Qu est-ce qu une donnee de sante ? Definition, exemples et cas limites

qu est-ce qu une donnee de sante. Qu’est-ce qu’une donnée de santé, au juste ? La question n’est pas théorique. De cette qualification dépendent des obligations lourdes : sécurité renforcée, contrat de sous-traitance écrit, hébergement agréé. Beaucoup de professionnels manipulent ces données sans toujours en mesurer le périmètre exact, qui va plus loin que le seul dossier médical.

Qu’est-ce qu’une donnée de santé selon le RGPD ? qu est-ce qu une donnee de sante

Le RGPD, applicable en Nouvelle-Calédonie, définit la donnée de santé comme toute information se rapportant à l’état de santé d’une personne physique et qui révèle des informations sur cet état. La formulation est volontairement large. Elle couvre l’état physique comme l’état mental, qu’il soit antérieur, actuel ou futur. Un dossier ne devient pas sensible parce qu’un texte le décrète ; il l’est parce que son contenu renseigne sur la santé d’un individu identifié ou identifiable. Cette approche par la finalité explique pourquoi des données qui semblent neutres peuvent basculer dans la catégorie protégée selon le contexte où elles sont collectées et traitées.

Une catégorie particulière : l’article 9 et la protection renforcée

L’article 9 du RGPD classe les données de santé parmi les catégories particulières de données, aux côtés notamment des données génétiques, biométriques et de la vie sexuelle. Le principe de départ est l’interdiction de traitement, assortie d’exceptions strictement encadrées : consentement explicite de la personne, nécessité pour la prise en charge médicale, motif d’intérêt public en matière de santé. Cette logique inverse celle des données ordinaires. Pour une donnée courante, le traitement est permis dès lors qu’il repose sur une base légale ; pour une donnée de santé, il faut en plus démontrer qu’on relève d’une des exceptions prévues. C’est cette qualification qui entraîne, en aval, l’obligation de mesures de sécurité élevées et le recours à un hébergeur agréé. Nos repères sur le RGPD appliqué aux données de santé en Nouvelle-Calédonie détaillent ces régimes.

Des exemples concrets qui ne font aucun doute

Certaines informations relèvent de la donnée de santé sans la moindre discussion. Les voici regroupées :

• Le diagnostic : l’identification d’une pathologie, d’un trouble ou d’une affection portée par un professionnel.
• Les résultats d’analyses : bilan sanguin, imagerie médicale, compte rendu de laboratoire, dépistage.
• Les traitements et prescriptions : médicaments délivrés, posologie, protocole de soins, suivi thérapeutique.
• Les données génétiques : informations héréditaires obtenues par analyse d’un échantillon biologique, qui révèlent des prédispositions ou caractéristiques.
• Les antécédents : maladies passées, opérations, allergies, vaccinations consignées dans un dossier.
• Le handicap et la prise en charge médico-sociale : reconnaissance d’une situation, accompagnement spécialisé.

Pour ces catégories, aucune analyse de contexte n’est requise : la nature même de l’information suffit à la qualifier. Dès qu’un acteur de santé les conserve ou les transmet, le régime renforcé s’applique, avec les exigences de sécurité qui en découlent.

Les cas limites : quand une donnée devient de santé

La difficulté commence avec les informations qui ne sont pas médicales en soi, mais qui le deviennent par recoupement ou par finalité. Le poids d’une personne, isolé, n’est qu’une mesure ; associé à une taille, à un suivi nutritionnel et à un objectif thérapeutique, il renseigne sur un état de santé. Le nombre de pas enregistrés par un bracelet connecté est une donnée de bien-être ; intégré au dossier d’un patient cardiaque par son médecin, il acquiert une valeur médicale. La frontière ne tient pas à la donnée elle-même, mais à ce qu’on en déduit et à l’usage qu’on en fait. Une liste de rendez-vous dans un service d’oncologie, même sans aucun détail clinique, révèle déjà une information sensible par simple déduction.

Bien-être, sport, quantified self : la zone grise

Les objets connectés et les applications de suivi brouillent les repères. Une montre qui compte les calories, une application qui enregistre le sommeil, un capteur qui mesure la fréquence cardiaque produisent des données souvent qualifiées de « bien-être » par leurs éditeurs, ce qui les place hors du champ médical strict. Cette présentation mérite prudence. Quand ces mesures sont collectées par un professionnel de santé, intégrées à un parcours de soins ou utilisées pour orienter une décision médicale, elles deviennent des données de santé à part entière et héritent du régime de l’article 9. Le critère décisif reste la finalité : une même mesure de fréquence cardiaque n’a pas le même statut selon qu’elle sert à un coureur du dimanche ou à la surveillance d’un patient. Cette ambiguïté impose, en cas de doute, de retenir la qualification la plus protectrice plutôt que de présumer l’innocuité.

Pourquoi cette qualification change tout

Qualifier une information de donnée de santé n’est pas un exercice de classement abstrait. Cette étiquette déclenche une cascade d’obligations. Le RGPD impose des mesures de sécurité techniques et organisationnelles renforcées, proportionnées au caractère sensible des données. Le recours à un sous-traitant doit reposer sur un contrat écrit qui encadre précisément ses responsabilités. Une violation de ces données doit en principe être notifiée à l’autorité compétente sous soixante-douze heures. Et, en Nouvelle-Calédonie, leur hébergement pour le compte d’un tiers relève d’un agrément du gouvernement, créé par la loi du pays n° 2026-5. Méconnaître la qualification revient à ignorer ces obligations. En Nouvelle-Calédonie, le manquement peut être sanctionné sur deux fondements qui se cumulent : celui du RGPD, dont l’autorité compétente peut prononcer des mesures correctrices, et celui du régime local de la loi du pays n° 2026-5, qui prévoit une sanction administrative pouvant aller jusqu’au retrait de l’agrément de l’hébergeur. Le professionnel qui confie ses fichiers reste de son côté responsable du traitement et répond du choix d’un prestataire conforme. La sécurité attendue est détaillée dans nos repères sur la sécurisation des données de santé.

Identifier ses données de santé dans la pratique

Pour un cabinet, un laboratoire ou une structure médico-sociale, l’enjeu concret est de cartographier ce qui, dans ses fichiers, relève du régime sensible. La démarche consiste à recenser les traitements de données, à repérer ceux qui touchent à la santé directement ou par recoupement, puis à vérifier que chacun bénéficie des garanties adaptées : hébergement agréé, accès restreints, traçabilité, contrats en règle. Une donnée dont la qualification est manquée échappe aux mesures de sécurité et d’hébergement agréé qui devraient s’y appliquer. Un fichier de simples coordonnées de patients, sans information clinique, peut sembler anodin ; rapproché de l’activité de la structure, il dévoile l’existence d’une prise en charge et mérite donc la même vigilance. En cas de doute sur la qualification, retenir le régime sensible évite de découvrir la lacune lors d’un incident ou d’un contrôle.

Sources : CNIL — la protection des données dans le secteur de la santé · Congrès de la Nouvelle-Calédonie — loi du pays n° 2026-5.