Données patients, conformité RGPD et infrastructure : le piège silencieux que nos PME ne voient pas venir

# Données patients, conformité RGPD et infrastructure : le piège silencieux que nos PME ne voient pas venir

Quand la médecine du travail devient un sujet de DSI

Personne ne l'avait vu arriver de ce côté-là.

Cette ETI (Entreprise de Taille Intermédiaire) industrielle de 800 salariés, basée en région Auvergne-Rhône-Alpes, fabrique des composants mécaniques pour le secteur aéronautique. Son DSI — Directeur des Systèmes d'Information — gère depuis des années des problématiques classiques : ERP, messagerie, sécurité périmétrique. La santé des salariés ? Ce n'est pas son dossier. C'est celui des RH et du médecin du travail.

Jusqu'au jour où la CNIL (Commission Nationale de l'Informatique et des Libertés, l'autorité française de protection des données) publie un rappel à l'ordre général sur le traitement des données de santé dans les entreprises. Et que le DPO (Délégué à la Protection des Données) de l'ETI réalise que l'entreprise utilise, via son service de santé au travail externalisé, une plateforme de prise de rendez-vous médicaux bien connue : Doctolib.

La question semble anodine. Elle ne l'est pas.

Doctolib, c'est quoi exactement du point de vue des données ?

Posons les bases pour ceux qui découvrent le sujet.

Doctolib est une plateforme française de prise de rendez-vous médicaux. Elle est très largement utilisée en France — par des cabinets libéraux, des hôpitaux, et de nombreux services de santé au travail interentreprises.

Les données qui transitent par Doctolib sont des données de santé. Ce sont des données dites sensibles au sens du RGPD (Règlement Général sur la Protection des Données, le texte européen en vigueur depuis 2018). Leur traitement est soumis à des obligations renforcées : hébergement certifié HDS (Hébergeur de Données de Santé, une certification française), consentement explicite, traçabilité stricte.

Doctolib a longtemps hébergé ses données sur AWS — Amazon Web Services, le service cloud de l'américain Amazon. Ce point a fait l'objet d'un débat public important en France entre 2021 et 2023. Depuis, Doctolib a annoncé une migration vers des infrastructures européennes et travaille avec des acteurs certifiés HDS.

Mais voilà où le sujet devient complexe pour une ETI.

Le réveil du DPO : une chaîne de sous-traitance invisible

Dans notre ETI aéronautique, le DPO commence à cartographier les flux de données de santé. Ce qu'il découvre, c'est une chaîne de sous-traitance en cascade qu'il n'avait jamais visualisée.

L'entreprise ne contracte pas directement avec Doctolib. Elle contracte avec un service de santé au travail interentreprises — appelons-le SST. Ce SST utilise Doctolib pour gérer les rendez-vous de ses médecins. Doctolib est donc sous-traitant du sous-traitant de l'ETI.

En droit RGPD, on appelle cela un sous-traitant ultérieur. L'entreprise, en tant que responsable de traitement (c'est elle qui emploie les salariés dont les données sont traitées), est censée savoir qui manipule ces données et dans quelles conditions.

Elle ne le savait pas. Personne ne le lui avait dit. Et le contrat avec le SST ne mentionnait pas explicitement Doctolib.

Premier verrouillage identifié : l'opacité contractuelle de la chaîne de sous-traitance.

Ce que révèle l'audit : trois niveaux de dépendance

Le DSI et le DPO décident de mener un audit conjoint. Ils identifient trois niveaux de dépendance qu'ils n'avaient pas anticipés.

1. La dépendance infrastructurelle

Même si Doctolib migre progressivement vers des infrastructures européennes, la question reste entière pour tous les outils gravitant autour de la plateforme. Les intégrations d'agenda, les outils de téléconsultation, les solutions de rappel automatique par SMS — chacun de ces modules peut avoir ses propres sous-traitants, dont certains sont américains.

Le Cloud Act américain (une loi de 2018 qui autorise les autorités américaines à accéder aux données stockées par des entreprises américaines, même sur des serveurs européens) reste une épée de Damoclès. Si un maillon de la chaîne est soumis au droit américain, la protection des données de santé européennes peut être compromise — indépendamment de la certification HDS.

