Données de santé RGPD : ce qu'une signature électronique change pour vos documents patients

Pour des données de santé RGPD, aucune signature électronique n'est « conforme » au sens d'un label. Le RGPD ne dresse aucune liste d'outils de signature agréés, et aucun certificat ne se commande auprès d'un prestataire. Pour faire signer des données de santé en ligne, il faut un parcours qui s'insère dans votre propre dispositif de protection des données : une signature valable, une protection des données de santé qui figurent sur le formulaire et un contrat avec quiconque les conserve.

Le point de départ est l'article 9, paragraphe 1, du RGPD : le traitement de données de santé est interdit, sauf si l'une des exceptions du paragraphe 2 s'applique. Pour les soins eux-mêmes, c'est souvent le h) (médecine préventive, diagnostic, prise en charge, par des personnes tenues au secret professionnel, §3) qui joue, et non un formulaire de consentement signé. Le consentement explicite du a) intervient là où le traitement dépasse les soins, par exemple pour des rappels de rendez-vous ou un partage avec un tiers. Beaucoup l'ignorent : la signature au bas de la fiche d'accueil n'est souvent pas la base légale.

À quoi sert-elle alors ? À prouver. Le consentement aux soins doit être libre et éclairé et peut être retiré à tout moment (art. L1111-4 du Code de la santé publique), mais la loi n'impose en général aucune forme. Et c'est au professionnel ou à l'établissement de prouver que l'information a été délivrée, par tout moyen (art. L1111-2) : la Cour de cassation l'a posé dès 1997 dans l'arrêt Hédreul. Un formulaire signé est la preuve la plus courante.

La question se scinde donc en deux :

• La signature est-elle valable ? C'est du droit des contrats et de la preuve (eIDAS, Code civil).
• Les données de santé du formulaire sont-elles protégées ? Ce sont les articles 9, 28 et 32 du RGPD, le secret professionnel et, le cas échéant, l'hébergement certifié HDS.

Un prestataire peut aider sur les deux. Il ne peut pas porter votre responsabilité à votre place, et celui qui promet une signature « conforme RGPD » d'origine vend une étiquette. Savoir si l'article 9 touche vos formulaires dépend de votre rôle : commencez par là. Notre page sur la signature dans la santé liste les documents que les cabinets envoient le plus. L'équivalent américain s'appelle HIPAA ; il en est question plus bas.

L'article 9 du RGPD concerne toute personne qui traite des données de santé, et les rôles sont plus nets dans l'article 4 qu'on ne le croit. Le responsable de traitement décide des finalités et des moyens : le cabinet, la clinique, la pharmacie. Le sous-traitant traite pour le compte du responsable, ce qui inclut un service de signature qui conserve des formulaires patients signés.

À la différence du droit américain, aucun seuil ne vous laisse en dehors de l'article 9. Un naturopathe, un coach qui fait remplir un questionnaire de santé et une salle de sport qui collecte des antécédents traitent des données de santé comme un hôpital. La définition de la CNIL est large : les données relatives à la santé physique ou mentale, passée, présente ou future, y compris celles qui en révèlent l'état par recoupement. Un formulaire portant le nom d'un patient et l'intitulé d'un service de cancérologie en fait partie. Pour les professionnels de santé s'ajoute le secret professionnel de l'article L1110-4 du Code de la santé publique.

Pour vos données de santé RGPD, trouvez votre ligne avant de comparer les prestataires. Elle décide si un contrat de sous-traitance est obligatoire (presque toujours), si le secret professionnel s'y ajoute et si l'hébergement certifié HDS entre en jeu.

Dans un cabinet, toute une pile de papiers s'appelle « les formulaires ». Seule une partie repose sur une règle de signature.

Le consentement aux soins est libre, éclairé et retirable à tout moment (art. L1111-4 du Code de la santé publique), sans forme imposée en règle générale. Aucune loi n'oblige donc à signer : la signature est votre preuve, puisque l'article L1111-2 met sur le professionnel la charge de prouver l'information, par tout moyen. Côté protection des données, c'est le texte qui compte : le consentement explicite du RGPD (art. 9, §2, a) doit nommer ses finalités. Le tableau montre d'où vient chaque signature.

