Vous manipulez des donnees de sante — la categorie la plus protegee du RGPD. Ce guide detaille vos 6 obligations et comment les remplir sans y passer des heures.
Ce guide s'applique a vous si vous etes :
Pourquoi c'est urgent
En 2024, la CNIL a renforce ses controles sur les professionnels de sante. Les donnees de sante sont une « categorie speciale » (Article 9 du RGPD) : leur traitement sans mesures appropriees expose a des sanctions pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires.
Ce que dit le RGPD
Vous devez documenter tous les traitements de donnees personnelles que vous effectuez : quelles donnees, pourquoi, combien de temps, qui y accede.
Le risque
Amende jusqu'a 10 millions d'euros ou 2 % du CA en cas de controle CNIL.
Comment Kliniacare vous aide
Kliniacare genere et maintient votre registre des traitements automatiquement. Il est pre-rempli avec les traitements standards de votre profession.
Ce que dit le RGPD
Les notes cliniques sont des donnees de sante (categorie speciale, Article 9). Leur stockage en clair sur un ordinateur personnel ou un service cloud grand public est une violation.
Le risque
Le vol ou la perte de votre ordinateur expose les donnees de tous vos patients. Notification CNIL sous 72h obligatoire.
Comment Kliniacare vous aide
Chaque note clinique est chiffree AES-256-GCM avec cle derivee par cabinet (HKDF-SHA256) avant stockage. Meme en cas d'intrusion serveur, les donnees sont illisibles sans la cle.
Ce que dit le RGPD
Les donnees de sante doivent etre hebergees chez un hebergeur certifie HDS (Hebergeur de Donnees de Sante). Google Drive, Dropbox et iCloud ne sont pas certifies.
Le risque
Stocker des notes cliniques sur un service non HDS est une non-conformite directe.
Comment Kliniacare vous aide
Kliniacare est heberge chez Scalingo (certifie HDS, ISO 27001) en France. Infrastructure OVHcloud (HDS, ISO 27001/27017/27018/27701). Aucun transfert hors UE pour les donnees de sante.
Ce que dit le RGPD
Quand un traitement est susceptible d'engendrer un risque eleve pour les droits des personnes (donnees de sante = toujours), vous devez realiser une DPIA.
Le risque
La CNIL peut considerer l'absence de DPIA comme un manquement aux obligations du responsable de traitement.
Comment Kliniacare vous aide
La DPIA de Kliniacare est deja realisee et documentee. En tant qu'utilisateur, vous beneficiez de cette analyse d'impact sans avoir a la produire vous-meme.
Ce que dit le RGPD
Vos patients ont le droit d'acceder a leurs donnees, de les rectifier, de les supprimer (droit a l'oubli), et de les exporter (portabilite).
Le risque
Vous avez 30 jours pour repondre a une demande d'exercice de droits. Au-dela, le patient peut saisir la CNIL.
Comment Kliniacare vous aide
Export complet en 1 clic (Article 20), suppression des donnees patient, historique de consentement. Articles 15 a 21 implementes nativement dans Kliniacare.
Ce que dit le RGPD
Si vous utilisez une IA (ChatGPT, Claude, etc.) pour rediger des comptes rendus, vous transferez des donnees de sante a un sous-traitant. Cela necessite un contrat et des garanties.
Le risque
Copier-coller des notes cliniques dans ChatGPT sans anonymisation = transfert non autorise de donnees de sante vers les Etats-Unis.
Comment Kliniacare vous aide
L'IA de Kliniacare pseudonymise les données avant traitement. Les fonctions cliniques les plus sensibles utilisent uniquement des fournisseurs établis en France (Mistral AI, Scaleway, OVHcloud) ; lorsque d'autres fonctions font appel à OpenAI ou Anthropic, seuls des textes pseudonymisés leur sont transmis, dans le cadre de clauses contractuelles types.
Le Reglement europeen sur l'intelligence artificielle impose des obligations specifiques pour l'utilisation d'IA dans le domaine de la sante.
4 niveaux de risque IA implementes (minimal, limite, haut, inacceptable). Chaque fonctionnalite IA est classifiee et les mesures de controle adaptees automatiquement.
Evaluations d'impact sur les droits fondamentaux (FRIA) realisees pour chaque fonctionnalite IA a haut risque. Documentation disponible sur demande.
Metadonnees de transparence sur chaque reponse IA : modele utilise, niveau de risque, score de confiance, tokens consommes. Journalisation complete de chaque requete IA.
Politique de supervision humaine appliquee : l'IA assiste le praticien, ne decide jamais a sa place. Le consentement du patient est requis pour chaque usage IA clinique.
| Obligation | En autonomie | Avec Kliniacare |
|---|---|---|
| Registre des traitements documente | 2-4 heures | Automatique |
| Notes cliniques chiffrees | Solution tierce payante | Integre (AES-256-GCM) |
| Hebergement HDS | Choix + contrat hebergeur | Inclus (Scalingo FR) |
| DPIA realisee | 8-16 heures (ou prestataire) | Deja realisee |
| Gestion consentement patients | Formulaires papier | 8 finalites de consentement |
| Droit d'acces / export | Extraction manuelle | Export 1 clic (Art. 15-21) |
| Anonymisation IA | Manuelle (risque d'oubli) | Automatique + circuit PHI/non-PHI |
| Journal d'audit | Inexistant | Immuable (HMAC-SHA256, au moins 20 ans) |
| 2FA obligatoire | Optionnel | TOTP obligatoire praticiens |
| Conformite AI Act | Non couverte | 4 niveaux de risque, FRIA, transparence |
Inscrivez-vous, importez vos patients. Votre registre des traitements, votre chiffrement et votre hebergement HDS sont prets des la premiere minute.
Commencer l'essai gratuit14 jours gratuits · Sans carte bancaire · Conforme des l'inscription