Expertises des Systèmes d'information - Juillet/Août 2021 - N°470 - Le mensuel du droit de l'informatique et du multimédia - 269

ou socio-médical, et, d'autre part,
le consentement ou l'information
préalable pour le traitement des
données de santé.
Au sens de la protection
des données personnelles
(« donnée de santé »)
Délimitation de la définition
L'article 9.1 du règlement 2016/679
du 27 avril 2016 (le « RGPD »),
reprenant substantiellement les
principes de la directive 95/46/CE
et l'ancienne loi Informatique et
libertés, définit les données dites
sensibles, comme les « données
à caractère personnel qui révèlent
l'origine raciale ou ethnique, les
opinions politiques, les convictions
religieuses ou philosophiques ou
l'appartenance syndicale, ainsi que
le traitement des données génétiques,
des données biométriques
aux fins d'identifier une personne
physique de manière unique, des
données concernant
la santé ou
des données concernant la vie
sexuelle ou l'orientation sexuelle
d'une personne physique ».
La donnée de santé est donc une
donnée sensible au sens de la
réglementation relative à la protection
des données personnelles.
L'article 4.15 du RGPD définit les
données concernant la santé
comme étant « les données à
caractère personnel relatives à la
santé physique ou mentale d'une
personne physique, y compris la
prestation de services de soins de
santé, qui révèlent des informations
sur l'état de santé de cette
personne. »
Elle permet donc d'englober
certaines données de mesure à
partir desquelles il est possible de
déduire une information sur l'état
de santé de la personne.
Cette définition qui consacre une
approche extensive de la donnée
de santé s'inscrit dans la lignée
de l'approche extensive retenue
par le juge européen et précisée
par le G29 (actuel EDPB). En effet,
dès 2003, le juge européen a posé
le principe d'une interprétation
large de la donnée de santé,
considérant que « l'indication du
fait qu'une personne s'est blessée
au pied et est en congé de maladie
partiel constitue une donnée à
caractère personnel relative à la
santé » (CJCE, 6 novembre 2003,
aff. C-101/01, Lindqvist). Une
donnée peut donc être qualifiée
de donnée de santé même sans
information
concernant une
maladie précise.
Le considérant 35 du RGPD fournit
un éclairage supplémentaire sur
la notion de donnée de santé.
Ce considérant dispose que les
données à caractère personnel
concernant la santé devraient
comprendre l'ensemble des
données se rapportant à l'état de
santé d'une personne concernée
qui révèlent des informations
sur l'état de santé physique ou
mentale passé, présent ou futur de
la personne concernée.
Cela comprend :
■ des informations sur la personne
physique collectées lors de
l'inscription de cette personne
physique en vue de bénéficier
de services de soins de santé
ou lors de la prestation de ces
services au sens de la directive
2011/24/UE au bénéfice de cette
personne physique ;
■ un numéro, un symbole ou un
élément spécifique attribué à
une personne physique pour
l'identifier de manière unique à
des fins de santé ;
■ des informations obtenues lors
du test ou de l'examen d'une
partie du corps ou d'une substance
corporelle, y compris à
partir de données génétiques
et d'échantillons biologiques, et
toute information concernant,
par exemple, une maladie ou un
handicap ;
■ un risque de maladie, les antécédents
médicaux, un traitement
clinique ou l'état physiologique
ou biomédical de la personne
concernée, indépendamment
EXPERTISES JUILLET 2021
de sa source, qu'elle provienne
par exemple d'un médecin ou
d'un autre professionnel de la
santé, d'un hôpital, d'un dispositif
médical ou d'un test de
diagnostic in vitro.
La Cnil établit que le RGPD « procède
à une définition large de la donnée
de santé ». En effet, afin de définir
la donnée de santé, elle reprend
textuellement les dispositions de
l'article 4.15 du RGPD et considère
que la définition de la donnée
de santé « permet d'englober
certaines données de mesure à
partir desquelles il est possible de
déduire une information sur l'état
de santé de la personne ».
Par conséquent, la Cnil estime
que parce que la définition de la
donnée de santé est large, « elle est
à apprécier au cas par cas compte
tenu de la nature des données
recueillies ».
De cette définition globale, la Cnil
distingue ainsi trois catégories de
données de santé :
■ celles qui sont des données de
santé par nature : antécédents
médicaux, maladies, prestations
de soins réalisés, résultats
d'examens, traitements, handicap,
etc.
Au demeurant, les
données de santé « par nature »
nous semblent englober intégralement
les données régies
par le code de la santé publique ;
■ celles, qui du fait de leur croisement
avec d'autres données,
deviennent des données de
santé en ce qu'elles permettent
de tirer une conclusion sur
l'état de santé ou le risque pour
la santé d'une personne. Par
exemple, la Cnil considère que
les données type le nombre
de pas, le poids, ou l'activité
quotidienne, recueillies en
dehors d'un contexte médical
par des outils de mesure de soi
(montres et bracelets connectés,
applications mobiles, etc.),
pourraient être considérées
comme des données de santé
si elles révèlent, à elles seules ou
en étant croisées avec d'autres
269
Expertises des Systèmes d'information - Juillet/Août 2021 - N°470 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Juillet/Août 2021 - N°470 - Le mensuel du droit de l'informatique et du multimédia