Le RGPD ne décrit pas un service de signature. Ses exigences techniques figurent à l'article 32 et visent le système qui détient les données de santé, pas la signature. Un questionnaire médical signé fait de votre compte de signature un tel système.

L'article énumère des mesures : pseudonymisation et chiffrement (a), garantie permanente de la confidentialité, de l'intégrité, de la disponibilité et de la résilience (b), rétablissement rapide après un incident (c) et procédure d'évaluation régulière (d). Le chiffrement est un exemple, pas une fin en soi, mais il paie quand tout va mal : si les données ont été rendues incompréhensibles pour qui n'y est pas autorisé, par exemple par chiffrement, l'article 34, §3, a) dispense d'informer les personnes concernées. La notification à la CNIL (art. 33) reste à examiner à part.

Le niveau de certitude sur le signataire, c'est à vous de le fixer

Le RGPD ne dit pas à quel point vous devez être sûr que le signataire est bien le patient. C'est un choix de risque, formulaire par formulaire. Un lien envoyé à l'adresse e-mail connue suffit pour l'accusé de réception d'une information sur les données. Une autorisation qui transmet un dossier à un avocat ou à un employeur mérite davantage, par exemple un code d'accès envoyé séparément ou un contrôle d'identité. Consignez ce choix par écrit.

La piste d'audit est une preuve, pas un décor

Quand un patient affirme qu'il n'a jamais signé, vous produisez la piste d'audit : qui a envoyé le document, quand il a été ouvert et signé, et si le fichier a changé depuis. Le principe de responsabilité (art. 5, §2) exige de toute façon que vous puissiez démontrer votre conformité. Notre guide sur ce qu'une piste d'audit enregistre la détaille champ par champ. Vérifiez que vous pouvez l'exporter : un journal lisible seulement dans l'application du prestataire se perd avec le contrat.

Si un service de signature conserve des formulaires patients signés, il est votre sous-traitant au sens de l'article 4, point 8, du RGPD, et l'article 28 impose alors un contrat. C'est vrai même si le service se contente de détenir les fichiers sans jamais les lire : ce qui compte, c'est qu'il traite des données de santé pour votre compte.

L'hébergement ajoute une exigence spécifiquement française. L'article L1111-8 du Code de la santé publique oblige quiconque héberge des données de santé recueillies à l'occasion d'activités de prévention, de diagnostic ou de soins, pour le compte de ceux qui les produisent, à détenir le certificat de conformité HDS. Qu'un service de signature entre dans ce champ dépend de ce qu'il conserve : s'il garde les formulaires signés et leur piste d'audit, posez la question par écrit, comme à n'importe quel prestataire. Le secret professionnel de l'article L1110-4 pèse, lui, sur le professionnel de santé en personne.

Un contrat manquant est un manquement à l'article 28, passible d'une amende pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial (art. 83, §4, a). Le prestataire répond de ses propres obligations, mais l'absence de contrat reste votre manquement de responsable de traitement. Pas de contrat, pas de formulaire patient en ligne.

L'article 28, §3 fixe le contenu du contrat. Le sous-traitant doit notamment :

1. 1.
   Ne traiter les données que sur votre instruction documentée.
2. 2.
   Faire respecter la confidentialité par toutes les personnes qui y ont accès.
3. 3.
   Prendre les mesures de sécurité de l'article 32.
4. 4.
   Recourir à un autre sous-traitant seulement avec votre autorisation, en lui imposant les mêmes obligations.
5. 5.
   Vous aider à répondre aux demandes d'accès, de rectification et d'effacement.
6. 6.
   Supprimer ou restituer toutes les données au terme du contrat.
7. 7.
   Fournir les preuves nécessaires et permettre les audits, inspections comprises.

Les clauses contractuelles types de la Commission européenne pour responsables de traitement et sous-traitants (décision d'exécution (UE) 2021/915) servent d'étalon. Un contrat de deux paragraphes qui n'en dit rien ne remplit pas son office.

Ces trois noms figurent sur presque toutes les listes. Nous avons lu, le 14 octobre 2026, ce que chacun affirme sur son propre site à propos de la loi américaine HIPAA et du contrat de sous-traitance américain (Business Associate Agreement, BAA). Ce n'est pas une déclaration RGPD, mais cela montre à quel point un prestataire affiche ses conditions contractuelles. Les formules changent ; vérifiez de nouveau avant de signer.

