Introduction : le dossier que vous n'avez jamais ouvert
Vous avez consulté un médecin il y a trois semaines pour une douleur au dos. Vous avez tendu votre carte Vitale, récupéré une ordonnance, passé à la pharmacie du coin qui connaît votre nom, puis pris rendez-vous en ligne pour une radio. Entre-temps, votre montre a enregistré vos nuits perturbées, et vous avez tapé « douleur lombaire matin » dans un moteur de recherche à deux heures du matin.
Aucun de ces gestes n'est suspect. Chacun était raisonnable. Mis bout à bout, ils composent pourtant un récit médical d'une précision que vous n'avez jamais relu, réparti entre sept ou huit entités différentes, dont certaines ne sont pas soumises au secret médical.
La santé est, avec les opinions politiques et l'orientation sexuelle, l'une des catégories de données que le RGPD qualifie de « sensibles » (article 9). Leur traitement est en principe interdit, sauf exceptions — et le soin en est une, évidemment. Le problème n'est pas là. Le problème, c'est tout ce qui gravite autour du soin : les plateformes de prise de rendez-vous, les applications de bien-être, les cartes de fidélité de parapharmacie, les questionnaires de mutuelle, les objets connectés qui mesurent sans être des dispositifs médicaux.
Ce guide ne vous dira jamais de renoncer à un examen ou de mentir à votre médecin. Il vous explique qui voit quoi dans le système français, ce que vous pouvez légalement refuser, et les gestes concrets qui réduisent la surface de fuite.
Partie 1 — Cartographier les acteurs : qui détient réellement quoi
Les trois cercles de la donnée de santé
Tout le monde n'a pas accès aux mêmes informations, et c'est la première chose à comprendre pour ne pas se battre contre les mauvais moulins.
| Cercle | Acteurs | Ce qu'ils voient | Secret médical |
|---|---|---|---|
| Cercle du soin | Médecin traitant, spécialistes, hôpital, pharmacien, laboratoire | Diagnostic, prescriptions, résultats, antécédents | Oui, pénalement sanctionné |
| Cercle du remboursement | Assurance Maladie, mutuelle, prévoyance | Actes facturés, codes CIP des médicaments, dates, praticiens | Partiel, via médecin-conseil |
| Cercle périphérique | Plateformes de RDV, applis bien-être, objets connectés, sites d'information santé | Symptômes déclarés, spécialités consultées, habitudes, métriques physiologiques | Non |
Le troisième cercle est celui qui pose problème. Il n'est pas illégal, il est simplement hors du régime protecteur du secret professionnel. Un pas d'insomnie enregistré par un bracelet n'est pas un diagnostic, mais une série de milliers de mesures d'insomnie ressemble beaucoup à une information médicale.
Ce que la Sécurité sociale sait vraiment
L'Assurance Maladie ne reçoit pas votre diagnostic à chaque consultation. Elle reçoit un acte codé : « consultation généraliste », « acte technique de radiologie », le tarif, la date, le professionnel. Le diagnostic ne remonte que dans certains cas précis — affection de longue durée (ALD), arrêt de travail, demande d'entente préalable — et il est alors traité par le service médical, distinct du service administratif.
Vos remboursements sont consultables dans votre compte ameli, et c'est d'ailleurs un bon réflexe de les relire : l'historique y est détaillé sur plusieurs mois et constitue, sans que vous l'ayez voulu, une chronologie médicale exploitable par quiconque accéderait à votre compte.
Ce que votre mutuelle sait — et ne devrait pas savoir
C'est le point aveugle le plus fréquent. Lorsqu'une mutuelle rembourse, elle reçoit la nature de l'acte et, pour les médicaments, le code CIP de la boîte. Ce code identifie précisément le produit. Une complémentaire peut donc, techniquement, déduire un traitement chronique d'une répétition de remboursements, même sans jamais lire une ordonnance.
