligations du sous-traitant, et liste des sous-sous-traitants autorisés.
Les données de santé ne peuvent pas être transférées hors UE sans garanties équivalentes (SCCs ou décision d’adéquation). Exigez une localisation France ou UE contractuellement.
Tout traitement de données personnelles doit figurer dans votre registre des activités de traitement (art. 30 RGPD). Ajoutez-y votre prestataire de transcription avec les détails du DPA et la localisation des données.
Oui. Même les médecins libéraux sont responsables de traitement au sens du RGPD. Tout prestataire qui traite des données patients en leur nom doit signer un DPA — sans exception.
HDS = Hébergeur de Données de Santé. La certification est obligatoire en France pour tout hébergement de données de santé (art. L.1111-8 CSP). Un prestataire sans HDS = risque juridique pour le médecin.
Uniquement avec consentement explicite. Le RGPD interdit l’utilisation des données de santé pour d’autres finalités que celles déclarées initialement. Chez Meditext, vos données ne sont jamais réutilisées.
Cessez les envois de données patients immédiatement. Demandez la destruction des données existantes par écrit. Cherchez un prestataire certifié HDS avec DPA — un changement préventif évite une sanction CNIL.
Oui. Meditext fournit un DPA conforme à l’art. 28 RGPD sur demande. Contactez [email protected] pour obtenir le document à signer avant tout traitement de données patients.
DPA disponible. Hébergement HDS France. Essai sans engagement.