2. La dépendance contractuelle

Quand le DSI demande au SST une copie du contrat liant ce dernier à Doctolib — ce qu'on appelle le DPA (Data Processing Agreement, ou accord de traitement des données en français) —, il se heurte à un refus poli mais ferme. Ce document est considéré comme confidentiel par le prestataire.

Or, le RGPD impose que le responsable de traitement puisse auditer ses sous-traitants. L'ETI se retrouve dans une situation paradoxale : elle est juridiquement responsable de données qu'elle ne peut pas auditer.

Deuxième verrouillage : l'impossibilité d'exercer son droit d'audit.

3. La dépendance opérationnelle

Doctolib est devenu l'infrastructure invisible de la médecine du travail française. Les médecins du SST ont leurs agendas, leurs historiques de visites, leurs comptes-rendus dans la plateforme. Migrer vers une alternative signifierait une rupture opérationnelle majeure pour le SST — qui, lui, n'a aucune raison de bouger.

L'ETI n'a pas de levier direct. Elle est à la merci d'un prestataire, lui-même dépendant d'un acteur dont elle ne maîtrise pas la trajectoire technologique.

Ce que l'ETI a fait — et ce que ça enseigne

L'ETI n'a pas tout résolu. Soyons honnêtes : en quelques mois, on ne démantèle pas une dépendance structurelle. Mais elle a posé des actes concrets, transférables à d'autres organisations.

Étape 1 : Formaliser la cartographie des sous-traitants de santé

Elle a exigé du SST une liste exhaustive et contractualisée de tous ses sous-traitants ultérieurs traitant des données de santé. Cette liste est désormais annexée au contrat et doit être mise à jour à chaque changement. Simple en théorie, rarement fait en pratique.

Étape 2 : Introduire une clause de souveraineté

Lors du renouvellement du contrat avec le SST, l'ETI a introduit une clause explicite : aucune donnée de santé de ses salariés ne peut être hébergée ou traitée par une entité soumise à une législation extra-européenne permettant un accès unilatéral aux données (visant notamment le Cloud Act). Cette clause n'est pas révolutionnaire juridiquement, mais elle crée une obligation contractuelle et un levier en cas de litige.

Étape 3 : Ouvrir le dialogue avec d'autres ETI du territoire

Le DSI a contacté deux autres ETI locales confrontées au même SST. Ensemble, ils représentent un volume de salariés suffisant pour peser dans la négociation avec le prestataire. Ils ont formulé une demande commune : accès au DPA de Doctolib, ou engagement d'une migration vers une solution souveraine certifiée HDS dans un délai défini.

Cette approche collective — rare dans le tissu industriel français — est peut-être la leçon la plus précieuse. La souveraineté numérique, à l'échelle d'une ETI seule, est presque inatteignable. Mutualisée, elle devient un levier réel.

Ce que ça change pour votre organisation

Ce retour terrain n'est pas un cas isolé. Il décrit une mécanique systémique.

Les données de santé de vos salariés circulent dans des chaînes de sous-traitance que vous n'avez probablement pas auditées. Votre conformité RGPD repose sur des engagements contractuels que vous n'avez peut-être jamais lus. Et votre exposition au Cloud Act américain n'est pas liée à vos propres choix technologiques — elle est héritée des choix de vos prestataires.

Trois questions à poser dès cette semaine à votre DPO :

• Avons-nous la liste de tous les sous-traitants ultérieurs qui traitent des données de santé de nos salariés ?
• Avons-nous le droit contractuel d'auditer ces sous-traitants, et l'avons-nous exercé ?
• Une entité soumise au droit américain est-elle dans cette chaîne, à quelque niveau que ce soit ?

Si la réponse à l'une de ces questions est « je ne sais pas », vous avez votre plan de travail pour les prochains mois.

La souveraineté numérique ne commence pas toujours par un grand projet de migration. Elle commence parfois par une clause dans un contrat de médecine du travail.