Vous envoyez votre ordonnance, décrivez vos symptômes ou téléchargez votre dossier pendant une téléconsultation et vous vous demandez qui d’autre peut lire ces informations sensibles : la réponse mérite plus qu’un simple « personnes autorisées », car la réalité combine règles juridiques strictes, pratiques techniques et risques humains. Dans ce texte je détaille concrètement qui accède à vos données médicales, comment vérifier une plateforme, les erreurs fréquentes à éviter et ce que vous pouvez faire si quelque chose tourne mal.
Sommaire
Qui peut réellement accéder à vos données après une téléconsultation ?
Tout dépend des rôles et des bases légales. En pratique, les personnes qui peuvent consulter vos données sont :
– le médecin qui vous prend en charge, pour les besoins du soin ;
– le personnel technique de la plateforme uniquement si le contrat et les accès le permettent (administration, maintenance) et sous conditions strictes de journalisation ;
– l’hébergeur certifié HDS et ses équipes techniques, mais là encore sous contrôle et traçabilité ;
– les autorités judiciaires ou sanitaires si une procédure légale l’exige.
Cette logique de « besoin de savoir » s’applique : l’accès doit être limité, justifié et tracé. Concrètement, toute consultation d’un dossier est normalement horodatée et attribuée à un compte identifié. Si vous voyez une activité suspecte (accès à des heures où vous n’étiez pas en ligne, par exemple), demandez immédiatement l’historique des accès auprès de la plateforme.
Comment vérifier qu’une plateforme respecte vraiment HDS et le RGPD ?
Beaucoup d’acteurs affichent des mots rassurants. Pour démêler le vrai du vague, vérifiez ces points concrets :
– la mention explicite de la certification HDS dans les mentions légales ou la politique de confidentialité ;
– l’existence d’un DPO (Délégué à la Protection des Données) avec coordonnées accessibles ;
– des précisions sur le chiffrement « au repos » et « en transit » (pas seulement l’adjectif « sécurisé ») ;
– une politique de conservation claire (durée, critères) ;
– la présence d’un registre des sous-traitants et d’un engagement contractuel les contraignant au même niveau de sécurité.
| Indicateur | Ce que cela signifie pour vous |
|---|---|
| HDS mentionné et daté | L’hébergeur a été audité ; les données sont localisées dans l’UE et soumises à des contrôles |
| DPO joignable | Vous avez un interlocuteur pour poser des questions et exercer vos droits |
| Chiffrement décrit (algorithmes, gestion des clés) | Preuve technique que les données sont protégées au repos et en transit |
| Journalisation des accès | Permet de détecter et prouver des accès non autorisés |
Attention aux formulations vagues comme « données chiffrées » sans précision technique ou « conformes au RGPD » sans politique visible : ce sont souvent des arguments marketing. N’hésitez pas à interroger directement la plateforme avant d’y déposer des documents sensibles.
Quelles erreurs courantes mettent vos données en péril et que faire pour les éviter ?
La sécurité ne repose pas uniquement sur la plateforme : vos comportements comptent aussi. Voici les pièges les plus rencontrés et les gestes simples pour les éviter.
– Utiliser un réseau Wi‑Fi public pour une téléconsultation. Préférez votre réseau mobile ou un Wi‑Fi privé protégé.
– Réutiliser un mot de passe sur plusieurs services. Utilisez un mot de passe unique et, si possible, un gestionnaire de mots de passe.
– Envoyer des ordonnances ou des comptes-rendus via des messageries non sécurisées (SMS, WhatsApp, e‑mail non chiffré). Demandez toujours si la plateforme propose une messagerie interne chiffrée.
– Faire des captures d’écran contenant des données sensibles et les stocker sur des services non sécurisés ou les partager. Évitez les captures inutiles.
– Ignorer les mises à jour système et d’application : elles corrigent souvent des vulnérabilités exploitées par des attaquants.
Quelques bonnes pratiques rapides : activez l’authentification à deux facteurs, relisez la politique de confidentialité avant d’uploader des documents, et vérifiez les permissions demandées par l’app.
Que faire immédiatement si vous suspectez une fuite ou un accès non autorisé ?
