Données de santé : définition, RGPD, CNIL, HDS et droits

Publié le 21 octobre 2026

Ce que sont les données de santé selon le RGPD et la CNIL, ce que veut dire HDS pour un hébergeur et comment exercer vos droits, sources à l'appui.

Mis à jour le 21 octobre 2026. Relecture médicale en cours. Cette page explique ce qu'est une donnée de santé selon le règlement européen sur la protection des données (RGPD, règlement (UE) 2016/679 du 27 avril 2016) et la Commission nationale de l'informatique et des libertés (CNIL), pourquoi ces données sont protégées davantage, qui peut les héberger et quels droits la personne concernée peut exercer. Elle s'appuie sur le texte du règlement, la CNIL, l'Agence du numérique en santé (ANS), l'Assurance maladie et Mon espace santé. Elle ne donne aucun conseil juridique personnalisé. Ces informations ne remplacent pas l'avis d'un professionnel de santé.

Selon la CNIL (8 janvier 2018), les données de santé sont les données relatives à la santé physique ou mentale, passée, présente ou future, d'une personne, qui révèlent des informations sur son état de santé. Le règlement européen en interdit le traitement par principe, sauf conditions, dont le consentement explicite.

Qu'est-ce qu'une donnée de santé à caractère personnel (définition du RGPD et de la CNIL) ?

Une donnée à caractère personnel est, selon le règlement (UE) 2016/679 du 27 avril 2016 (article 4), toute information se rapportant à une personne physique identifiée ou identifiable. Les « données concernant la santé » en sont une sous-catégorie, définie au même article : les données relatives à la santé physique ou mentale d'une personne, y compris la prestation de services de soins de santé, qui révèlent des informations sur son état de santé.

Le considérant 35 du règlement (27 avril 2016) élargit la lecture : ces données comprennent toute information concernant, par exemple, une maladie, un handicap, un risque de maladie, les antécédents médicaux, un traitement ou l'état physiologique ou biomédical de la personne, « indépendamment de sa source ». Le texte cite une source médicale (médecin, hôpital, dispositif médical, test de diagnostic in vitro) à titre d'exemple.

La CNIL (8 janvier 2018) reprend cette définition et écrit qu'elle englobe certaines données de mesure à partir desquelles il est possible de déduire une information sur l'état de santé de la personne. Elle ajoute que la notion est large et qu'elle est « à apprécier, au cas par cas ». Cette page ne peut donc pas dire, pour une donnée précise, si elle est de santé ou non.

Données de santé par nature, par croisement, par destination : quelle différence ?

La CNIL (8 janvier 2018) distingue trois cas. Le tableau ci-dessous reprend ses formulations et ses exemples.

Les résultats d'examens figurent parmi les exemples de la première catégorie. Le journal détaille la lecture d'une prise de sang dans les pages listées en bas de page.

À l'inverse, selon la CNIL (8 janvier 2018), n'entrent pas dans la notion les données dont aucune conséquence ne peut être tirée au regard de l'état de santé de la personne. Son exemple : une application qui collecte un nombre de pas au cours d'une promenade, sans croisement avec d'autres données.

Pourquoi le RGPD protège-t-il davantage les données de santé que les autres données ?

L'article 9 du règlement (27 avril 2016) pose une interdiction de principe : le traitement des données concernant la santé, comme celui des données génétiques ou biométriques, est interdit. Le paragraphe 2 prévoit ensuite dix conditions, notées a à j, dont l'une suffit à lever l'interdiction.

• Le consentement explicite de la personne, pour une ou plusieurs finalités spécifiques (point a), sauf si le droit de l'Union ou d'un État membre prévoit que la personne ne peut pas lever l'interdiction.
• La sauvegarde des intérêts vitaux de la personne (point c).
• Les finalités de médecine préventive, de diagnostics médicaux ou de prise en charge sanitaire ou sociale (point h).
• Des motifs d'intérêt public dans le domaine de la santé publique (point i).
• Des fins archivistiques dans l'intérêt public, de recherche scientifique ou historique ou à des fins statistiques (point j).

Le paragraphe 4 du même article permet en outre aux États membres de maintenir ou d'introduire des conditions supplémentaires pour les données concernant la santé. La liste ci-dessus est un extrait : le texte compte dix conditions.

Le règlement (27 avril 2016) définit le consentement comme une manifestation de volonté libre, spécifique, éclairée et univoque, donnée par une déclaration ou un acte positif clair (article 4). Selon l'article 7, la personne peut le retirer à tout moment, et il est aussi simple de le retirer que de le donner.

Pour une application de bien-être, la CNIL (page datée du 17 août 2018) écrit que l'accord exprès de la personne doit être recueilli après qu'elle a été informée que des données de santé sont collectées. Il ne peut pas prendre la forme d'une seule case valant à la fois acceptation des conditions générales d'utilisation et consentement au traitement.

