Externalisation des données de santé : protéger chaque interaction
L’externalisation des données de santé exige une vigilance particulière. En effet, chaque interaction peut exposer des informations sensibles par téléphone, e-mail ou formulaire. Les risques concernent les outils, mais aussi les accès, les consignes et les procédures d’escalade. Voici donc le cadre applicable et les mesures qui limitent la circulation des données patient.
Qu’implique l’externalisation des données de santé ?
Elle consiste à confier des tâches qui donnent accès à des informations relatives à la santé. En général, le donneur d’ordre reste responsable du traitement. Le prestataire intervient souvent comme sous-traitant. Toutefois, les finalités et les moyens réellement déterminés par chaque partie fixent leurs rôles.
Ainsi, la protection repose sur quatre éléments complémentaires : le contrat, la limitation des accès, les consignes opérationnelles et la traçabilité.
Quelles informations constituent des données de santé ?
La notion dépasse largement la pathologie ou le résultat médical. Dans sa fiche « Qu’est-ce qu’une donnée de santé ? », la CNIL distingue plusieurs situations. Elle rappelle également que le contexte influence l’appréciation.
| Famille | Exemple | Conséquence opérationnelle |
|---|---|---|
| Données de santé par nature | Symptôme, diagnostic, examen ou traitement | Limiter la collecte aux informations nécessaires |
| Données révélées par croisement | Nom d’un patient associé à une spécialité | Cloisonner les champs et les droits d’accès |
| Données liées à une finalité médicale | Mesure utilisée pour un suivi de santé | Qualifier le traitement avant d’autoriser l’accès |
Par conséquent, un commentaire peut contenir une donnée de santé. C’est notamment le cas lorsqu’un patient décrit son état, son traitement ou son motif de consultation. L’organisation doit donc déterminer les informations autorisées, l’outil prévu et les profils habilités.
Quel cadre appliquer aux interactions externalisées ?
Le secret professionnel concerne aussi les intervenants autorisés
L’article L1110-4 du Code de la santé publique protège les informations concernant la personne prise en charge. Ainsi, les intervenants autorisés doivent respecter le secret dans la limite de leur mission.
Pour un prestataire extérieur, le contrat doit préciser les informations accessibles, les personnes habilitées et les règles de confidentialité. De plus, chaque intervenant doit accéder uniquement aux données nécessaires à sa tâche.
Certification HDS et sous-traitance : deux notions distinctes
La certification HDS concerne l’hébergement de données de santé pour le compte d’un tiers. L’Agence du numérique en santé indique que, depuis le 16 mai 2026, les acteurs concernés doivent disposer de la certification HDS V2.0.
Cependant, un centre de contact n’est pas nécessairement hébergeur. Le stockage, les copies, les journaux et les services techniques déterminent cette qualification. Ainsi, un prestataire qui travaille uniquement dans l’environnement du client se distingue d’un acteur qui héberge lui-même les données.
Les responsables juridiques et techniques doivent donc vérifier cette répartition. Ensuite, le contrat doit la formaliser. Cette précaution devient essentielle lorsqu’un projet de relation client externalisée concerne des données médicales.
Accès depuis Maurice ou Madagascar : encadrer le transfert
L’Île Maurice et Madagascar ne bénéficient pas actuellement d’une décision d’adéquation de la Commission européenne.
Par conséquent, un accès depuis ces pays peut constituer un transfert hors de l’Espace économique européen. L’organisation doit donc choisir le mécanisme juridique avant d’ouvrir les accès. Par exemple, elle peut utiliser les clauses contractuelles types et réaliser une évaluation documentée.
Pour approfondir ce point, notre article sur le RGPD appliqué à l’externalisation offshore présente le cadre général.
Limiter les données transmises
Le principe de minimisation impose de traiter uniquement les données adéquates, pertinentes et nécessaires. Cependant, son application dépend directement de la mission confiée.
Par exemple, un collaborateur peut gérer un agenda sans consulter le dossier médical complet. En revanche, certaines organisations ont besoin d’un motif encadré pour orienter la demande. Dans ce cas, elles doivent définir la finalité, contrôler les champs et adapter les droits d’accès.
appel, e-mail ou formulaire
Traitement selon les consignes et champs autorisés
Escalade vers le cabinet ou l’équipe soignante
accès, action et statut du dossier
Transformer les règles en consignes utilisables
Une clause de confidentialité ne suffit pas à guider un collaborateur pendant un appel. Chaque situation sensible doit donc correspondre à une consigne claire et à une procédure d’escalade.
| Situation | Risque | Consigne possible |
|---|---|---|
| Le patient décrit un symptôme | Collecte excessive ou interprétation médicale | Appliquer la procédure sans évaluer la gravité |
| Un proche demande un rendez-vous | Divulgation à une personne non autorisée | Vérifier l’autorisation selon la procédure du cabinet |
| Un laboratoire transmet un résultat | Réception d’une information clinique hors périmètre | Utiliser le canal sécurisé et le destinataire prévus |
| Un document arrive par e-mail | Stockage dans un canal inadapté | Suivre la politique de transfert et de conservation |
Bien entendu, le donneur d’ordre doit adapter ces exemples à ses activités et à ses outils. Surtout, chaque consigne doit préciser les actions autorisées, les limites et le destinataire de l’escalade.
