Cliniques, cabinets médicaux, mutuelles et acteurs de la télésanté externalisent de plus en plus certaines fonctions support : prise de rendez-vous, facturation médicale, gestion des appels entrants. Mais un frein revient systématiquement dans ces discussions : comment garantir que les données de santé, parmi les plus sensibles qui soient, resteront protégées une fois confiées à un prestataire externe ?
Cette prudence est légitime et ne doit pas être balayée d’un revers de main par un argumentaire commercial trop rassurant. Le secteur santé est probablement celui où la question de la confidentialité mérite le plus de rigueur avant toute externalisation, bien plus que pour un support client généraliste. Cela ne signifie pas qu’il faille renoncer aux bénéfices de l’externalisation, mais qu’il faut les aborder avec une grille de lecture spécifique, différente de celle d’un projet de support client classique.
Notre article Les obligations du prestataire dans l’externalisationdétaille le cadre légal général (RGPD, sous-traitance, responsabilité). Celui-ci se concentre spécifiquement sur le secteur santé, où les exigences de confidentialité sont encore plus strictes.
Pourquoi la confidentialité est l’enjeu n°1 dans l’externalisation santé
Les données de santé font partie des catégories de données dites « sensibles » au sens du RGPD (article 9), au même titre que les données biométriques ou les convictions religieuses. Leur traitement est soumis à des conditions renforcées par rapport à une donnée personnelle classique comme un email ou une adresse postale.
Au-delà de l’obligation légale, l’enjeu est aussi celui de la confiance. Un patient qui découvre qu’une fuite de données a exposé son dossier médical ne fait pas de distinction entre le cabinet médical et le prestataire externe qui traitait ses appels : c’est la relation de confiance avec le professionnel de santé qui en pâtit directement, quelle que soit l’origine réelle de l’incident.
Cette dynamique de responsabilité partagée, mais de confiance non partagée, place le professionnel de santé dans une position particulière : il reste, aux yeux du patient, seul garant de la confidentialité, même lorsque le traitement matériel de l’information est confié à un tiers. C’est précisément pour cette raison que la sélection et le contrôle du prestataire ne peuvent pas être traités comme une simple question de coût ou de réactivité.
Ce qu’un prestataire doit garantir
Au-delà des engagements généraux de confidentialité qu’on retrouve dans n’importe quel contrat d’externalisation, le secteur santé impose des garanties supplémentaires, plus techniques et plus documentées.
- Chiffrement des données en transit et au repos. Les échanges (appels, emails, formulaires) et le stockage des informations doivent être chiffrés, pas uniquement protégés par un simple contrôle d’accès.
- Accès restreint et traçable. Seules les personnes ayant réellement besoin d’accéder à une information doivent pouvoir le faire, et chaque accès doit pouvoir être tracé a posteriori en cas de contrôle ou d’incident.
- Formation spécifique à la confidentialité médicale. Au-delà de la formation RGPD générale, les équipes en contact avec des données de santé doivent être sensibilisées aux spécificités du secret médical et à la nature particulièrement sensible de ces informations.
- Hébergement conforme si des données de santé sont stockées. En France, l’hébergement de données de santé à caractère personnel peut nécessiter une certification spécifique (Hébergeur de Données de Santé, HDS) selon la nature exacte des données traitées et stockées — un point à vérifier précisément avec votre prestataire et, si besoin, un juriste spécialisé.
- Accord de sous-traitance RGPD formalisé (DPA). Un document contractuel spécifique doit encadrer le traitement des données par le prestataire, conformément à l’article 28 du RGPD, distinct du contrat commercial général.
Quelles tâches externaliser en premier
Toutes les fonctions support d’un établissement de santé ne présentent pas le même niveau de sensibilité. Une approche progressive permet de limiter le risque tout en testant la qualité du prestataire.
- Accueil téléphonique et prise de rendez-vous. Ces tâches impliquent des données d’identification de base (nom, coordonnées, motif général de consultation) sans nécessairement donner accès au dossier médical complet.
- Facturation médicale. Un périmètre plus encadré, généralement documenté par des processus standardisés (codes d’actes, remboursements), avec un accès défini précisément aux seules informations nécessaires à la facturation.
- Support administratif du dossier patient. Une étape suivante, qui nécessite des garanties renforcées puisque l’accès aux dossiers devient plus large.
- Support clinique ou télésanté direct. Le niveau de sensibilité le plus élevé, à n’envisager qu’avec un prestataire ayant fait ses preuves sur les étapes précédentes et disposant de certifications adaptées.
Cette montée en charge progressive n’est pas qu’une précaution théorique : elle permet de vérifier concrètement, sur un périmètre limité, que le prestataire respecte ses engagements de confidentialité avant de lui confier des informations plus sensibles. Une structure qui commence directement par externaliser l’accès complet aux dossiers patients se prive de cette phase de validation progressive.
Erreurs à éviter
- Négliger la question de la certification d’hébergement. Supposer qu’aucune certification spécifique n’est nécessaire sans l’avoir vérifié avec un juriste peut exposer à un risque de non-conformité important.
- Former le personnel externalisé comme pour un support client classique. La confidentialité médicale a ses propres codes et obligations, distincts d’un support client généraliste ; la formation doit en tenir compte explicitement.
- Ne pas formaliser d’accord de sous-traitance dédié. Se contenter d’un contrat commercial général sans annexe RGPD spécifique laisse un vide juridique en cas d’incident.
Ces trois erreurs partagent une cause commune : traiter l’externalisation santé comme une simple variante d’un projet de support client classique, alors qu’elle appelle une vigilance et une documentation spécifiques dès la phase de sélection du prestataire.
FAQ
Toutes les tâches administratives d’un cabinet médical peuvent-elles être externalisées ?
La plupart peuvent l’être avec les bonnes garanties, mais certaines fonctions impliquant un accès large au dossier médical complet demandent un niveau de certification et de contrôle plus élevé que les tâches d’accueil ou de facturation de base.
Le prestataire doit-il être basé en France pour respecter le RGPD ?
Non, le RGPD s’applique quel que soit le lieu du prestataire dès lors que les données concernent des personnes situées dans l’Union européenne, à condition que les garanties contractuelles et techniques appropriées soient en place.
Comment vérifier si une certification HDS est nécessaire pour mon projet ?
Cela dépend de la nature exacte des données hébergées et de qui héberge réellement les données (le prestataire lui-même ou un hébergeur tiers). Un avis juridique spécialisé reste recommandé pour trancher ce point précisément selon votre situation.
Que faire en cas de doute sur la conformité d’un prestataire pressenti ?
Demandez une documentation écrite détaillant ses certifications, ses protocoles de confidentialité et son accord de sous-traitance type, plutôt que de se contenter d’une assurance orale en phase commerciale.
Une petite structure de santé peut-elle externaliser dans les mêmes conditions qu’une grande clinique ?
Oui, les mêmes garanties s’appliquent quelle que soit la taille de la structure. Une petite structure a même souvent intérêt à s’appuyer sur un prestataire externe pour accéder à un niveau de rigueur et de certification qu’elle aurait du mal à mettre en place seule en interne.
Vous envisagez d’externaliser une partie du support de votre structure de santé et voulez sécuriser cette démarche dès le départ ? Discuter avec un consultant Sourcefit permet de clarifier les garanties adaptées à votre situation.
