Souveraineté

Données de santé : ce que le RGPD te garantit vraiment

Hébergement en Europe, minimisation, portabilité, effacement : ce que la réglementation impose aux applications de santé et les questions à poser avant de confier tes données.

En bref

Le RGPD classe les données de santé comme données sensibles, ce qui impose un consentement explicite, une finalité précise, la minimisation des données collectées et des droits d'accès, de portabilité et d'effacement. Avant d'utiliser une app santé, vérifie le lieu d'hébergement, la liste des sous-traitants, la durée de conservation et la présence d'un contact DPO.

Points clés

Les données de santé relèvent de l'article 9 du RGPD : catégorie particulière, consentement explicite obligatoire.
Quatre droits s'exercent sans justification : accès, portabilité, rectification, effacement.
Le lieu d'hébergement et la liste des sous-traitants sont publics : s'ils sont introuvables, c'est déjà une réponse.
La donnée la mieux protégée reste celle qui n'a jamais été collectée.

Sommaire4

Un journal de sommeil, une liste de compléments et un bilan sanguin dessinent un portrait extrêmement précis d'une personne. C'est pour cette raison que le RGPD range ces informations parmi les catégories particulières de données.

Sommeil, stack et bilan sanguin combinés en disent plus long sur toi que n'importe quel profil publicitaire.

Les quatre droits qui comptent au quotidien

Accès : obtenir la copie de ce qui est stocké sur toi.
Portabilité : récupérer tes données dans un format lisible et réutilisable ailleurs.
Rectification : corriger une donnée fausse.
Effacement : demander la suppression, sans avoir à te justifier dans la plupart des cas.

Les questions à poser avant de s'inscrire

1
Où sont hébergées les données ?
Le pays et la juridiction déterminent qui peut légalement y accéder, y compris en dehors de toute relation contractuelle avec toi.
2
Quels sous-traitants y accèdent ?
La liste doit être publique et à jour, avec la finalité de chacun. Un prestataire d'analytics n'a rien à faire dans une base de biomarqueurs.
3
Combien de temps sont-elles conservées ?
Après fermeture du compte, une durée de conservation doit être annoncée. « Indéfiniment » n'est pas une durée.
4
Y a-t-il un DPO joignable ?
Une adresse email dédiée et un registre des traitements consultable valent tous les labels de confiance.
5
La donnée sert-elle à de la publicité ?
Si la réponse n'est pas un non net, c'est un oui avec des étapes intermédiaires.

Minimisation : collecter moins pour risquer moins

La meilleure protection reste la donnée qu'on ne collecte pas. Une app bien conçue demande uniquement ce qui est nécessaire au service rendu, et pas un champ de plus. Le consentement doit être granulaire : accepter le service ne doit pas obliger à accepter la newsletter ou le suivi statistique.

« La souveraineté des données n'est pas une case juridique, c'est une décision d'architecture. »

La position d'Helix

Helix est construit en Europe, avec un hébergement européen, un registre des traitements public, un consentement granulaire pour les cookies non essentiels et un contact DPO direct. Les données sensibles restent local-first sur ton appareil. Aucune publicité, aucune revente de données.

Tu veux vérifier par toi-même avant de t'inscrire ?

Lire le registre des traitements

Sources

Questions fréquentes

Une application de santé peut-elle revendre mes données ?

Pas sans un consentement explicite, distinct et révocable, portant précisément sur cette finalité. Un consentement noyé dans des CGU acceptées en bloc ne remplit pas cette condition. En pratique, la question à poser est simple : la revente ou le partage publicitaire figurent-ils dans la politique de confidentialité, et peut-on refuser sans perdre le service ?

Où doivent être hébergées les données de santé en Europe ?

Le RGPD n'impose pas une localisation européenne en soi, mais encadre strictement les transferts hors UE. En pratique, un hébergement européen simplifie la conformité et supprime la dépendance à des mécanismes de transfert fragiles. Pour les données de santé traitées pour le compte d'un professionnel de santé en France, la certification HDS s'ajoute par-dessus.

Comment exercer mon droit à l'effacement ?

Une simple demande écrite au responsable de traitement ou au DPO suffit, sans avoir à te justifier dans la plupart des cas. Le délai de réponse est d'un mois, extensible à trois pour les demandes complexes. En cas de silence, la CNIL peut être saisie.

Local-first, ça veut dire quoi concrètement ?

Que la donnée est écrite d'abord sur ton appareil et y reste par défaut. La synchronisation, quand elle existe, passe par ton propre cloud plutôt que par un serveur central. Conséquence directe : il n'existe pas de base centrale à pirater, et l'effacement est immédiat parce que la copie de référence est chez toi.

Contenu pédagogique. Helix n'est pas un dispositif médical et ne remplace pas l'avis d'un professionnel de santé.

Commentaires

Modérés avant publication

Chargement des commentaires…