La CNIL encadre ce point : les organismes complémentaires ne doivent traiter que les données strictement nécessaires à la liquidation des prestations, et les données médicales détaillées doivent rester sous la responsabilité d'un professionnel de santé. En pratique, les contrôles existent mais les zones grises subsistent, en particulier sur les questionnaires de santé proposés lors de la souscription de contrats de prévoyance ou d'emprunteur.
À retenir : depuis la loi Lemoine de 2022, le questionnaire médical est supprimé pour les prêts immobiliers dont la part assurée est inférieure à 200 000 € par emprunteur et dont le remboursement s'achève avant les 60 ans de l'assuré. C'est l'un des rares reculs législatifs de la collecte de données de santé en France. Vérifiez systématiquement si votre situation y entre avant de remplir quoi que ce soit.
Partie 2 — Mon espace santé : comprendre l'outil avant de le craindre
Déployé à grande échelle depuis 2022, Mon espace santé est un carnet de santé numérique ouvert automatiquement à tous les assurés, sauf opposition. Il est hébergé en France par un hébergeur agréé données de santé (HDS), et son accès est verrouillé par une authentification renforcée.
Ce que vous contrôlez réellement
Contrairement à une idée répandue, l'outil laisse une marge de manœuvre importante :
- Le masquage de documents : vous pouvez rendre un document invisible aux professionnels de santé, à l'exception de celui qui l'a déposé et de votre médecin traitant.
- Le blocage nominatif : vous pouvez interdire l'accès à un professionnel ou à un établissement identifié.
- La consultation du journal d'accès : chaque ouverture de votre dossier est tracée et consultable. Prenez l'habitude de le relire deux fois par an.
- La clôture du profil : possible à tout moment, avec conservation des données pendant dix ans puis suppression.
Les limites à connaître
Le masquage protège du regard, pas de l'existence. Un document masqué reste stocké. Par ailleurs, en cas d'urgence vitale, certains accès dérogatoires existent — ce qui est une bonne chose médicalement, mais doit être connu.
L'arbitrage honnête est le suivant : un dossier médical partagé bien tenu améliore la sécurité des soins (interactions médicamenteuses, allergies, doublons d'examens). Le refus systématique a un coût sanitaire réel. La bonne posture n'est pas l'abstention, c'est la gestion active : on renseigne l'essentiel, on masque le contextuel, on relit les accès.
Partie 3 — Le troisième cercle : là où ça fuit vraiment
Les plateformes de prise de rendez-vous
Prendre rendez-vous chez un dermatologue n'est pas un acte médical, mais le motif de consultation que vous saisissez dans un menu déroulant en est une approximation redoutable. Ces plateformes savent quelle spécialité vous consultez, à quelle fréquence, dans quelle ville, et parfois pourquoi.
Bonnes pratiques :
- Choisissez le motif le plus générique disponible (« consultation », « suivi ») plutôt que le motif détaillé quand le champ le permet.
- Utilisez une adresse e-mail dédiée à la santé, distincte de votre adresse principale et de vos comptes commerciaux.
- Refusez les cases de « communication partenaires » : elles n'ont aucun rapport avec le soin.
- Supprimez votre compte après un usage ponctuel plutôt que de le laisser dormir avec un historique.
Les applications de bien-être et de suivi
Une application de suivi des règles, de comptage de calories, de méditation ou de suivi du sommeil n'est presque jamais un dispositif médical. Elle n'est donc pas tenue aux mêmes obligations qu'un logiciel hospitalier. La CNIL a publié plusieurs mises en garde sur ce secteur, et les cas d'applications transmettant des données de cycle menstruel ou d'humeur à des régies publicitaires ont été documentés à de multiples reprises par la presse spécialisée et les autorités européennes.
Trois questions avant d'installer :
- Où sont hébergées les données ? Un hébergeur certifié HDS en Union européenne est un signal positif.
- L'application fonctionne-t-elle sans compte et hors ligne ? Si oui, c'est l'option à privilégier.
- Le modèle économique est-il clair ? Une application gratuite sans publicité visible et sans abonnement doit vous interroger.