La CNIL (8 janvier 2018) précise aussi que, une fois la qualification de données de santé retenue, un régime particulier s'applique. Sa liste, qu'elle dit non exhaustive, de règles susceptibles de s'appliquer comprend les dispositions sur l'hébergement des données de santé et l'interdiction de céder ou d'exploiter commercialement ces données (articles L. 1111-8 et L. 4113-7 du code de la santé publique). Elle écrit que la loi ne s'applique pas à un traitement à l'usage exclusif de la personne, par exemple une application qui reste en local, sans connexion extérieure.

Qui a le droit d'héberger des données de santé, et que veut dire HDS ?

HDS signifie « hébergeur de données de santé ». Selon l'ANS, toute personne physique ou morale qui héberge des données de santé à caractère personnel recueillies à l'occasion d'activités de prévention, de diagnostic, de soins ou de suivi médico-social, pour le compte des personnes à l'origine du recueil ou du patient lui-même, doit être agréée ou certifiée. L'ANS écrit que la certification vient remplacer l'agrément autrefois nécessaire.

Toujours selon l'ANS (page non datée), le certificat est délivré pour trois ans par l'organisme certificateur, avec un audit de surveillance chaque année. La page cite aussi un arrêté du 26 avril 2024 qui approuve la mise en application des référentiels d'accréditation et de certification, et écrit que les candidats hébergeurs déposent leur demande de certificat auprès du Comité français d'accréditation (Cofrac). Elle ne donne pas la date d'entrée en vigueur de la certification.

L'ANS (page non datée) répond aussi à une question fréquente : héberger des données pseudonymisées ne dispense pas de la certification, car la nature de la donnée de santé n'est pas modifiée. Elle cite des activités d'hébergement hors périmètre, par exemple celles des organismes d'assurance maladie obligatoire et complémentaire dans leur activité de prise en charge des frais de santé.

Pour les applications de bien-être, la CNIL (17 août 2018) répond que l'éditeur n'a pas à respecter les obligations d'hébergement si les données ne sont pas collectées à l'occasion d'activités de prévention, de diagnostic, de suivi social ou médico-social. Elle ajoute que le recours à un hébergeur agréé ou certifié est obligatoire lorsque les conditions sont cumulativement réunies. Ces deux pages n'ont pas été rapprochées par une source : cette page ne tranche pas entre elles et ne dit pas si un service précis doit être certifié.

Responsable du traitement et hébergeur : qui fait quoi ?

Les droits décrits plus bas s'exercent auprès du responsable du traitement (règlement, articles 15 à 21).

Quels sont vos droits sur vos données de santé ?

Les droits ci-dessous viennent du règlement (UE) 2016/679 (27 avril 2016, articles 7, 15 à 18, 20 et 21). La CNIL (page sans date affichée) les présente au grand public. Selon la CNIL (26 septembre 2023), chaque organisme doit permettre de les exercer gratuitement.

Selon l'article 12 du règlement (27 avril 2016), le responsable du traitement informe la personne des mesures prises dans un délai d'un mois à compter de la réception de la demande ; ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes. L'exercice des droits est en principe gratuit, mais le responsable peut exiger des frais raisonnables ou refuser une demande manifestement infondée ou excessive.

S'il ne donne pas suite, il doit en indiquer les motifs, au plus tard dans le même délai d'un mois, ainsi que la possibilité d'introduire une réclamation auprès d'une autorité de contrôle et de former un recours juridictionnel.

Mon espace santé : qui voit quoi ?

Selon l'Assurance Maladie (page du 26 juin 2026), Mon espace santé est un espace numérique proposé par l'Assurance Maladie et le ministère de la Santé. Selon la même page, les données y sont hébergées en France, et les services référencés au catalogue doivent répondre à plus de 150 critères, évalués notamment sur le RGPD et la loi Informatique et libertés. La même page indique que l'usager peut aussi y enregistrer ses mesures, comme son poids, sa taille, sa tension ou sa glycémie.

Selon la page de l'Assurance Maladie du 3 avril 2025, la connexion demande, en plus de l'identifiant et du mot de passe, un code à usage unique reçu par courriel ou par SMS, et l'hébergement se fait en environnement certifié HDS, avec l'accompagnement de l'ANSSI.

La page « Protection des données personnelles » de Mon espace santé (non datée) nomme deux responsables conjoints du traitement, la Caisse nationale d'assurance maladie et le ministère de la Santé, et indique que les données sont hébergées en France par un hébergeur certifié HDS. L'usager peut supprimer directement les informations qu'il a saisies lui-même. Pour un document déposé par un professionnel, la rectification s'exerce auprès de ce professionnel. Après la clôture de Mon espace santé, les données sont conservées 10 ans, et leur suppression peut être demandée.

La même page de Mon espace santé (non datée) écrit que l'accès au dossier ne peut pas être exigé, même avec l'accord de la personne, lors de la conclusion d'un contrat de mutuelle ou d'assurance. En cas de difficulté, une réclamation auprès de la CNIL est possible.

