Les données patients peuvent-elles être et utilisées ?

L’appareillage du patient nécessite la collecte et le traitement a minima de ses nom, prénom, numéro de sécurité sociale et de sa pathologie. Ces données peuvent être partagées à l’ensemble des professionnels de santé composant son équipe de soins (ORL, audioprothésiste, leurs équipes et assistants) dans une certaine mesure, sous couvert de respecter le secret professionnel et d’obtenir le consentement du patient quant aux personnes le prenant en charge en application du Code de la santé publique (CSP).

Au-delà de ces obligations règlementaires, les données patients constituent des données à caractère personnel et relèvent à ce titre du RGPD^[1]. Plus précisément, il s’agit de « données concernant la santé »^[2] des patients entrant ainsi dans la catégorie particulière des « données sensibles » qui bénéficient d’un niveau de protection renforcé en raison de leur nature et des risques associés à leur utilisation.

En effet, il ressort du RGPD que le traitement des données sensibles est par principe interdit, sauf exceptions^[3]. L’une d’elles concerne la prise en charge médicale. En revanche, lorsque l’audioprothésiste souhaite utiliser les données de ses patients pour une finalité autre que leur prise en charge – par exemple, l’envoi d’une newsletter ou la réalisation d’une étude à destination d’un fabricant – il est indispensable de définir cette finalité. Cette étape permet de vérifier si l’utilisation envisagée correspond à l’une des exceptions prévues par le RGPD, ou s’il est nécessaire de recueillir le consentement exprès des patients pour cette autre utilisation.

Par ailleurs, il est interdit de commercialiser ou monétiser des données de santé, même avec le consentement des patients, sous peine de sanctions pénales^[4]. Ainsi, l’audioprothésiste ne peut pas vendre sa base de patientèle à un tiers.

À noter que les données de santé des patients doivent être hébergées auprès d’un prestataire disposant de la certification « Hébergeur de Données de Santé » (HDS)^[5]. Un contrat d’hébergement doit être formalisé avec ce prestataire. La liste des hébergeurs certifiés est accessible sur le site de l’Agence du Numérique en Santé.

Conséquences concrètes : en pratique, en plus du CSP, les audioprothésistes doivent respecter les règles spécifiques aux données de santé. Cela implique notamment d’identifier précisément les finalités des traitements envisagés hors soins, afin de déterminer si leur consentement est requis, d’informer clairement les patients sur l’usage de leurs données et de s’assurer que l’hébergement des données est confié à un prestataire certifié HDS.