Le mot « traitement » recouvre des réalités différentes : usage de médicaments, activité de soins ou traitement de données personnelles. Les règles applicables dépendent donc de ce qui est traité, par qui et dans quel contexte.
Pour comprendre ce que la réglementation autorise, il faut distinguer les démarches administratives des règles médicales. Cette distinction aide à vérifier la conformité légale avant de modifier un dispositif ou un protocole de soins.
A retenir :
- Formalités CNIL adaptées à la nature des données et aux changements envisagés
- Prescription médicale fondée sur les indications thérapeutiques et les contre-indications
- Autorisations spécifiques pour certaines activités de soins et établissements
Traitements de données : quand la CNIL doit-elle être informée ?
La première distinction concerne les informations personnelles, notamment les données de santé, plutôt que les soins reçus par une personne. Selon la CNIL, certains traitements de ces données nécessitent une formalité préalable avant leur mise en œuvre.
Formalités préalables et données de santé
Dans ce cadre, l’organisme doit identifier la démarche requise selon le traitement et les règles qui lui sont applicables. Une fois la formalité nécessaire accomplie, le traitement peut être mis en œuvre, sous réserve du respect des autres obligations.
Selon la CNIL, un changement ne déclenche pas automatiquement une nouvelle démarche : son caractère substantiel et la formalité initiale comptent. Une structure qui modifie l’accès aux dossiers médicaux doit donc examiner l’effet concret sur les personnes et les modalités d’utilisation.
Repères pour les démarches CNIL :
- Nature des données collectées et utilisées
- Finalité et modalités du traitement
- Formalité accomplie lors de la mise en œuvre
- Effets du changement sur les droits des personnes
Modifications substantielles et droits des personnes
Lorsque la modification est substantielle, l’organisme doit déterminer les démarches applicables à sa situation initiale. Il doit également évaluer si les personnes concernées doivent être informées, notamment lorsque leurs droits ou les conditions d’utilisation évoluent.
Élément modifié
Question à examiner
Vigilance attendue
Finalité du traitement
L’usage des données change-t-il ?
Évaluer le caractère substantiel
Modalités de mise en œuvre
Les accès ou opérations évoluent-ils ?
Vérifier les formalités applicables
Droits des personnes
Le changement affecte-t-il leur exercice ?
Évaluer l’information nécessaire
Formalité initiale
Quelle démarche avait été accomplie ?
Adapter la nouvelle démarche
Ces repères concernent les fichiers et les informations personnelles ; les soins, eux, répondent à des exigences différentes. La nature de l’acte médical détermine alors les autorisations et les pratiques encadrées.
Traitements médicaux : médicaments, prescriptions et autorisations
À la différence d’un fichier, un traitement médical implique une décision de soin, souvent fondée sur l’état du patient. La prescription médicale doit tenir compte des indications thérapeutiques, des contre-indications et des règles applicables au produit.
Autorisation de mise sur le marché et bon usage
L’autorisation de mise sur le marché encadre l’utilisation d’un médicament selon les conditions reconnues pour celui-ci. Elle ne remplace pas l’évaluation clinique : le professionnel vérifie si le traitement convient à la situation et respecte les protocoles de soins pertinents.
Selon le guide de références juridiques de l’Assurance Maladie, les textes encadrent la prescription, la délivrance et la prise en charge des produits de santé. Pour un patient, cela signifie que l’autorisation du produit et la décision de prescrire sont deux questions liées, mais distinctes.
Contrôles à distinguer pour un médicament :
- Statut réglementaire du produit
- Indications thérapeutiques applicables
- Contre-indications et situation du patient
- Prescription et modalités de délivrance
Activités de soins soumises à autorisation
Certains soins exigent aussi une autorisation délivrée à l’établissement, indépendamment du statut du médicament utilisé. Pour le traitement du cancer, les établissements concernés doivent disposer d’une autorisation spécifique de leur agence régionale de santé.
Situation
Cadre à vérifier
Acteur concerné
Prescription d’un médicament
Indications et contre-indications
Professionnel prescripteur
Délivrance d’un produit de santé
Règles de délivrance applicables
Professionnel dispensateur
Traitement du cancer
Autorisation spécifique de l’activité
Établissement et agence régionale de santé
Prise en charge d’un produit
Textes relatifs à l’Assurance Maladie
Organismes et professionnels concernés
Conformité légale : organiser le suivi des traitements
Une fois les règles identifiées, reste à les faire vivre dans les procédures de l’organisme ou de l’établissement. Les obligations peuvent évoluer avec les textes, les pratiques et les changements apportés aux dispositifs concernés.
Suivre les évolutions réglementaires
Selon le guide de l’Assurance Maladie, les références juridiques relatives aux produits de santé sont actualisées en fonction des textes publiés. Sa mise à jour prend en compte les textes parus jusqu’au 30 septembre 2025, ce qui en fait un repère daté plutôt qu’une garantie permanente.
Une équipe peut tenir un registre des changements, désigner une personne chargée de vérifier les formalités et conserver les décisions prises. Cette méthode facilite le contrôle, sans remplacer l’analyse juridique ou médicale adaptée à chaque cas.
Mesures de suivi des obligations :
- Veille sur les textes applicables
- Documentation des décisions et des modifications
- Réexamen des informations destinées aux personnes
- Vérification des autorisations et protocoles concernés
Adapter les procédures aux risques
Le suivi doit correspondre aux risques réels : une modification d’accès à des données de santé n’appelle pas les mêmes contrôles qu’un changement de protocole thérapeutique. Dans les deux cas, la sécurité des traitements dépend de responsabilités claires, de vérifications documentées et d’une information adaptée.
Source : CNIL, « Modifications des traitements de données soumis à formalités », 13 juin 2024 ; Assurance Maladie, « Guide des références juridiques des produits de santé », références mises à jour jusqu’au 30 septembre 2025.