• Adobe Acrobat Sign. Son centre d'aide indique qu'on ne peut pas traiter d'informations de santé protégées (PHI) via Acrobat Sign tant que le BAA n'est pas conclu, que l'aptitude HIPAA n'existe que sur un abonnement entreprise ou business, et que tous les comptes n'y sont pas éligibles.
• Dropbox Sign. Son centre d'aide indique qu'il prend en charge la conformité HIPAA pour les clients d'une formule annuelle Standard ou Premium, avec un BAA signé et un montant contractuel minimal.
• Le Trust Center de DocuSign cite HIPAA parmi les réglementations que DocuSign respecte, aux côtés de 21 CFR Part 11 et de Sarbanes-Oxley. Cette page de synthèse ne nomme ni formule ni procédure de BAA : demandez à votre contact DocuSign les conditions de votre formule.

Il faut le reconnaître : Adobe et Dropbox affichent publiquement les conditions de leur BAA, ce qui rend la paperasse prévisible. Chez les deux, le BAA est réservé aux formules professionnelles payantes ; une formule gratuite livre souvent la signature sans le contrat. L'équivalent européen du BAA est le contrat de sous-traitance de l'article 28 du RGPD. Exigez-le par écrit auprès de chaque prestataire.

Savoir si une signature DocuSign tient en cas de litige est une question de preuve à part : une signature DocuSign tient-elle devant un juge ?

La validité est la moitié facile. Selon l'article 25, §1, d'eIDAS, on ne peut refuser d'effet juridique à une signature électronique au seul motif qu'elle est électronique. En droit français, l'écrit électronique a la même force probante que l'écrit papier si son auteur est identifié et son intégrité garantie (Code civil, art. 1366), et la signature électronique repose sur un procédé fiable (art. 1367), que le décret 2017-1416 présume tel pour la signature qualifiée. Comme la preuve de l'information se fait par tout moyen, l'envoi de formulaires à signer en ligne suffit dans la plupart des cabinets. Les ordonnances, elles, suivent leurs propres circuits, pas un service de signature généraliste.

Le dossier médical se conserve longtemps, bien plus que la plupart des contrats. Dans un établissement de santé, l'article R1112-7 du Code de la santé publique fixe vingt ans à compter du dernier séjour ou de la dernière consultation externe. Ce délai est prolongé pour les mineurs jusqu'à leur 28e anniversaire, et il est de dix ans à compter du décès si le patient meurt moins de dix ans après son dernier passage. Pour un cabinet libéral, le texte ne fixe pas de durée précise ; la pratique courante est de s'aligner sur ces vingt ans. Vos formulaires signés et leur piste d'audit font partie du dossier : prévoyez qu'ils vivent aussi longtemps. Pour voir comment ces délais s'empilent ailleurs, notre synthèse des délais de conservation aux États-Unis donne un point de comparaison.

La sortie est ce qu'on oublie. Selon l'article 28, §3, g) du RGPD, le sous-traitant supprime ou restitue les données à la fin du contrat. Bon pour la vie privée, gênant pour vous : les originaux signés et leurs pistes d'audit doivent survivre à l'abonnement. Exportez selon un calendrier, pas la dernière semaine d'un contrat déjà résilié. Un export trimestriel coûte un après-midi ; s'en passer peut coûter un très mauvais mois.

Mieux vaut que vous nous choisissiez en connaissant les limites que de les découvrir pendant un audit. Voici ce que Chaindoc apporte à un parcours qui touche des données de santé, à peu près dans l'ordre où un contrôleur pose les questions :

