Secret médical et RGPD : deux régimes à concilier

Le secret médical protège la relation de soin ; le RGPD encadre le traitement des données personnelles. Les deux régimes se superposent et doivent être articulés avec rigueur.

En pratique

Le partage d'informations entre professionnels, la conservation des dossiers et l'accès du patient à ses données sont autant de points où les deux régimes se rencontrent.

Deux logiques qu'il ne faut jamais confondre

Le secret professionnel de santé (article L.1110-4 du Code de la santé publique, pénalement sanctionné) protège la confiance dans la relation de soin : il couvre tout ce qui est venu à la connaissance du professionnel — confidences, constatations, déductions. Le RGPD, lui, encadre le traitement des données : licéité, minimisation, sécurité, droits des personnes. La conséquence pratique est essentielle : un consentement « RGPD » ne délie pas du secret médical, dont la levée n'obéit qu'aux exceptions prévues par la loi ; et inversement, respecter scrupuleusement le secret ne rend pas conforme au RGPD — il faut aussi la base légale, l'information, les durées, la sécurité.

Le partage d'informations : qui, quoi, dans quel cadre

Au sein de l'équipe de soins, les informations strictement nécessaires à la prise en charge se partagent sans consentement exprès — le patient étant informé et pouvant s'y opposer. Hors équipe de soins, le partage entre professionnels requiert le consentement du patient. Et autour du soin gravitent des acteurs non soignants — secrétariats, services informatiques, prestataires — qui n'ont pas « accès au secret » mais peuvent, par leurs fonctions, croiser des données couvertes : leur encadrement passe par les habilitations, les clauses de confidentialité et la formation.

C'est ici que les deux régimes convergent : la politique d'habilitations exigée par le RGPD est aussi le meilleur outil de protection du secret.

Les points de friction du quotidien

Les messageries : les échanges contenant des données de patients relèvent des messageries sécurisées de santé, pas des boîtes personnelles ni des messageries grand public. Les comptes partagés et mots de passe collectifs : ils ruinent la traçabilité — donc la capacité à démontrer que le secret est protégé. Les accès « par curiosité » au dossier d'un proche ou d'une personnalité : la journalisation les révèle, et ils exposent à des sanctions disciplinaires et pénales. Les demandes de tiers — employeurs, assureurs, familles : elles obéissent à des règles strictes, et le réflexe doit être le refus par défaut, puis l'analyse.

Ce que cela implique pour votre organisation

Quatre chantiers concrets : une politique d'habilitations écrite, revue régulièrement, alignée sur les fonctions réelles ; une journalisation des accès aux dossiers, exploitée — pas seulement stockée ; une charte et des formations qui parlent aux soignants avec leurs cas d'usage, pas en jargon juridique ; et des procédures claires pour les situations sensibles (réquisitions, demandes de communication, signalements). Le secret médical et le RGPD cessent alors d'être deux contraintes concurrentes : ils deviennent le même système de confiance, vu de deux fenêtres.