Les données d'une montre ou d'une application de bien-être sont-elles des données de santé ?

La CNIL (8 janvier 2018) pose la question pour les montres, bracelets connectés et applications de mesure de soi, hors contexte médical. Sa réponse : « Tout dépend » de la nature des données (un poids excessif peut révéler une obésité) et de leur croisement ou non avec d'autres données révélant des informations sur l'état de santé. Elle ne répond ni oui ni non.

Dans une page plus ancienne sur les objets connectés (14 décembre 2015), la CNIL recommandait de s'assurer de la possibilité d'accéder aux données et de les supprimer, d'être d'autant plus vigilant sur la sécurisation lorsque l'objet produit des données sensibles, sur la santé, et de faire attention à la manière de partager et de donner des accès. Pour les applications de bien-être, la CNIL (17 août 2018) écrit que les données ne doivent pas être conservées au-delà de la suppression ou de l'inactivité du compte, et que la portabilité doit pouvoir s'exercer.

Quelles questions poser à un service avant d'y déposer ses données de santé ?

Cette liste de dix questions est construite sur les éléments sourcés plus haut. Elle ne dit pas ce qu'un service précis répond : elle sert à le lui demander.

• Qui est le responsable du traitement, et qui est seulement l'éditeur de l'application ? (CNIL, 17 août 2018)
• Où les données sont-elles hébergées, par quelle société, et celle-ci est-elle certifiée HDS, pour quelles activités ? (ANS, page non datée)
• Mon accord est-il demandé séparément des conditions générales d'utilisation ? (CNIL, 17 août 2018)
• Comment retirer mon consentement, aussi simplement que je l'ai donné ? (règlement, article 7)
• Comment accéder à mes données et en obtenir une copie ? (règlement, article 15)
• Comment faire rectifier une donnée inexacte ? (règlement, article 16)
• Comment obtenir l'effacement de mes données, et que devient mon compte inactif ? (règlement, article 17 ; CNIL, 17 août 2018)
• Puis-je récupérer mes données dans un format lisible et les transmettre ailleurs ? (règlement, article 20)
• Qui peut voir mes données, et comment arrêter un accès, comme dans Mon espace santé ? (Assurance Maladie, 3 avril 2025)
• À qui m'adresser en cas de problème, quel est le délai de réponse, et comment saisir la CNIL ensuite ? (règlement, article 12 ; CNIL, 26 septembre 2023)

Qui consulter pour exercer ses droits ou signaler un problème ?

La CNIL (26 septembre 2023) écrit qu'avant de la saisir, il faut exercer son droit auprès de la société, de l'association ou de l'administration qui détient les données. Si l'organisme ne répond pas dans le délai d'un mois, ou ne vous informe pas d'une prolongation, vous pouvez adresser une plainte à la CNIL, avec les éléments attestant vos démarches préalables. Elle écrit aussi que ce délai peut être porté à trois mois compte tenu de la complexité de la demande ou du nombre de demandes ; le règlement parle d'un mois prolongeable de deux mois.

La même page de la CNIL (26 septembre 2023) propose des modèles de courrier et mentionne la possibilité de contacter le délégué à la protection des données de l'organisme. Elle recommande de conserver une copie de ses démarches. Le règlement (article 77) donne à toute personne le droit d'introduire une réclamation auprès d'une autorité de contrôle.

Pour votre situation précise, adressez-vous au délégué à la protection des données du service ou à la CNIL. Pour le contenu médical d'un dossier, parlez-en à votre médecin. Ces informations ne remplacent pas l'avis d'un professionnel de santé.

Ce que l'on ne peut pas affirmer

• Si une donnée précise est une donnée de santé : la CNIL (8 janvier 2018) répond au cas par cas, et cette page ne le tranche pas pour vous.
• Si un service précis doit être certifié HDS : les pages de l'ANS et de la CNIL lues ne sont pas rapprochées par une source, et aucune liste de services n'a été lue.
• Ce qu'un service précis fait réellement de vos données : seul son responsable du traitement peut le dire, et la CNIL l'identifie au cas par cas.
• La correspondance entre les activités HDS numérotées par certaines pages et celles listées sans numéro par l'ANS : le référentiel de certification n'a pas été lu.
• La date d'entrée en vigueur de la certification HDS, et les délais propres à l'accès au dossier médical d'un établissement : non précisé par les sources lues.
• Si la portabilité est disponible dans Mon espace santé : la page de Mon espace santé lue (non datée) la renvoie à une mise en œuvre ultérieure.
• Le contenu actuel des pages de la CNIL : le site était en maintenance le 21 octobre 2026 et les pages ont été lues telles que conservées, avec leurs dates de 2015, 2018 et 2023.
• Aucune liste d'applications ou de services fiables n'est donnée : elle ne repose sur aucune source lue.