Un médecin, un kiné ou un dentiste qui externalise son accueil transmet, à chaque appel, des informations parmi les plus protégées par la loi : les données de santé. Avant de confier sa ligne à un télésecrétariat médical, il est essentiel de comprendre le cadre qui s'applique et les garanties à exiger. Voici l'essentiel, sans jargon.
Pourquoi ces données sont si protégées
Tout ce qui transite par un appel médical — nom du patient, motif, symptôme, rendez-vous — relève des données de santé, considérées par le RGPD comme des données sensibles. Leur traitement est par principe encadré plus strictement que celui d'une donnée ordinaire : il suppose une base légale claire, une finalité précise, et des mesures de sécurité renforcées.
S'ajoute le secret médical, qui ne disparaît pas parce qu'un tiers décroche : il s'étend à toute personne qui, par sa mission, accède à ces informations. Un télésecrétariat médical et son personnel y sont donc tenus.
Le télésecrétariat est votre sous-traitant
Au sens du RGPD, vous êtes le responsable de traitement et le télésecrétariat est votre sous-traitant. Cette relation doit être encadrée par un contrat de sous-traitance écrit, qui précise notamment :
- l'objet et la finalité du traitement (gérer les appels et rendez-vous) ;
- les obligations de confidentialité du personnel ;
- les mesures de sécurité mises en place ;
- le sort des données en fin de contrat ;
- l'interdiction de sous-traiter à un tiers sans votre accord.
Ce contrat n'est pas une formalité : il conditionne votre propre conformité en tant que responsable de traitement. Un prestataire sérieux le propose spontanément.
L'hébergement des données de santé (HDS)
Le point le plus technique — et le plus important. Dès lors que des données de santé sont conservées (messages, historique d'appels, fiches patients), elles doivent l'être chez un hébergeur de données de santé certifié HDS. Cette certification, prévue par le Code de la santé publique, garantit un niveau de sécurité et de traçabilité spécifique.
Concrètement, la question à poser est simple : « où sont stockées les données que vous traitez pour moi, et l'hébergement est-il certifié HDS ? » Une réponse floue est un signal d'alerte.
À distinguer. Tous les services de télésecrétariat ne stockent pas les mêmes données. Un service qui ne fait que transmettre un message en temps réel sans conserver d'historique a un périmètre différent de celui qui tient un dossier patient. Dans tous les cas, dès qu'il y a conservation de données de santé, l'exigence HDS s'applique.
Les questions à poser avant de signer
Avant de confier votre ligne, vérifiez auprès du prestataire :
- Proposez-vous un contrat de sous-traitance RGPD ?
- Vos données sont-elles hébergées chez un hébergeur certifié HDS ?
- Votre personnel est-il formé et tenu à la confidentialité ?
- Les données sont-elles hébergées en France ou dans l'Union européenne ?
- Que deviennent les données en fin de contrat ?
Ces critères font partie de ceux à passer en revue dans notre guide pour bien choisir son télésecrétariat. Un prestataire transparent sur ces points est un prestataire fiable.
Ce qu'il faut retenir
Externaliser l'accueil d'un cabinet médical n'allège en rien vos obligations sur les données de santé : vous restez responsable de traitement, le télésecrétariat est votre sous-traitant, et tout stockage de données de santé impose un hébergement HDS. Exigez un contrat de sous-traitance, vérifiez l'hébergement et la confidentialité du personnel. Pour situer le budget d'un service conforme, consultez nos tarifs du télésecrétariat.
Sources officielles
- CNIL — Données de santé : un régime de protection renforcé (RGPD).
- CNIL — Encadrer la sous-traitance de données personnelles.
- Ministère de la Santé / ANS — Certification des hébergeurs de données de santé (HDS).