Le consentement est devenu le symbole du RGPD dans l'imaginaire collectif. Bannières de cookies, cases à cocher, formulaires de désinscription — le grand public associe protection des données et consentement. Dans le secteur de la santé, cette assimilation est particulièrement trompeuse, car elle conduit à des pratiques à la fois inutilement contraignantes et parfois légalement incorrectes.
Reprenons depuis le texte.
Les six bases légales du RGPD : le consentement n'est qu'une option
L'article 6 du RGPD définit six bases légales qui permettent de justifier un traitement de données personnelles. Il suffit d'une seule pour que le traitement soit licite. Art. 6 RGPD
Pour les données de santé — données de catégories particulières au sens de l'article 9 — il faut en outre satisfaire à l'une des conditions spécifiques de l'article 9(2). Art. 9 RGPD Ces conditions supplémentaires s'appliquent en plus d'une base légale de l'article 6, pas à la place.
La base légale habituelle des soins : pas le consentement
Pour l'immense majorité des traitements de données de santé dans le cadre des soins, la base légale pertinente n'est pas le consentement, mais l'obligation légale (article 6(1)(c)) ou la mission d'intérêt public (article 6(1)(e)).
Le Code de la santé publique impose en effet de nombreuses obligations documentaires : tenue du dossier médical, déclaration des maladies à notification obligatoire, transmission de données à la CPAM, tenue du registre de sécurité pour les établissements... Ces traitements sont fondés sur une obligation légale. Le professionnel n'a pas le choix de les effectuer ou non — et le patient n'a pas non plus à donner son accord.
Un médecin généraliste qui rédige un compte-rendu de consultation et le conserve dans le dossier médical du patient ne le fait pas sur la base du consentement du patient. Il le fait parce que l'article R.4127-45 du Code de la santé publique lui impose de tenir un dossier médical. La base légale est l'obligation légale, pas le consentement.
La même logique s'applique pour un hôpital public ou un établissement médico-social : les traitements de données liés à la prise en charge des patients relèvent typiquement de la mission d'intérêt public, pas du consentement.
Demander le consentement quand on dispose déjà d'une autre base légale n'est pas une bonne pratique — c'est un risque juridique supplémentaire.
Pourquoi un risque supplémentaire ? Parce que si on choisit le consentement comme base légale et que la personne le retire — ce qu'elle peut faire à tout moment — on perd la justification légale du traitement. Si ce traitement est en réalité imposé par la loi, on se retrouve dans une situation absurde : obligé légalement de traiter des données pour lesquelles on n'a plus de base légale. Il est donc essentiel de choisir la base légale correcte dès le départ.
Les cas où le consentement est réellement requis en santé
Le consentement reste la base légale pertinente dans des situations précises. Il s'agit essentiellement des traitements pour lesquels aucune autre base légale ne s'applique — c'est-à-dire les traitements non imposés par la loi et pour lesquels la personne est libre de refuser sans conséquence sur sa prise en charge.
| Traitement | Base légale | Consentement ? |
|---|---|---|
| Tenue du dossier médical | Obligation légale (CSP) | Non requis |
| Transmission à la CPAM | Obligation légale | Non requis |
| Déclaration maladies obligatoires | Obligation légale | Non requis |
| Coordination des soins entre professionnels | Intérêt public / Art. 9(2)(h) RGPD | Non requis |
| Inclusion dans une recherche clinique | Intérêt public / Consentement | Souvent requis |
| Envoi d'une newsletter santé personnalisée | Consentement | Requis |
| Utilisation à des fins de témoignage/communication | Consentement | Requis |
| Partage avec un tiers non soignant (assureur, employeur) | Consentement explicite | Requis |
| Cookies de mesure d'audience (site web) | Consentement | Requis |
| Prise en charge urgente (inconscience) | Intérêts vitaux | Non requis |
La recherche clinique obéit à des règles spécifiques. Le consentement est requis par la loi Jardé pour les recherches interventionnelles. Pour les recherches sur données existantes, la CNIL a établi des méthodologies de référence (MR-001 à MR-004) qui permettent de déroger au consentement sous conditions strictes. Ce sujet mérite une analyse au cas par cas.
Quand le consentement est requis, il doit être valide
Lorsque le consentement est la bonne base légale, les exigences du RGPD sont strictes. Un consentement non valide est pire que l'absence de base légale — il crée une apparence de conformité sans en avoir la substance. Art. 7 RGPD
Pour être valide, un consentement doit réunir quatre conditions :
- Libre : aucune pression, pas de conséquence négative sur la prise en charge en cas de refus. Dans le contexte de la santé, la relation soignant/soigné crée un déséquilibre de pouvoir qui rend le consentement difficile à qualifier de "libre". La CNIL est particulièrement attentive à ce point.
- Spécifique : donné pour une finalité précise et délimitée. Un consentement global "pour tout traitement de mes données de santé" est sans valeur.
- Éclairé : la personne doit avoir reçu une information complète sur l'identité du responsable, la finalité, les destinataires, la durée de conservation et ses droits avant de consentir.
- Univoque : exprimé par un acte positif clair. Une case précochée ne vaut pas consentement. Le silence non plus.
Pour les données de santé, le consentement doit en outre être explicite au sens de l'article 9(2)(a) — c'est-à-dire exprimé par une action ou déclaration spécifique (et non déduit de comportements). Art. 9(2)(a) RGPD
Le formulaire de consentement doit décrire précisément ce pour quoi le consentement est demandé, mentionner le droit de retrait à tout moment sans conséquence, et ne pas être couplé à d'autres clauses (conditions générales, règlement intérieur). La preuve du consentement doit être conservée — le registre de traitement doit en faire mention.
Pourquoi cette confusion est dangereuse
La conviction que "RGPD = consentement" génère des pratiques problématiques dans les structures de santé :
- Des consentements fantômes : le professionnel fait signer une fiche de consentement "RGPD" pour les soins courants, alors que le traitement est fondé sur une obligation légale. La fiche ne sert à rien juridiquement et crée une fausse impression de conformité.
- Des refus non gérés : si un patient "retire son consentement" pour des données médicales dont la conservation est imposée par la loi, le professionnel se retrouve dans une impasse — il ne peut ni effacer les données (obligation légale) ni les conserver (consentement retiré). Situation insoluble, créée par un mauvais choix de base légale.
- Une surcharge inutile : demander le consentement pour tout alourdit les processus d'accueil, allonge les délais et épuise les patients avec des formulaires redondants. C'est contre-productif et ne renforce pas réellement la protection des données.
- L'oubli des vrais cas de consentement : à force de demander des consentements inutiles, on néglige ceux qui sont réellement requis — comme le consentement à l'envoi de communications commerciales, qui lui est obligatoire au titre des règles ePrivacy.
Ce qu'il faut retenir
Le consentement est une base légale parmi six. Dans le secteur de la santé, il est pertinent pour les traitements non imposés par la loi et pour lesquels la personne est réellement libre de refuser. Il ne doit être invoqué que lorsque c'est la bonne base légale — pas par habitude ou par précaution.
La conformité RGPD en santé passe avant tout par une analyse sérieuse de chaque traitement : quelle base légale ? quelle durée de conservation ? quels destinataires ? Cette analyse est la première mission d'un DPO. Sans elle, le registre de traitement ne peut pas être correctement tenu.
Vous avez un doute sur votre base légale ?
Analyse de vos traitements, qualification des bases légales, rédaction de vos mentions d'information — nous vous accompagnons pas à pas.