Agir vite limite les conséquences. Voici une check‑list opérationnelle :
1. Demandez à la plateforme un rapport d’incident et le détail des accès (qui, quand, quelles données).
2. Changez vos mots de passe et désactivez les sessions actives si l’option existe.
3. Contactez le DPO de la plateforme par écrit et conservez les échanges.
4. Si la réponse est insatisfaisante ou si le risque est élevé, saisissez la CNIL (signalement en ligne) en fournissant les éléments collectés.
5. Si vous pensez que des tiers (assureurs, employeurs) pourraient utiliser ces données de façon préjudiciable, conservez des preuves et envisagez un conseil juridique.
Rappel utile : la plateforme a l’obligation de notifier la CNIL dans les 72 heures après la découverte d’une violation. Mais la notification ne remplace pas votre vigilance : exigez transparence et preuves.
Combien de temps vos dossiers médicaux restent‑ils conservés et pouvez‑vous les supprimer ?
Le RGPD vous donne des droits (accès, rectification, suppression, limitation) mais ces droits coexistent avec des obligations spécifiques en santé. En France, le dossier médical classique doit généralement être conservé pendant 20 ans à compter du dernier contact, ce qui limite la possibilité d’effacer certaines informations médicales si leur conservation est justifiée légalement. Toutefois :
– vous pouvez demander une copie de toutes vos données détenues par la plateforme (délai légal : un mois) ;
– vous pouvez demander la rectification d’erreurs ;
– vous pouvez demander la suppression lorsque les données ne sont plus nécessaires à la finalité pour laquelle elles ont été collectées, sauf obligation légale contraire.
Si vous souhaitez qu’un élément particulier soit retiré (par exemple, un document que vous avez uploadé mais qui n’entre pas dans le dossier médical à proprement parler), formulez une demande écrite et demandez une réponse motivée si elle est refusée.
Les certifications et protections techniques suffisent‑elles à garantir l’infaillibilité ?
Les certifications comme HDS et les normes ISO 27001 augmentent fortement le niveau de sécurité mais ne garantissent pas une invulnérabilité. Deux points de nuance importants :
– la chaîne d’acteurs : sous‑traitants, éditeurs de logiciels, prestataires cloud et intégrateurs constituent des maillons qui, s’ils sont insuffisamment supervisés, peuvent introduire une faille.
– l’erreur humaine : phishing, mauvaise configuration d’un serveur, ou l’utilisation d’identifiants partagés restent des causes fréquentes d’incidents.
La bonne pratique observée chez les organisations sérieuses combine certification, audits réguliers, tests d’intrusion, politique de gestion des vulnérabilités, programmes de formation des équipes et procédures de gestion de crise. Demandez à la plateforme si elle réalise des pentests externes et à quelle fréquence.
Questions fréquentes (FAQ)
Oui, le secret médical s’applique de la même manière. Techniquement, une plateforme conforme au RGPD et hébergée par un prestataire HDS doit assurer un niveau de protection équivalent, mais la sécurité dépend aussi des pratiques techniques et humaines de l’opérateur.
Puis‑je demander la suppression d’une ordonnance déposée sur la plateforme ?
Vous pouvez demander la suppression, mais si l’ordonnance fait partie du dossier médical nécessaire à votre suivi ou si une obligation légale impose sa conservation, la suppression pourra être refusée avec justification.
Que signifie exactement la certification HDS ?
C’est une certification auditable qui impose la localisation des données dans l’UE, le chiffrement, la traçabilité des accès et un management strict de la sécurité. Elle atteste d’un niveau élevé mais n’élimine pas totalement le risque.
Si une plateforme est piratée, serai‑je informé ?
La plateforme doit notifier la CNIL sous 72 heures. Si la violation présente un risque élevé pour vos droits, elle doit également vous en informer directement et vous indiquer les mesures à prendre.
Puis‑je utiliser une messagerie grand public pour envoyer mes documents médicaux ?
Ce n’est pas recommandé. Les messageries grand public n’offrent généralement pas le niveau de traçabilité ni le chiffrement requis pour des données de santé. Préférez la messagerie sécurisée fournie par la plateforme ou un hébergeur HDS.
Louise Ferrand est une experte en bien-être et santé naturelle, passionnée par les solutions bio et respectueuses de l’environnement.