Dans l’exercice infirmier, le RGPD n’est pas une formalité administrative isolée. C’est une obligation de maîtrise des données patients : savoir quelles données sont collectées, pourquoi, par qui elles sont consultées, combien de temps elles sont conservées, comment elles sont sécurisées et comment le patient est informé.

La CNIL est l’autorité de contrôle. Elle rappelle que le RGPD s’applique aux dossiers informatisés mais aussi aux dossiers papier, dès lors qu’ils contiennent des données personnelles : identité, coordonnées, pathologies, prescriptions, soins, photos de plaies, facturation, échanges interprofessionnels.

Les données de santé sont des données sensibles : leur traitement est en principe interdit, sauf exceptions prévues par le RGPD et la loi Informatique et Libertés, notamment lorsqu’elles sont nécessaires à la prise en charge sanitaire.

Point important : le consentement RGPD n’est pas toujours requis

Pour les données nécessaires au diagnostic, aux soins, au suivi, à la coordination ou à la facturation, le professionnel de santé n’a pas à recueillir un consentement RGPD spécifique. En revanche, il doit informer le patient du traitement de ses données.

Ce qu’il faut mettre en œuvre concrètement

1. Tenir un registre des traitements

Le registre est le document de base. Il peut être simple, papier ou numérique. Il doit décrire les traitements de données réalisés : dossier patient, facturation, télétransmission, agenda, messagerie, photos de plaies, téléexpertise, logiciel métier, cloud, comptabilité, secrétariat, etc. La CNIL indique que le registre permet de documenter la conformité et d’identifier les finalités, les acteurs, les sous-traitants, les catégories de données et les mesures prises.

2. Informer les patients

L’information doit être accessible et compréhensible : affiche au cabinet, note remise au patient, mention dans le dossier de soins ou document d’accueil.

Elle doit préciser :

• qui est responsable du traitement ;

• pourquoi les données sont utilisées ;

• quelles catégories de données sont collectées ;

• qui peut y accéder ;

• combien de temps elles sont conservées ;

• les droits du patient : accès, rectification, opposition dans certains cas, limitation ;

• la possibilité de saisir la CNIL.

La CNIL rappelle que les patients doivent être informés du traitement de leurs données, même lorsqu’un consentement n’est pas requis pour les soins.

3. Limiter les données collectées

Le principe est simple : ne collecter que ce qui est utile au soin, à la coordination, à la sécurité du patient, à la facturation ou à une obligation légale.

4. Sécuriser les supports

La sécurité doit concerner le numérique et le papier. La CNIL rappelle que les données de santé doivent être particulièrement protégées et que les accès au dossier patient doivent être limités aux personnes justifiant du besoin d’en connaître.

5. Vérifier les logiciels et hébergements

Un logiciel de dossier patient, un agenda en ligne, un outil de téléexpertise, un cloud ou un service d’archivage peuvent impliquer un sous-traitant. Les traitements confiés à un sous-traitant doivent être encadrés par un contrat précisant l’objet, la durée, la finalité, les obligations des parties et la sécurité du traitement.

Pour l’hébergement de données de santé recueillies à l’occasion d’activités de prévention, diagnostic, soins ou suivi médico-social, le cadre HDS vise à garantir confidentialité et sécurité.

6. Encadrer les photos de plaies

La photo de plaie est une donnée de santé et parfois une donnée permettant d’identifier indirectement le patient. Elle doit être justifiée par une finalité clinique : suivi d’évolution, coordination, téléexpertise, traçabilité.

7. Gérer les droits des patients

Le patient peut demander l’accès à ses données. Pour les données de santé, la communication doit intervenir au plus tôt après 48 heures et au plus tard dans les 8 jours ; ce délai peut être porté à 2 mois lorsque les informations datent de plus de 5 ans.

8. Définir les durées de conservation

Les données ne peuvent pas être conservées indéfiniment. La CNIL rappelle que les professionnels de santé doivent définir une durée de conservation. Pour les médecins libéraux, elle cite la recommandation de conservation du dossier médical pendant 20 ans à compter de la dernière consultation ; en l’absence de règle infirmière spécifique clairement individualisée, l’alignement prudent sur une durée de 20 ans pour le dossier de soins infirmiers est défendable, à condition de l’inscrire dans une politique de conservation.

9. Prévoir une conduite à tenir en cas d’incident

Une violation de données peut être : perte d’un ordinateur, vol de téléphone, dossier papier égaré, envoi d’un mail au mauvais destinataire, accès non autorisé au logiciel, cyberattaque, piratage du cloud.

La CNIL impose de documenter les violations et de notifier la CNIL dans les 72 heures lorsqu’il existe un risque pour les droits et libertés des personnes ; si le risque est élevé, les patients concernés doivent également être informés.