Lacantabilité

Les données d'un cabinet d'analyse sont-elles des données de santé ?

Dernière mise à jour : 30 juillet 2026

La question paraît théorique. Elle décide en réalité de deux choses très concrètes : le régime juridique qui s'applique à votre fichier, et ce que vous êtes en droit d'exiger d'un outil à qui vous confieriez vos dossiers.

Oui, et le RGPD le dit sans détour

L'article 9 du RGPD range les « données concernant la santé » parmi les catégories particulières de données à caractère personnel, dont le traitement est en principe interdit sauf exception, la première étant le consentement explicite, une autre étant la nécessité aux fins de la médecine préventive, du diagnostic ou de la prise en charge.

Le fait qu'une personne consulte un praticien, et plus encore qu'elle soit engagée dans une analyse, est une donnée de cette nature. Il n'est pas nécessaire qu'un contenu clinique soit consigné : le rendez-vous suffit. Une liste de séances est déjà un traitement de données de santé, et le secret professionnel s'ajoute au règlement, il ne le remplace pas.

Conséquence directe : la pseudonymisation ne fait pas sortir du RGPD. Le considérant 26 du règlement est explicite, des données pseudonymisées restent des données personnelles. Elle réduit considérablement le risque, ce qui est la bonne raison de la pratiquer, mais elle ne dispense de rien.

Ce que l'hébergement change, et pour qui

C'est le second effet, et le moins connu. L'article L. 1111-8 du code de la santé publique soumet à certification toute personne qui héberge des données de santé à caractère personnel recueillies à l'occasion d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, pour le compte des personnes à l'origine de leur production ou de leur recueil, ou pour le compte du patient lui-même. C'est la certification dite HDS, délivrée par des organismes accrédités.

Deux lectures en découlent, et elles vont dans des directions opposées.

Pour vous : conserver vous-même les dossiers de vos propres analysants ne fait pas de vous un hébergeur. Le régime vise l'hébergement pour le compte d'autrui ; un professionnel qui garde ses données chez lui n'entre pas dans son champ. Vos obligations sont celles du responsable de traitement et celles du secret, ce qui est déjà beaucoup, mais la certification n'en fait pas partie.

Pour un service en ligne qui conserverait vos dossiers sur ses serveurs : il héberge des données de santé pour votre compte, et il entre dans le champ. C'est une question légitime à lui poser, et la réponse s'appuie sur un certificat, pas sur une déclaration.

La question ne se pose pas là où rien n'est hébergé

Il existe une troisième situation, et c'est celle sur laquelle Lacantabilité est construite : lorsque le logiciel s'exécute sur votre appareil et que rien ne parvient à l'éditeur, il n'y a pas d'hébergement, donc pas d'hébergeur, donc pas de certification à produire. L'obligation n'est pas contournée, elle est sans objet.

Ce n'est pas un argument commercial mais une conséquence d'architecture, et elle se vérifie : un logiciel qui n'émet aucune requête sortante ne peut rien transmettre. Vous restez seul responsable de traitement, ce qui est la contrepartie, et la seule position tenable pour qui est tenu au secret.

Cette note décrit l'état des textes à la date indiquée et cite ses sources. Elle n'est ni un conseil fiscal ni un conseil juridique : elle ne connaît pas votre situation, et c'est elle qui décide. Pour un arbitrage qui vous engage, un professionnel du chiffre ou du droit, ou les ressources de la CNIL et de BOFiP.

Sources