Données de santé sensibles : vers une protection renforcée des personnes exposées à un risque institutionnel ? Par Zakaria Garno, Enseignant-chercheur.
La protection des données de santé est classiquement pensée à travers trois exigences : la vie privée, le secret médical et la sécurité des systèmes d'information. Mais lorsque ces données concernent une personne exerçant une fonction publique sensible, une responsabilité stratégique, une mission de commandement ou une fonction institutionnelle exposée, leur divulgation peut produire un effet qui dépasse l'atteinte individuelle.
Les données de santé ne sont pas des informations ordinaires. Elles concernent l’intimité du corps, l’état psychique, l’histoire médicale ou la vulnérabilité biologique d’une personne. Le Règlement général sur la protection des données (RGPD) les classe parmi les catégories particulières de données, dont le traitement est interdit par principe, sauf exceptions strictes. En France, la loi Informatique et Libertés interdit également leur traitement sans justification. Ces données touchent à la dignité et à l’autonomie personnelle, protégées par la Charte des droits fondamentaux de l’Union européenne et la Convention européenne des droits de l’homme. Leur sensibilité dépend aussi de leur exploitation : une donnée médicale peut devenir un outil de pression ou de chantage si elle concerne une personne en fonction stratégique.
Le secret médical reste la base de la protection des données de santé, mais il ne suffit plus. Une donnée médicale circule aujourd’hui à travers de nombreux acteurs : hôpitaux, laboratoires, assurances, hébergeurs numériques ou prestataires informatiques. En France, le Code de la santé publique (articles L.1110-4 et L.1111-8) impose que le secret s’applique à tous les intervenants du système de santé et encadre strictement l’hébergement des données. La CNIL rappelle que l’accès aux données doit être limité aux personnes ayant un besoin d’en connaître, c’est-à-dire une raison légitime, nécessaire et proportionnée. Cette exigence vise à éviter les accès abusifs ou non justifiés, comme le montre un arrêt de la Cour européenne des droits de l’homme (affaire I c. Finlande) sanctionnant un système hospitalier trop peu protégé.
La Cour de justice de l’Union européenne (CJUE) impose une lecture stricte et contextuelle des données sensibles. Dans l’arrêt ZQ c. Medizinischer Dienst der Krankenversicherung Nordrhein, elle rappelle que les données de santé restent protégées même lorsqu’elles sont traitées par des organismes de contrôle, comme les assurances maladie. Une autre décision (OT c. Vyriausioji tarnybinės etikos komisija) montre qu’une donnée apparemment neutre peut devenir sensible si elle permet, par déduction, de révéler indirectement une information protégée. La CJUE insiste aussi sur les risques liés aux croisements de données, comme dans l’arrêt Meta Platforms. Ces jurisprudences soulignent que la protection ne dépend pas seulement de la nature de la donnée, mais aussi de son contexte d’utilisation.
Une fuite de données de santé peut avoir des conséquences graves : discrimination, stigmatisation, perte de confiance ou manipulation médiatique. Lorsqu’elles concernent une personne en fonction sensible (souveraineté, justice, régulation, etc.), ces données deviennent des données de pression. Elles peuvent servir à du chantage, à de la désinformation ou à la déstabilisation d’une institution. Une étude de Seh et al. montre que les violations de données de santé proviennent souvent de piratages ou de divulgations internes non autorisées. Pour les dossiers psychiatriques électroniques, Looi souligne les risques accrus pour les patients et les systèmes de santé. Ces risques ne sont pas seulement individuels : ils peuvent menacer la continuité institutionnelle.
L’auteur propose de créer une catégorie fonctionnelle : les données de santé à sensibilité institutionnelle renforcée. Cette notion ne crée pas une nouvelle catégorie juridique, mais une sous-catégorie de risque au sein des données de santé déjà protégées. Trois critères permettent de les identifier : la nature de la donnée (diagnostic, hospitalisation, donnée génétique, etc.), la fonction de la personne concernée (souveraineté, justice, régulation, etc.) et le risque d’exploitation (chantage, déstabilisation, etc.). Cette qualification doit être prudente pour éviter de créer une liste nominative des personnes sensibles, qui deviendrait elle-même une donnée hautement sensible. Elle doit reposer sur des protocoles restreints et contrôlés.
Le règlement (UE) 2025/327 du 11 février 2025 établit l’Espace européen des données de santé, marquant un tournant dans la gouvernance de ces données. Ce texte ne se contente pas de protéger les données de santé : il encadre leur accès, leur échange et leur utilisation. La question centrale devient : qui accède à ces données, pour quelle finalité, avec quelle base juridique et sous quel contrôle ? Cette logique rejoint la proposition de protection renforcée, car plus une donnée présente un risque institutionnel, plus les mécanismes de restriction, de traçabilité et de supervision doivent être élevés. L’objectif est de garantir la sécurité et la confiance dans les échanges de données de santé au niveau européen.
La protection des données de santé ne relève plus seulement du RGPD, mais aussi de la cybersécurité et de la résilience institutionnelle. L’article 32 du RGPD impose des mesures techniques et organisationnelles adaptées au risque, comme la pseudonymisation, le chiffrement ou des tests réguliers de sécurité. L’article 35 du RGPD exige une analyse d’impact relative à la protection des données (AIPD) pour les traitements à haut risque. La directive NIS2 renforce cette logique en couvrant le secteur de la santé parmi les secteurs critiques. Les données de santé à sensibilité institutionnelle renforcée doivent donc être protégées à la fois comme des données personnelles, comme des secrets médicaux et comme des actifs critiques pour la continuité des institutions.
Pour protéger les données de santé à sensibilité institutionnelle renforcée, l’auteur propose plusieurs garanties. D’abord, un protocole d’accès restreint : seules les personnes strictement habilitées et justifiées peuvent y accéder, avec traçabilité complète des accès. Ensuite, des mécanismes d’alerte et d’audit pour détecter et corriger rapidement les accès abusifs ou les fuites. Enfin, une supervision renforcée par des autorités indépendantes, comme la CNIL en France ou le Comité européen de la protection des données au niveau européen. Ces garanties visent à éviter que ces données ne deviennent des outils de pression ou de déstabilisation, tout en respectant les droits fondamentaux des personnes concernées.
L’article propose une ouverture comparée avec le Maroc, qui pourrait servir de terrain d’adaptation pour les principes européens. Le Maroc a récemment renforcé sa législation sur la protection des données personnelles avec la loi n°09-08, alignée sur les standards internationaux. Cependant, son système de santé et ses institutions publiques pourraient bénéficier d’une approche spécifique pour les données de santé sensibles, notamment celles liées à des fonctions stratégiques. Cette comparaison permet d’envisager des solutions adaptées à des contextes institutionnels différents, tout en respectant les principes de protection des données et de sécurité publique.
Les données de santé ne peuvent plus être protégées uniquement par le secret médical ou des règles générales de confidentialité. Leur sensibilité dépend désormais de leur exploitation et du contexte dans lequel elles circulent. Les institutions européennes et françaises doivent renforcer la protection de ces données, en particulier lorsqu’elles concernent des personnes en fonction stratégique. Cela passe par des mécanismes concrets : contrôle strict des accès, traçabilité, cybersécurité renforcée et gouvernance adaptée. L’objectif n’est pas de créer des privilèges, mais de reconnaître que certaines données de santé peuvent devenir des enjeux de sécurité publique et de continuité institutionnelle. Cette évolution nécessite une coopération entre les acteurs publics, privés et internationaux pour garantir un équilibre entre protection des données et sécurité des institutions.
