RGPD en MSP : qui est responsable de quoi

Quand une CPAM, un patient ou un salarié demande « qui a mes données et qu'en fait-on ? », la question tombe sur le bureau du gérant, pas sur celui d'un éditeur de logiciel. Le RGPD range les rôles autrement qu'on ne l'imagine parfois : ce n'est pas l'outil qui porte la responsabilité, c'est l'organisation qui décide de son usage.

Cette leçon pose quatre repères : qui décide, ce qu'il faut savoir démontrer, combien de temps garder une donnée, et quand la loi impose de nommer quelqu'un pour piloter le sujet.

Qui décide, qui exécute

Le RGPD distingue deux rôles, et la distinction dit qui porte la responsabilité.

Le [responsable de traitement](https://www.cnil.fr/fr/rgpd-comment-bien-identifier-son-role) décide pourquoi et comment les données sont traitées. Pour les données d'une maison de santé — ses membres, ses salariés, les comptes rendus de réunion qui touchent au soin — c'est la structure elle-même : la SISA, l'association, la CPTS. C'est elle qui répond devant la CNIL en cas de contrôle ou de plainte.

Le sous-traitant traite les données pour le compte du responsable, en suivant ses instructions écrites — c'est le rôle d'un éditeur de logiciel de gestion, d'un hébergeur, d'un prestataire de paie. Ce partage se formalise dans un contrat obligatoire, l'accord de sous-traitance (article 28 du RGPD) : il encadre ce que le prestataire a le droit de faire des données, et rien d'autre. Il ne remplace pas la base légale dont la structure a besoin pour son propre traitement — celle-ci reste son affaire, et c'est elle qui l'inscrit à son registre.

Le registre, en pratique

Le registre est obligatoire pour toute structure traitant des données de santé — donc pour toutes les MSP, quelle que soit leur taille. L'exonération liée à la taille (moins de 250 salariés) tombe dès qu'un traitement porte sur des données sensibles, et une maison de santé en traite nécessairement : comptes rendus de réunion, arrêts de travail, parfois des données de recrutement.

Il n'a pas besoin d'être exhaustif dès le premier jour. Une ligne par traitement suffit pour démarrer : sa finalité (pourquoi on le fait), les catégories de données et de personnes concernées, qui y a accès, combien de temps on garde, et les mesures de sécurité en place. Le registre se construit traitement par traitement, pas d'un coup.

Combien de temps garder une donnée

Le RGPD ne fixe pas de durée unique : il pose un principe — garder une donnée seulement le temps nécessaire à l'objectif qui a justifié sa collecte — et laisse la structure fixer, puis écrire, la durée adaptée à chaque traitement. Des repères juridiques encadrent certains cas (le code de commerce impose par exemple de conserver les pièces comptables plusieurs années), mais la règle générale reste celle-là : une durée choisie, motivée, et écrite au registre.

Deux pièges fréquents dans une MSP : garder une pièce jointe de messagerie bien après que le sujet est clos, et confondre le compte d'un membre qui part — que l'on peut fermer — avec les preuves comptables et de gouvernance qui le concernent (procès-verbaux, écritures, solde de compte courant). Celles-ci se conservent, parce qu'elles établissent des faits juridiques opposables, indépendamment du départ de la personne.

Quand la loi impose un délégué à la protection des données

La désignation d'un délégué à la protection des données (DPO) est obligatoire dans une liste fermée de cas : les organismes publics ; les organisations dont l'activité de base implique un suivi régulier et systématique de personnes à grande échelle ; et celles dont l'activité de base implique un traitement à grande échelle de données sensibles — dont les données de santé.

Une MSP isolée, qui suit son fonctionnement courant sans centraliser de dossier de soin à grande échelle, n'entre en général pas dans cette liste : la désignation reste alors recommandée, pas obligatoire. La question se pose différemment pour une structure de taille conséquente, ou pour un acteur qui centralise des données de santé de plusieurs structures — c'est à vérifier au cas par cas, jamais à supposer.