Pour beaucoup d'usages, le support le plus discret reste le plus simple. Un carnet de suivi de santé papier ne synchronise rien, ne se pirate pas à distance et se range dans un tiroir. Pour la tension artérielle, un tensiomètre de bras sans connexion Bluetooth fait exactement le même travail clinique qu'un modèle connecté, sans créer de compte ni de flux sortant.
Les objets connectés portés au poignet
Une montre qui mesure la fréquence cardiaque, la saturation en oxygène et la variabilité du rythme produit un flux physiologique continu. Ces données ne sont pas médicales au sens réglementaire, mais elles permettent des inférences : stress, consommation d'alcool, grossesse, apnée du sommeil.
Réglages minimaux à effectuer dès la première mise en route :
- Désactiver le partage de données « à des fins d'amélioration du produit » et « de recherche ».
- Refuser la géolocalisation en arrière-plan quand elle n'est pas nécessaire à l'activité sportive.
- Vérifier, dans le compte associé, l'onglet de téléchargement et de suppression des données, imposé par le RGPD.
Partie 4 — La pharmacie, l'endroit qu'on oublie
Le pharmacien est soumis au secret professionnel, et le dossier pharmaceutique — qui recense les médicaments délivrés sur les quatre derniers mois — est un outil de sécurité réel contre les interactions dangereuses. Vous pouvez néanmoins :
- Refuser l'alimentation du dossier pharmaceutique ponctuellement, pour une délivrance donnée. Le pharmacien doit en tenir compte.
- Décliner la carte de fidélité de la parapharmacie : elle relie des achats de compléments, de produits d'hygiène intime ou de sevrage tabagique à votre identité, en dehors de tout cadre de secret médical.
- Payer en espèces les achats de parapharmacie que vous ne souhaitez pas voir apparaître sur un relevé bancaire lisible par votre banque, votre conjoint ou un tiers ayant accès à votre compte.
- Éviter les commandes en ligne pour les produits les plus révélateurs : une livraison à domicile crée une trace d'adresse, un colis nommé, et un historique d'achat conservé des années.
Sur ce dernier point, un détail matériel compte : les étiquettes de colis restent lisibles dans les poubelles collectives. Un petit destructeur de documents à coupe croisée, posé à côté de la corbeille, règle en dix secondes un problème que l'on sous-estime largement.
Partie 5 — Téléconsultation, recherche d'informations, messages
Téléconsulter proprement
La téléconsultation est un acte médical à part entière, encadré par l'Assurance Maladie. Le praticien est tenu au secret ; la plateforme technique, elle, doit être hébergée chez un hébergeur HDS. Quelques précautions valent d'être prises :
- Consultez depuis un lieu où personne n'écoute. Le wifi partagé d'un espace de coworking ou d'un hall d'hôtel n'est pas un cabinet.
- Préférez un casque filaire à un haut-parleur : la fuite la plus fréquente en téléconsultation est acoustique, pas informatique.
- Vérifiez que l'ordonnance vous est transmise par un canal sécurisé (Mon espace santé, messagerie sécurisée de santé) et non par un e-mail ordinaire.
- Méfiez-vous des plateformes qui proposent un questionnaire préalable très détaillé sans médecin identifié derrière.
Si vous travaillez souvent depuis des lieux partagés, un filtre de confidentialité pour écran évite qu'un résultat d'analyse s'affiche pour le voisin de table. C'est un accessoire banal qui résout un angle mort réel.
Chercher des informations sans être profilé
Taper un symptôme dans un moteur de recherche est l'un des signaux les plus monétisés du web. Les régies publicitaires en tirent des segments d'audience « santé » d'une granularité gênante.
- Utilisez un moteur qui ne conserve pas d'historique lié à un compte.
- Consultez en priorité des sources institutionnelles : Ameli, Santé publique France, la Haute Autorité de santé, Vidal pour les notices, l'ANSES pour l'alimentation et les expositions environnementales. Elles ne revendent pas votre curiosité.
- Évitez les forums de santé nominatifs : un pseudonyme réutilisé ailleurs relie un témoignage intime à votre identité réelle.
