Données de santé
Les données de santé sont des données personnelles relatives à la santé physique ou mentale d'une personne, passée, présente ou future, qui révèlent des informations sur son état de santé : un diagnostic, une maladie passée, un résultat d'examen. L'article 9 du RGPD les range parmi les catégories particulières de données personnelles, dont le traitement est soumis à des conditions supplémentaires.
Qu'est-ce qu'une donnée de santé ?
La CNIL définit les données de santé sur sa page Qu'est-ce qu'une donnée de santé ? : « Les données à caractère personnel concernant la santé sont les données relatives à la santé physique ou mentale, passée, présente ou future, d'une personne physique (y compris la prestation de services de soins de santé) qui révèlent des informations sur l'état de santé de cette personne. »
La source importe peu. Le courrier d'un médecin en fait partie, tout comme le message d'une cliente qui écrit avoir été soignée pour le dos l'an dernier. Exemples typiques :
- Maladies et traitements : diagnostics, handicaps, médicaments et thérapies, y compris en santé mentale.
- Résultats d'examens : comptes rendus médicaux, résultats d'analyses et arrêts de travail.
- Rendez-vous : un rendez-vous chez un spécialiste peut lui aussi révéler une maladie.
Pourquoi les données de santé sont-elles particulièrement protégées ?
L'article 9 du RGPD range les données de santé parmi les catégories particulières de données personnelles, aux côtés par exemple des données génétiques ou biométriques, des convictions religieuses ou de l'orientation sexuelle. Selon le RGPD, leur traitement demande, en plus d'une base légale au titre de l'article 6, une condition prévue à l'article 9, dont le consentement explicite de la personne pour une ou plusieurs finalités déterminées. La raison tient au risque : un détail médical qui tombe entre de mauvaises mains peut suivre une personne jusque dans un emploi ou une prochaine demande d'assurance.
Laquelle de ces conditions s'applique à vos traitements, c'est une question pour votre conseil ou votre délégué à la protection des données.
Traiter des données de santé appelle aussi une protection à la mesure du risque : vos propres mesures techniques et organisationnelles, et chaque prestataire qui traite des données pour votre compte, avec lequel vous concluez un accord de traitement des données (DPA).
Quelles données de santé un cabinet de courtage rencontre-t-il ?
En assurance, les données de santé apparaissent à deux endroits : les questions de santé au moment de la souscription et le sinistre. Exemples typiques :
- Prévoyance : maladies passées, traitements et thérapies, y compris en santé mentale. En cas de sinistre s'y ajoutent des comptes rendus médicaux.
- Complémentaire santé : questions sur les traitements et les médicaments. Plus tard, presque chaque décompte ou facture nomme un diagnostic.
- Assurance décès : questions sur les maladies passées et les séjours à l'hôpital, parfois un examen médical pour les capitaux élevés.
- Accident corporel : après un accident, comptes rendus médicaux, suites du traitement et gravité des blessures.
Pour un cabinet, cela veut dire que des informations de santé passent souvent par le bureau avant d'arriver chez l'assureur. Des clients les envoient aussi sans qu'on le leur demande, par exemple en demandant si une hernie discale aurait un effet sur leur prévoyance. Comment les cabinets organisent la communication client par ailleurs, voyez notre guide de la communication client pour courtiers en assurance, et ce que SendSeven leur propose sur la page assurances.
Les rappels de rendez-vous comptent-ils ?
Ils peuvent. Un rappel qui nomme le type de garantie ou le motif de l'appel dit déjà quelque chose de la santé d'un client. Gardez les rappels neutres : date, heure et la personne que le client rencontre, sans la garantie, le motif ni aucun résultat.
Peut-on demander des informations de santé sur WhatsApp ?
Nous le déconseillons. Il s'agit de notre règle d'usage, pas d'une règle que nous attribuons à Meta ou au RGPD : les informations de santé ne se demandent pas dans le chat. Les conditions de l'article 9 et la protection à la mesure du risque restent à voir avec votre conseil.
La WhatsApp Business Messaging Policy de Meta contient par ailleurs un point sur les identifiants sensibles : les entreprises ne partagent ni ne demandent à leurs clients de partager des numéros complets de carte bancaire, de compte, de pièce d'identité ou d'autres identifiants sensibles.
Notre entrée Messagerie et RGPD traite des règles de messagerie en général. La façon dont votre cabinet gère les données de santé est à régler avec votre conseil ou votre délégué à la protection des données.
Comment garder les informations de santé hors du chat ?
La règle porte sur le processus, pas sur la technique. Le chat porte le chemin, pas le contenu :
- Dans le chat : des propositions de rendez-vous, des demandes de rappel, des relances pour des documents manquants et des suivis sans détail.
- Pas dans le chat : questions de santé, diagnostics, comptes rendus médicaux, photos d'arrêts de travail et numéros complets de carte, de compte ou de pièce d'identité.
- À la place : l'échange en rendez-vous ou par téléphone, et les documents par un moyen sécurisé que le cabinet choisit.
Si un client envoie malgré tout des informations de santé, ne répondez pas sur le fond. Une courte réponse suffit, par exemple : Merci pour votre message. Je préfère voir vos questions de santé de vive voix. Jeudi à 10 h, cela vous convient pour un appel ? Convenez à l'avance avec votre délégué à la protection des données de la façon dont l'équipe traite ces messages.
Un point de plus : l'opt-in WhatsApp porte sur le contact par ce canal. Ce n'est pas un consentement au traitement de données de santé.
Exemple concret
Lambrecq Assurances, à Arras, répond aussi aux questions de ses clients sur WhatsApp. Un soir, Isabelle Fournier écrit qu'elle voudrait revoir sa prévoyance et qu'elle a suivi une thérapie il y a deux ans. L'équipe répond le lendemain matin sans reprendre le sujet de la thérapie et propose un appel.
Au téléphone, Olivier Lambrecq et Isabelle Fournier passent ensemble en revue les questions de santé. Elle transmet le compte rendu du thérapeute par le moyen sécurisé que le cabinet utilise pour ses documents. Ensuite, le chat ne montre que ce qui était nécessaire pour s'organiser : le rendez-vous, un rappel, une confirmation. Dans SendSeven, l'équipe consigne dans une note interne que les questions de santé ont été vues par téléphone, pas leur contenu.
Ceci est une information générale, pas un conseil juridique. Vérifiez les détails avec votre conseil (avocat ou consultant conformité) ou votre délégué à la protection des données.