• Certification. Chaindoc détient ISO 27001 pour le management de la sécurité de l'information et ISO 9001 pour le management de la qualité. L'audit ISO 27001 est notre seul audit externe.
• Transport. Les documents et les liens de signature circulent en TLS.
• Chiffrement, sans détour. Il n'y a pas de chiffrement de bout en bout. Nos serveurs lisent les fichiers pour les convertir, les analyser et les signer ; ce que nous chiffrons, ce sont les clés de signature privées, en AES-256. Si votre analyse de risques exige un stockage à connaissance nulle, Chaindoc n'est pas l'outil qu'il vous faut.
• Accès par rôle : des rôles pour chaque membre de l'équipe gardent les questionnaires médicaux à l'accueil et les factures à la comptabilité.
• Contrôle du signataire. Une étape de vérification d'identité facultative pour les formulaires qui l'exigent, jamais une étape obligatoire de la signature.
• Ordre de signature. Une demande ordinaire invite tous les signataires en même temps ; un ordre fixe passe par les circuits d'approbation du plan Business.
• Sur la blockchain, et seulement cela. Quand vous publiez un document, l'empreinte de cette version est inscrite sur une blockchain. Quand chaque signataire termine, sa preuve est inscrite. Le fichier, son contenu et l'identité des signataires restent hors de la chaîne, et la chaîne ne garde aucune trace de qui a consulté un document.

Ce que nous ne faisons pas : dire de Chaindoc qu'il est « conforme RGPD ». Aucun outil ne peut l'être, et la façon dont les articles 9 et 28 s'appliquent à votre usage dépend de votre rôle. Si vous êtes responsable de traitement, réglez par écrit avec nous le contrat de sous-traitance, l'hébergement et les sous-traitants ultérieurs avant tout dépôt de données de santé, comme avec n'importe quel prestataire. Une habitude utile partout : nommez les documents par type de formulaire, jamais par patient.

L'article 9 du RGPD vaut dans toute l'Union, et notre article sur la façon dont eIDAS et le RGPD traitent les signatures couvre le volet signature. Hors de France, vous croisez d'autres règles qui poursuivent le même but.

États-Unis. HIPAA est une loi fédérale qui ne vise que les « covered entities » (plans de santé, centres d'échange et prestataires qui facturent par voie électronique) et leurs « business associates ». Aucune certification n'existe pour un logiciel ; l'autorité compétente ne certifie pas de produits. Le BAA correspond au contrat de sous-traitance, et les données de santé protégées s'y appellent PHI. Les recommandations du HHS sur HIPAA et le cloud expliquent pourquoi même un service qui ne détient que des données chiffrées peut être business associate. Quand on cherche « hipaa » depuis la France, on veut souvent savoir si cela s'applique ici : non, ce sont les articles 9 et 28 du RGPD.

Allemagne et reste de l'Union. L'article 9 s'y applique aussi, avec des règles nationales propres. En Allemagne, par exemple, le § 630e du BGB oblige à remettre au patient une copie de tout document d'information ou de consentement qu'il a signé.

Brésil. La LGPD traite les données de santé comme sensibles (art. 5, II). L'article 11 autorise le traitement avec un consentement spécifique et mis en évidence, ou pour la tutelle de la santé par des professionnels de santé. Limite stricte : les ordonnances électroniques de médicaments à contrôle spécial et les certificats médicaux exigent une signature qualifiée ICP-Brasil (loi 14.063/2020, art. 13).

Parcourez ces points avant que le premier patient reçoive un lien.

1. 1.
   Établissez votre rôle : responsable de traitement, sous-traitant ou patient, et si le secret professionnel s'applique à vous. Notez-le avec la raison.
2. 2.
   Listez chaque formulaire que vous enverrez avec la règle qui fonde sa signature, à l'aide du tableau ci-dessus.
3. 3.
   Inscrivez le service de signature dans votre registre des activités de traitement, comme tout système contenant des données de santé.
4. 4.
   Faites contresigner le contrat de sous-traitance pour le plan exact que vous utiliserez, et posez la question de l'hébergement HDS. Ce n'est qu'ensuite que vous déposez de vraies données.
5. 5.
   Donnez à chaque membre du personnel son propre compte et le rôle le plus étroit qui fonctionne.
6. 6.
   Choisissez un contrôle du signataire par formulaire : un lien par e-mail pour les accusés de réception, quelque chose de plus fort pour les consentements avec transmission.
7. 7.
   Faites en sorte que les patients reçoivent automatiquement une copie de ce qu'ils signent.
8. 8.
   Planifiez l'export des formulaires signés et des pistes d'audit, et conservez-les aussi longtemps que le dossier médical l'exige.

Ces huit étapes décrivent un parcours de données de santé RGPD qui tient en pratique, quel que soit le prestataire. Sautez l'étape 4 et aucune promesse commerciale ne vous sauvera.