Télésecrétariat médical et RGPD : ce que tout praticien doit savoir

En externalisant votre standard téléphonique à un prestataire de télésecrétariat médical, vous lui confiez indirectement des données de santé de vos patients. Les noms, numéros de téléphone, motifs d’appel et symptômes décrits lors d’un appel médical constituent des données personnelles soumises à un régime de protection renforcé. Comprendre le cadre légal applicable vous permet de choisir votre prestataire en connaissance de cause et de vous assurer que votre organisation est conforme.

Les données de santé et le RGPD : rappel du cadre légal

Le RGPD classifie les données de santé comme des « données sensibles » dont le traitement est en principe interdit, sauf exceptions. Pour les professionnels de santé, l’exception principale est la nécessité de ce traitement pour la prise en charge médicale du patient. Cela signifie que vous avez le droit de traiter des données de santé dans le cadre de votre activité médicale, mais que vous devez garantir que ces données sont protégées à tous les niveaux de votre organisation, y compris chez vos prestataires externes comme votre service de télésecrétariat.

En tant que médecin, vous êtes « responsable du traitement » au sens du RGPD pour les données de santé de vos patients. Votre prestataire de télésecrétariat est un « sous-traitant » : il traite des données pour votre compte, sous vos instructions. Cette relation implique des obligations précises de part et d’autre, notamment la signature d’un contrat de sous-traitance conforme à l’article 28 du RGPD qui définit la nature des données traitées, les finalités du traitement et les mesures de sécurité mises en place par le prestataire.

La certification HDS : pourquoi c’est indispensable

La certification HDS (Hébergeur de Données de Santé) est délivrée par des organismes accrédités par le COFRAC sur la base d’un référentiel publié par l’ANS. Elle atteste que le prestataire certifié respecte un référentiel précis d’exigences techniques et organisationnelles pour la protection des données de santé : sécurité des systèmes d’information, gestion des accès, traçabilité des opérations, plans de continuité d’activité, gestion des incidents de sécurité.

Travailler avec un prestataire de télésecrétariat non certifié HDS vous expose à un risque juridique réel. En cas de violation de données ou de plainte d’un patient, vous ne pourrez pas démontrer que vous avez pris toutes les précautions requises pour protéger ses données. Les sanctions du RGPD peuvent atteindre 4% du chiffre d’affaires annuel. Medicall est certifié HDS et ISO 9001, garantissant que l’ensemble de ses processus de traitement des données de santé ont été audités et validés par un organisme tiers accrédité.

Ce que votre contrat de sous-traitance doit prévoir

Le contrat de sous-traitance RGPD avec votre prestataire de télésecrétariat doit mentionner explicitement : la nature et la finalité du traitement des données, les catégories de données traitées (données d’identité, coordonnées, motifs d’appel), la durée de conservation des données, les mesures de sécurité techniques et organisationnelles mises en place, les droits des personnes concernées, et les conditions de sous-traitance ultérieure. Ce contrat est obligatoire et doit être signé avant le démarrage du service pour que votre organisation soit pleinement conforme.

Vos obligations en tant que responsable du traitement

Au-delà du choix d’un prestataire conforme, vous avez des obligations propres en tant que responsable du traitement. Vous devez mentionner votre prestataire de télésecrétariat dans votre registre des activités de traitement (RAT), document obligatoire pour tous les professionnels de santé. Vous devez également informer vos patients que leurs données peuvent être traitées par un prestataire externe dans le cadre de la gestion de votre cabinet, ce qui peut se faire via une mention dans votre affichage cabinet ou vos documents d’information patient.

Questions fréquentes

Mes patients doivent-ils être informés que leur appel est pris par un télésecrétariat externalisé ?

Oui, en vertu du principe de transparence du RGPD. L’information peut être donnée via l’affichage de votre cabinet, votre site web ou un document remis lors de la première consultation. Une mention du type « votre appel peut être pris en charge par notre service de télésecrétariat médical partenaire » est suffisante pour satisfaire à cette obligation d’information sans créer de friction avec vos patients.

Que se passe-t-il en cas de violation de données chez mon prestataire ?

Votre prestataire a l’obligation de vous notifier toute violation de données dans les 72 heures suivant sa découverte. Vous devez ensuite évaluer si cette violation doit être notifiée à la CNIL et si les patients affectés doivent être informés. Un prestataire certifié HDS comme Medicall dispose d’une procédure de gestion des incidents documentée qui accélère cette notification et limite l’impact d’un éventuel incident.