Télésecrétariat médical pour les spécialistes : quelles spécificités ?

En externalisant votre standard téléphonique à un prestataire de télésecrétariat médical, vous lui confiez indirectement des données de santé de vos patients. Les noms, numéros de téléphone, motifs d’appel et symptômes décrits lors d’un appel médical constituent des données personnelles soumises à un régime de protection renforcé. Comprendre le cadre légal applicable vous permet de choisir votre prestataire en connaissance de cause et de vous assurer que votre organisation est conforme.

Les données de santé et le RGPD : rappel du cadre légal

Le RGPD classifie les données de santé comme des « données sensibles » dont le traitement est en principe interdit, sauf exceptions. Pour les professionnels de santé, l’exception principale est la nécessité de ce traitement pour la prise en charge médicale du patient. Cela signifie que vous avez le droit de traiter des données de santé dans le cadre de votre activité médicale, mais que vous devez garantir que ces données sont protégées à tous les niveaux de votre organisation, y compris chez vos prestataires externes.

En tant que médecin, vous êtes « responsable du traitement » au sens du RGPD pour les données de santé de vos patients. Votre prestataire de télésecrétariat est un « sous-traitant » : il traite des données pour votre compte, sous vos instructions. Cette relation implique des obligations précises de part et d’autre, notamment la signature d’un contrat de sous-traitance conforme à l’article 28 du RGPD qui définit la nature des données traitées, les finalités du traitement et les mesures de sécurité mises en place.

La certification HDS : pourquoi c’est indispensable

La certification HDS (Hébergeur de Données de Santé) est délivrée par des organismes accrédités par le COFRAC sur la base d’un référentiel publié par l’ANS. Elle atteste que le prestataire certifié respecte un référentiel précis d’exigences techniques et organisationnelles pour la protection des données de santé : sécurité des systèmes d’information, gestion des accès, traçabilité des opérations, plans de continuité d’activité, gestion des incidents.

Travailler avec un prestataire de télésecrétariat non certifié HDS vous expose à un risque juridique réel. En cas de violation de données ou de plainte d’un patient, vous ne pourrez pas démontrer que vous avez pris toutes les précautions requises pour protéger ses données. Les sanctions du RGPD peuvent atteindre 4% du chiffre d’affaires annuel. Medicall est certifié HDS, garantissant que l’ensemble de ses processus de traitement des données de santé ont été audités et validés par un organisme tiers accrédité.

Ce que votre contrat de sous-traitance doit prévoir

Le contrat de sous-traitance RGPD avec votre prestataire de télésecrétariat doit mentionner explicitement : la nature et la finalité du traitement des données, les catégories de données traitées (données d’identité, coordonnées, motifs d’appel), la durée de conservation des données, les mesures de sécurité techniques et organisationnelles mises en place, les droits des personnes concernées, et les conditions de sous-traitance ultérieure. Ce contrat est obligatoire et doit être signé avant le démarrage du service.

Questions fréquentes

Mes patients doivent-ils être informés que leur appel est pris par un télésecrétariat externalisé ?

Oui, en vertu du principe de transparence du RGPD. L’information peut être donnée via l’affichage de votre cabinet, votre site web ou un document remis lors de la première consultation. Une mention du type « votre appel peut être pris en charge par notre service de télésecrétariat médical partenaire » est suffisante pour satisfaire à cette obligation d’information.

Que se passe-t-il en cas de violation de données chez mon prestataire ?

Votre prestataire a l’obligation de vous notifier toute violation de données dans les 72 heures suivant sa découverte. Vous devez ensuite évaluer si cette violation doit être notifiée à la CNIL et si les patients affectés doivent être informés. Un prestataire certifié HDS comme Medicall dispose d’une procédure de gestion des incidents documentée qui accélère cette notification et limite l’impact d’un éventuel incident de sécurité.