Télésecrétariat médical : pourquoi vous êtes sous-traitant de données de santé (et ce que ça change)
Répondre pour un cabinet médical, c'est traiter des données de santé pour le compte d'autrui. Le RGPD vous range parmi les sous-traitants, avec des obligations précises et des risques chiffrés.
- En répondant pour un praticien, vous traitez des données de santé : le RGPD vous qualifie de sous-traitant, pas de simple prestataire.
- Un contrat de sous-traitance (article 28 RGPD) est obligatoire avec chaque cabinet client : sans lui, le médecin et vous êtes en faute.
- La divulgation d'une information de santé à un tiers expose à une sanction CNIL et à une action du patient pour violation du secret.
- La RC Pro couvre l'atteinte involontaire à la confidentialité ; l'option Cyber prend le relais en cas de piratage du CRM ou de fuite de fichiers.
Données de santé : ce que vous manipulez sans toujours le savoir
Quand vous décrochez pour un médecin, un kinésithérapeute ou un cabinet dentaire, vous ne notez pas seulement un nom et un horaire. Vous enregistrez le motif d'un appel ("rappel de résultats", "douleur thoracique", "renouvellement d'ordonnance"), parfois l'identité d'un patient associé à une pathologie, un numéro de sécurité sociale ou un compte rendu à transmettre.
Or l'article 9 du RGPD classe les données relatives à la santé parmi les catégories particulières de données, dont le traitement est par principe interdit, sauf exceptions (dont la prise en charge médicale). Le simple fait de noter "Mme Durand rappelle pour ses analyses sanguines" est un traitement de donnée de santé.
Cette qualification n'est pas théorique : elle déclenche un régime de protection renforcé. La sensibilité de l'information ne dépend pas du volume traité. Une seule fiche patient mal protégée suffit à constituer un manquement.
Sous-traitant, et non simple prestataire : la nuance qui engage votre responsabilité
Le cabinet client décide pourquoi et comment les appels sont traités : il est responsable de traitement. Vous, qui agissez sur ses instructions et pour son compte, êtes sous-traitant au sens de l'article 4 du RGPD. Cette qualification n'est pas un choix : elle découle de votre rôle réel.
Beaucoup de télésecrétaires pensent être de simples prestataires de service, comme un photocopiste. C'est faux dès lors que vous traitez des données personnelles pour autrui. Et le statut de sous-traitant emporte des obligations directes :
- Ne traiter les données que sur instruction documentée du cabinet ;
- Garantir la confidentialité des personnes autorisées à y accéder (vos téléopérateurs) ;
- Mettre en place des mesures de sécurité techniques adaptées (accès CRM nominatifs, chiffrement, journalisation) ;
- Aider le cabinet à répondre aux demandes des patients (droit d'accès, d'effacement) ;
- Notifier toute violation de données dans les meilleurs délais.
Depuis 2018, la CNIL peut sanctionner directement un sous-traitant, et pas seulement le responsable de traitement.
Le contrat de sous-traitance (article 28) : un document obligatoire, pas une option
L'article 28 du RGPD impose un contrat écrit entre le cabinet et vous. Ce document, souvent appelé "DPA" (Data Processing Agreement), doit préciser l'objet, la durée, la nature et la finalité du traitement, les catégories de données et d'obligations.
Sur le terrain, c'est l'angle mort le plus fréquent. Vous signez un contrat commercial de permanence téléphonique, mais aucune clause RGPD. En cas de contrôle ou de plainte d'un patient, l'absence de ce contrat constitue une faute imputable aux deux parties.
À retenir : tant que vous n'avez pas formalisé une clause ou un avenant de sous-traitance avec chaque cabinet, vous traitez des données de santé sans cadre juridique. C'est une vulnérabilité contractuelle autant que réglementaire.
Conseil pratique : tenez un registre des cabinets pour lesquels vous travaillez et de l'état de votre DPA pour chacun. C'est aussi une pièce que votre assureur examinera en cas de sinistre lié à la confidentialité.
Ce que vous risquez concrètement en cas de fuite
Imaginons un scénario réaliste. Un téléopérateur lit à voix haute, dans un open space, le motif d'appel d'un patient identifiable, entendu par un autre client en attente. Ou bien un fichier de rappels patients est envoyé par erreur au mauvais cabinet. Ou encore le CRM est compromis par un rançongiciel et des fiches médicales fuitent.
Les conséquences se cumulent :
- Sanction administrative : la CNIL peut prononcer une amende et une mise en demeure publique, particulièrement dissuasive pour une activité reposant sur la confiance des praticiens.
- Action civile du patient : indemnisation du préjudice moral lié à la violation du secret.
- Rupture des contrats clients : un cabinet ne peut pas se permettre de garder un prestataire ayant divulgué des données de santé.
- Atteinte à la réputation : dans un métier de proximité, la perte de confiance est souvent fatale.
La perte du secret professionnel n'est donc pas qu'une question éthique : c'est un risque économique direct pour votre activité.
Comment l'assurance répond à ce risque spécifique
Deux couvertures se complètent face au risque "données de santé".
La RC Pro indemnise les dommages causés au cabinet client et aux patients en cas d'atteinte involontaire à la confidentialité ou au secret professionnel : c'est le socle. Elle prend aussi en charge les frais de défense si un patient ou un praticien engage votre responsabilité, et le préjudice financier (dommages immatériels) subi par le cabinet.
L'assurance cyber couvre une autre dimension : le piratage de votre CRM, le rançongiciel qui chiffre vos agendas, la fuite massive de fichiers patients. Elle prend en charge la gestion de crise (expertise informatique, notification CNIL et personnes concernées), la perte d'exploitation et, le cas échéant, la rançon dans les limites du contrat. Pour un télésecrétariat médical reposant entièrement sur des outils numériques, cette option n'est pas un luxe.
Pour connaître le détail du barème selon votre chiffre d'affaires et votre nombre de donneurs d'ordre, consultez notre page dédiée au métier de permanence téléphonique.
Questions fréquentes
Oui. Dès lors que vous traitez des données personnelles pour le compte d'un cabinet et selon ses instructions, vous êtes sous-traitant au sens de l'article 4 du RGPD, quel que soit le volume. Prendre un message mentionnant l'état de santé d'un patient est un traitement de donnée sensible.
Oui. L'article 28 du RGPD impose un contrat ou un avenant de sous-traitance écrit avec chaque responsable de traitement. Un simple contrat commercial de permanence téléphonique sans clause RGPD ne suffit pas et expose les deux parties en cas de contrôle.
Oui. Depuis l'entrée en vigueur du RGPD en 2018, la CNIL peut sanctionner directement un sous-traitant pour manquement à ses obligations de sécurité ou de confidentialité, indépendamment de la responsabilité du cabinet client.
Oui, la RC Pro Insurio couvre l'atteinte involontaire au secret professionnel et médical, à condition d'être de bonne foi et d'avoir respecté les protocoles convenus avec le cabinet. En cas de piratage informatique, c'est l'option Cyber qui prend le relais.
C'est vivement conseillé pour un télésecrétariat médical. La RC Pro couvre la faute humaine (erreur, indiscrétion), mais pas le piratage de votre CRM ou un rançongiciel qui chiffre vos agendas. L'assurance cyber complète ce volet technique, incluant la gestion de crise et la notification CNIL.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Gestion de standard - permanence téléphonique — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Gestion de standard - permanence téléphonique →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.