Votre cabinet utilise un logiciel de gestion, une plateforme de rendez-vous en ligne, un hébergeur web et peut-être une agence qui gère votre site. Chacun de ces acteurs touche à vos données patients ou visiteurs. Qui est responsable de quoi ? La réponse structurée à cette question est le point de départ d’une conformité RGPD solide. La page sur l’hébergement conforme d’un site médical a introduit la notion de chaîne de responsabilité ; voici comment la démêler dans votre situation.
Responsable de traitement vs sous-traitant : les définitions du RGPD
L’article 4(7) du RGPD définit le responsable de traitement comme « la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement ». En pratique, c’est votre cabinet ou votre structure de santé : vous décidez de collecter les données patients, à quelle fin (soins, communication, facturation) et via quels outils. L’article 4(8) du RGPD définit le sous-traitant comme « la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement ». Votre hébergeur web, l’éditeur de votre logiciel de prise de rendez-vous, votre agence web si elle accède à votre back-office : tous peuvent être des sous-traitants. La clé de la distinction est simple : celui qui décide du POURQUOI est responsable de traitement, celui qui exécute le COMMENT pour son compte est sous-traitant. Un éditeur de logiciel qui collecte aussi des données pour ses propres fins (marketing, amélioration du produit) peut être à la fois sous-traitant et responsable de traitement indépendant pour ces traitements secondaires — une situation qui doit être clarifiée contractuellement. La sécurité technique que doivent mettre en place les sous-traitants est décrite dans notre page sur le socle technique d’un site médical sécurisé.
L’article 28 du RGPD : le contrat de sous-traitance obligatoire
L’article 28 du RGPD impose que tout sous-traitant soit encadré par un contrat écrit — appelé DPA (Data Processing Agreement) ou contrat de traitement de données. Ce contrat doit obligatoirement prévoir : l’objet et la durée du traitement, la nature et la finalité du traitement, le type de données et les catégories de personnes concernées, les obligations et droits du responsable de traitement. Il doit aussi stipuler que le sous-traitant ne traite les données que sur instruction du responsable, assure la confidentialité, met en place des mesures de sécurité appropriées (article 32), respecte les règles de sous-traitance ultérieure, aide le responsable à répondre aux droits des personnes, supprime les données en fin de contrat, et met à disposition les informations nécessaires aux audits de conformité. En l’absence de ce contrat, la structure de santé manque à ses obligations et son sous-traitant ne peut légalement traiter les données.
Ce qui est interdit ou insuffisant
- Se contenter des CGU du prestataire comme encadrement juridique : les conditions générales d’utilisation sont un contrat unilatéral qui ne couvre pas les obligations spécifiques de l’article 28 du RGPD. Un DPA dédié est nécessaire. La plupart des grands éditeurs de logiciels SaaS proposent un DPA standardisé accessible dans leur espace client ou sur demande.
- Ne pas vérifier les sous-traitants ultérieurs : l’article 28(4) du RGPD impose que le sous-traitant obtienne l’autorisation du responsable de traitement avant de faire appel à un autre sous-traitant (sous-traitant ultérieur). Si votre hébergeur sous-traite lui-même le stockage à un tiers, ce tiers est un sous-traitant ultérieur qui doit être identifié et accepté.
Cas particulier : le responsable conjoint de traitement
Lorsque deux structures définissent ensemble les finalités et les moyens d’un traitement, elles sont « responsables conjoints du traitement » au sens de l’article 26 du RGPD. Ce cas se présente par exemple lorsqu’une maison de santé pluriprofessionnelle et ses praticiens partagent un logiciel patient commun et décident ensemble de son usage. L’article 26 impose un accord écrit définissant la répartition des responsabilités, accessible aux patients sur demande. Ce point rejoint les enjeux de la prise de rendez-vous partagée entre plusieurs praticiens, développés dans notre page sur la prise de rendez-vous en ligne et ses implications.
Ce qu’il faut faire concrètement
Dressez la liste de tous vos prestataires numériques qui accèdent à des données personnelles de vos patients ou visiteurs. Pour chacun, vérifiez si un DPA est en place. Si ce n’est pas le cas, sollicitez-le auprès du prestataire : les acteurs sérieux le proposent. Si le prestataire refuse ou ne sait pas de quoi il s’agit, c’est un signal d’alarme sur sa maturité RGPD. Documentez la liste des sous-traitants et des DPA dans votre registre de traitements. Revoyez cette liste à chaque changement de prestataire ou d’outil numérique.
Questions fréquentes
Mon hébergeur certifié HDS doit-il aussi signer un DPA ?
Oui. La certification HDS et le DPA RGPD sont deux obligations distinctes et cumulatives. La certification HDS atteste de la sécurité technique de l’infrastructure. Le DPA encadre les obligations contractuelles au titre du RGPD. Les deux documents doivent être en place simultanément pour une conformité complète.
Une agence web qui gère mon site est-elle un sous-traitant RGPD ?
Oui, dès lors qu’elle accède à des données personnelles pour votre compte (administration du site, back-office, analytics, etc.). Elle doit faire l’objet d’un DPA même si elle ne traite pas de données de santé. Si elle accède à des données de santé (espace patient, agenda, etc.), la certification HDS peut également s’appliquer à sa prestation.
Que se passe-t-il si un sous-traitant viole les données sans DPA ?
En l’absence de DPA, la responsabilité de la structure de santé est engagée au titre du RGPD, car elle n’a pas respecté l’article 28. Le sous-traitant est aussi directement responsable devant la CNIL depuis la révision du RGPD. Les deux parties peuvent être sanctionnées indépendamment.
Sources
- Règlement (UE) 2016/679 (RGPD), articles 4(7), 4(8), 26 et 28.
- Article L.1111-8 du code de la santé publique — hébergement certifié HDS.
- CNIL — Fiche pratique sous-traitance, disponible sur cnil.fr.
Digital-Sante.fr cartographie vos sous-traitants et met en place les contrats RGPD manquants. Demander un devis.
Article informatif. Il ne constitue pas un conseil juridique : en cas de doute, rapprochez-vous de votre conseil de l’ordre.