Les données de santé figurent parmi les catégories les plus encadrées par le droit européen et français. Le RGPD les classe comme données sensibles, ce qui interdit par défaut leur traitement, sauf exceptions strictement définies. Pour un acteur comme Netech Corp, opérant à la croisée de la technologie et des environnements réglementés, la conformité ne se limite pas à cocher des cases : elle conditionne la possibilité même de traiter, stocker ou transmettre des informations de santé.
Référentiel HDS v2 : ce qui change concrètement pour les hébergeurs en 2026
Avant de parler de RGPD au sens large, il faut comprendre une brique réglementaire spécifiquement française qui conditionne tout le reste. L’hébergement de données de santé (HDS) obéit à un référentiel de certification prévu par l’article L.1111-8 du Code de la santé publique.
La version 2.0 de ce référentiel, approuvée par l’arrêté du 26 avril 2024, est devenue la seule référence légale depuis le 16 mai 2026. Un prestataire qui affiche encore une certification HDS délivrée sous l’ancien référentiel de 2018 se trouve en situation de non-conformité, même si son certificat n’a pas formellement expiré.
Les conséquences sont doubles. Pour l’hébergeur, c’est une exposition à des sanctions pénales. Pour le responsable de traitement qui lui confie des données de santé, c’est un manquement à l’obligation de sécurité au sens de l’article 32 du RGPD. Autrement dit, choisir un hébergeur non certifié HDS v2 engage la responsabilité du donneur d’ordre.
Netech Corp et les acteurs similaires doivent donc vérifier, contrat par contrat, que chaque sous-traitant impliqué dans la chaîne d’hébergement détient un certificat HDS v2 valide, avec dates et périmètre explicites.
Sanctions CNIL sur les données de santé : les modèles d’exploitation dans le viseur
La CNIL a changé d’approche ces dernières années. Les sanctions ne ciblent plus seulement des failles techniques ponctuelles (mot de passe en clair, accès non restreint). Elles visent désormais des modèles d’exploitation de données de santé jugés incompatibles avec le RGPD.
L’exemple le plus parlant : en septembre 2024, Cegedim Santé a été sanctionnée à hauteur de 800 000 euros. Le reproche portait sur la réutilisation de données issues de dossiers patients à des fins statistiques, sans base juridique adéquate. Le traitement n’était pas un piratage ni une fuite, c’était un usage secondaire considéré comme non conforme.
Quelques mois plus tard, la société IQVIA a reçu une amende de 5 millions d’euros de la CNIL pour des manquements liés à la protection des données de santé. Ces montants signalent un durcissement net : la CNIL sanctionne la logique même du traitement, pas uniquement ses défauts techniques.
Ce que cela implique pour une entreprise technologique
Un prestataire qui collecte, agrège ou analyse des données de santé pour le compte de tiers doit documenter trois éléments avant tout traitement :
- La base juridique précise du traitement (consentement explicite, intérêt public dans le domaine de la santé, recherche encadrée par une méthodologie de référence CNIL)
- La finalité initiale et toute finalité ultérieure envisagée, avec une analyse d’impact (PIA) si le traitement présente un risque élevé pour les droits des personnes
- Les mesures techniques et organisationnelles garantissant que les données ne seront pas réutilisées en dehors du périmètre déclaré
Netech Corp, comme tout acteur traitant des données de santé, ne peut pas se contenter d’un registre de traitements générique. Chaque flux de données doit être cartographié avec sa base juridique propre.
Données de santé et RGPD : le principe d’interdiction et ses exceptions
Le RGPD pose un principe souvent mal compris : le traitement de données de santé est interdit par défaut. L’article 9 du règlement liste ensuite les exceptions qui permettent de lever cette interdiction.
En pratique, les bases juridiques mobilisables dans le secteur de la santé sont peu nombreuses :
- Le consentement explicite de la personne concernée, qui doit être libre, spécifique, éclairé et univoque
- La nécessité du traitement pour des motifs d’intérêt public dans le domaine de la santé publique (article 9.2.i)
- La nécessité aux fins de la médecine préventive, de diagnostics médicaux, de la prise en charge sanitaire ou sociale
- Les traitements à des fins de recherche, encadrés par les méthodologies de référence publiées par la CNIL (MR-001 à MR-006)
Le piège fréquent consiste à invoquer le consentement alors que le contexte ne le permet pas réellement. Un patient qui donne ses informations pour être soigné ne consent pas, par ce seul geste, à ce que ses données alimentent un algorithme d’analyse prédictive. Le consentement au soin et le consentement au traitement de données sont deux actes juridiques distincts.
Conformité RGPD dans la healthtech : rôle du DPO et analyse d’impact
Toute structure qui traite des données de santé à grande échelle doit désigner un délégué à la protection des données (DPO). Ce n’est pas une recommandation : c’est une obligation prévue par l’article 37 du RGPD lorsque le traitement porte sur des catégories particulières de données à grande échelle.
Le DPO n’est pas un simple référent interne. Son rôle consiste à vérifier que chaque nouveau traitement passe par une analyse d’impact relative à la protection des données (PIA, ou AIPD en français). Cette analyse est obligatoire dès que le traitement de données de santé présente un risque élevé pour les droits et libertés des personnes.
Contenu minimal d’une analyse d’impact
L’analyse doit décrire les opérations de traitement envisagées, évaluer la nécessité et la proportionnalité du traitement par rapport à sa finalité, et identifier les risques pour les personnes concernées. Elle doit aussi détailler les mesures prévues pour atténuer ces risques : pseudonymisation, chiffrement, limitation d’accès, journalisation des consultations.
Pour une entreprise comme Netech Corp, intégrer cette analyse en amont de chaque projet (ce que le RGPD appelle protection des données dès la conception) évite de découvrir un problème de conformité après la mise en production.
Le cadre réglementaire applicable aux données de santé ne se stabilise pas : il se durcit. La bascule obligatoire vers le référentiel HDS v2, les amendes CNIL visant les usages secondaires non autorisés et l’exigence croissante de documentation en amont dessinent un environnement où la conformité technique et juridique doit être vérifiée à chaque maillon de la chaîne de traitement. Un certificat périmé ou une base juridique approximative suffisent à engager la responsabilité de l’ensemble des acteurs impliqués.