Organiser l’escalade sans exposer davantage le patient
L’escalade empêche le collaborateur externalisé de traiter une situation hors périmètre. Elle ne lui demande pas d’évaluer la gravité médicale. Au contraire, elle lui demande seulement de reconnaître un déclencheur précis.
- Déclencheur explicite : situation imposant l’escalade.
- Destinataire identifié : cabinet, équipe soignante ou référent.
- Canal sécurisé : outil et procédure autorisés.
- Solution alternative : action prévue sans réponse.
- Traçabilité limitée : événement sans détail inutile.
Ensuite, le client et le prestataire définissent ensemble les délais de reprise. Ils fixent également les niveaux de service. Notre guide de la conformité en centre de contact complète ces principes.
Sept questions à poser avant de signer
- Où le prestataire héberge-t-il les données ?
- Quels stockages, copies ou journaux crée-t-il ?
- Quels transferts hors EEE prévoit-il ?
- Quels champs chaque profil peut-il consulter ?
- Quelles situations imposent une escalade immédiate ?
- Comment l’organisation journalise-t-elle les accès ?
- Comment traite-t-elle les données en fin de contrat ?
Ainsi, les réponses doivent refléter le dispositif réel. Elles ne doivent pas reprendre uniquement les clauses générales du contrat. Notre page sur la sécurité et la conformité présente les principaux engagements à examiner.
Ce que l’externalisation ne transfère pas
L’externalisation ne supprime pas les obligations du donneur d’ordre. Lorsque celui-ci détermine les finalités et les moyens essentiels, il reste généralement responsable du traitement. Dès lors, une autorité peut contrôler son dispositif.
De son côté, le prestataire doit respecter ses propres obligations de sous-traitant. Il applique notamment les instructions documentées et sécurise les données. De plus, il signale les violations selon le circuit convenu.
Par ailleurs, le cloisonnement des outils reste essentiel. Si tous les collaborateurs disposent des mêmes accès, une clause de confidentialité ne corrige pas cette faiblesse. Les responsables doivent donc adapter les habilitations aux missions réelles.
Enfin, un démarrage progressif facilite la validation du dispositif. L’organisation peut commencer par l’agenda, l’orientation ou les demandes administratives simples. Toutefois, le donneur d’ordre doit auparavant analyser chaque périmètre. Cette méthode rejoint notre approche de l’externalisation pour les mutuelles santé.
Protéger les données dans chaque interaction
La conformité repose sur les clauses contractuelles, mais aussi sur les décisions quotidiennes. Ainsi, un dispositif protecteur limite les données accessibles et définit les situations autorisées. De plus, il facilite l’escalade lorsqu’une demande sort du périmètre.
ProContact opère des centres de contact francophones depuis 2001 à l’Île Maurice, à Madagascar et à Rodrigues. Notre offre d’externalisation santé présente les opérations envisageables pour ce secteur.
Enfin, notre article sur le traitement de données externalisé complète cette approche pour les flux administratifs. Le télésecrétariat médical répond, quant à lui, aux besoins d’accueil et d’organisation des cabinets.
Les organismes assurantiels relèvent d’un cadre voisin. Notre article détaille les opérations d’assurance réellement externalisables.
Questions fréquentes sur l’externalisation des données de santé
Un centre de contact doit-il être certifié HDS ?
Pas systématiquement. La certification HDS concerne l’hébergement de données de santé pour le compte d’un tiers. Il faut donc examiner les services réellement fournis, notamment le stockage, les copies et l’administration technique.
Un secrétariat externalisé peut-il noter un motif de consultation ?
Cela dépend de la finalité et de l’organisation retenue. La collecte doit rester nécessaire, encadrée et proportionnée. Avant le démarrage, le donneur d’ordre doit donc définir les champs, les droits d’accès et la durée de conservation.
Qui est responsable en cas de violation de données ?
Les responsabilités dépendent du rôle et du manquement de chaque partie. Le responsable du traitement et le sous-traitant possèdent des obligations distinctes. Par conséquent, le contrat doit préciser les responsabilités et le circuit de notification.
Le travail depuis Maurice ou Madagascar est-il autorisé ?
Oui, avec un encadrement conforme. Toutefois, l’accès depuis ces pays peut constituer un transfert hors de l’Espace économique européen. L’organisation doit donc définir le mécanisme juridique et les mesures complémentaires avant l’ouverture des accès.
Combien de temps conserver les journaux d’accès ?
La CNIL recommande généralement six mois à un an pour une journalisation standard. Cependant, une obligation différente ou un besoin documenté peut justifier une autre durée. Par ailleurs, l’organisation doit contrôler régulièrement ces journaux.
Que prévoir en fin de contrat ?
La réversibilité doit couvrir la fermeture des comptes et le traitement des données. Elle doit également encadrer les copies et les enregistrements. Enfin, les parties doivent définir les actions, les responsables et les délais dès la signature.