Communiquer une information sensible
Il arrive qu'il faille transmettre une information de santé à un proche, un employeur ou une association sans exposer son identité ou son numéro. Signaler un cas de contage, prévenir un partenaire, alerter un service sur une situation médicale préoccupante : ce sont des situations où un envoi de SMS avec expéditeur masqué permet de dire ce qui doit être dit sans ouvrir un canal permanent vers soi. Le principe reste le même que partout ailleurs sur ce site : on transmet l'information utile, pas l'identifiant qui la suivra pendant dix ans.
Partie 6 — Vos droits, concrètement
Le RGPD et le Code de la santé publique vous donnent des leviers réels, encore faut-il les activer.
| Droit | Ce que vous pouvez faire | Délai légal |
|---|---|---|
| Accès à votre dossier médical | Demander copie intégrale à l'établissement ou au praticien | 8 jours (2 mois si données de plus de 5 ans) |
| Accès RGPD à une application santé | Exiger l'ensemble des données détenues | 1 mois |
| Effacement | Demander la suppression à un acteur hors soin (appli, plateforme) | 1 mois |
| Opposition | Refuser un traitement non nécessaire (prospection, recherche) | Immédiat |
| Réclamation | Saisir la CNIL en ligne en cas de refus ou de silence | — |
Écrivez toujours par écrit, avec une trace : un e-mail suffit, un envoi recommandé électronique vaut mieux pour les dossiers conflictuels. Conservez les réponses. En cas de silence au-delà du délai, la saisine de la CNIL est gratuite et se fait en quelques minutes.
Pour aller plus loin sur la mécanique juridique, un guide pratique du RGPD en format poche rend le sujet nettement moins opaque que la lecture brute du règlement, notamment sur la distinction entre responsable de traitement et sous-traitant, qui détermine à qui adresser vos demandes.
Partie 7 — La routine en sept gestes
À faire une fois, puis à revoir une fois par an :
- Relire le journal d'accès de Mon espace santé et bloquer les établissements avec lesquels vous n'avez plus de lien.
- Créer une adresse e-mail dédiée à la santé, jamais utilisée ailleurs.
- Auditer les applications installées : désinstaller celles qui ne servent plus, demander l'effacement des comptes associés.
- Vérifier les paramètres de partage de la montre ou du bracelet connecté.
- Refuser les questionnaires de santé non obligatoires, en vérifiant d'abord si la loi Lemoine s'applique à votre situation.
- Nettoyer les ordonnances papier conservées inutilement, et détruire celles qui ne servent plus.
- Verrouiller l'accès physique au téléphone qui contient vos applications de santé : un code à six chiffres minimum, biométrie activée, notifications masquées sur l'écran verrouillé.
Pour les documents que vous devez garder — comptes rendus d'examen, radiographies, dossiers d'assurance — une pochette de rangement à fermeture sécurisée dans un tiroir fermé vaut mieux qu'une pile sur le bureau. La sécurité physique reste le maillon que l'on néglige en croyant que tout se joue en ligne.
Conclusion : soigner le corps sans exposer la personne
Le système de santé français est, comparé à beaucoup d'autres, plutôt protecteur : secret médical pénalement sanctionné, hébergement certifié, contrôle de la CNIL, Assurance Maladie qui ne voit pas vos diagnostics. Ce n'est pas là que la fuite se produit.
Elle se produit dans la marge : dans le motif de rendez-vous trop précis, dans l'application gratuite installée un dimanche, dans la carte de fidélité de la parapharmacie, dans le questionnaire de mutuelle rempli sans le lire, dans la montre qui envoie des rythmes cardiaques à un serveur dont vous ignorez l'adresse.
La bonne nouvelle, c'est que cette marge se réduit sans effort médical : aucun des gestes décrits ici ne dégrade la qualité de vos soins. Ils rétablissent simplement une distinction que la numérisation a effacée — celle entre ce que votre médecin doit savoir et ce que le reste du monde n'a aucune raison d'apprendre.
