Certificat médical joint à un dossier prud'homal, expertise dans un contentieux de responsabilité médicale, pièces relatives au handicap d'un enfant dans une procédure familiale : les données de santé s'invitent dans de nombreux dossiers d'avocats, sans que le cabinet ne les ait spécifiquement recherchées. Or le RGPD leur réserve un régime distinct, plus exigeant que celui des données personnelles ordinaires. Voici ce que cela implique concrètement.
Pourquoi les données de santé sont-elles une catégorie particulière du RGPD ?
L'article 9 du RGPD interdit par principe le traitement des « catégories particulières » de données à caractère personnel, parmi lesquelles figurent explicitement les données concernant la santé. Cette interdiction de principe ne s'écarte que dans des cas limitativement énumérés au paragraphe 2 du même article.
Ce que couvre la notion de « données concernant la santé »
Le RGPD définit largement cette catégorie : toute information relative à la santé physique ou mentale, passée, présente ou future, d'une personne physique, y compris la prestation de services de soins de santé qui révèle des informations sur son état de santé. Un certificat médical, un compte-rendu d'expertise, un taux d'invalidité ou même une simple mention d'arrêt maladie dans un échange entrent dans ce périmètre.
⚠️ Ce que cela signifie en pratique : un dossier de licenciement contenant un arrêt de travail, un dossier de succession évoquant l'état de dépendance d'un défunt, ou un dossier familial mentionnant le handicap d'un enfant contiennent tous, techniquement, des données de santé au sens du RGPD — même lorsque ce n'est pas l'objet principal du dossier.
Quels dossiers d'avocat contiennent le plus souvent des données de santé ?
Droit social
Arrêts de travail, avis d'inaptitude, dossiers d'accident du travail ou de maladie professionnelle, procédures de licenciement pour inaptitude. Voir notre page dédiée au droit social.
Responsabilité civile & assurance
Expertises médicales, dommages corporels, contentieux d'indemnisation. Voir notre page dédiée à la responsabilité civile et assurance.
Droit de la famille
Situations de handicap, curatelle ou tutelle, incidence de l'état de santé sur la fixation d'une pension ou d'un droit de visite.
Droit de la santé
Contentieux avec un établissement de soins, responsabilité médicale, procédures devant les commissions de conciliation. Voir notre page droit de la santé.
Sur quelle base traiter ces données sans consentement explicite du client ?
Le RGPD n'exige pas systématiquement un consentement explicite du client pour traiter des données de santé dans le cadre d'une mission d'avocat. L'article 9, paragraphe 2, point f), prévoit une exception précisément adaptée à l'activité juridictionnelle et contentieuse :
💡 L'exception clé : l'interdiction de principe ne s'applique pas lorsque « le traitement est nécessaire à la constatation, à l'exercice ou à la défense de droits en justice ». C'est cette base qui permet, la plupart du temps, à un avocat de traiter une pièce médicale versée au dossier de son client sans recueillir un consentement distinct pour cette pièce.
Cette base légale ne dispense toutefois pas le cabinet de ses autres obligations : information du client sur les traitements réalisés, limitation de la collecte aux données réellement nécessaires au dossier, et surtout — c'est l'objet de cet article — des mesures de sécurité renforcées.
Quelles précautions d'hébergement et de sécurité pour ces documents ?
L'article 32 du RGPD impose des mesures de sécurité « appropriées au risque ». Pour une catégorie particulière de données comme les données de santé, le niveau de risque — et donc le niveau de mesures attendu — est structurellement plus élevé que pour un dossier ordinaire.
| Mesure | Pourquoi c'est renforcé pour les données de santé |
|---|---|
| Chiffrement au repos et en transit | Standard attendu pour toute donnée sensible transmise ou stockée |
| Contrôle d'accès restreint | Seuls les intervenants réellement en charge du dossier devraient pouvoir consulter la pièce |
| Hébergement en France ou en UE | Réduit le risque d'accès par des autorités de pays tiers, particulièrement sensible pour une donnée de santé |
| Certification HDS du prestataire d'hébergement | Norme spécifique au secteur de la santé (article L. 1111-8 du Code de la santé publique), pertinente lorsque le volume ou la nature des données de santé traitées le justifie |
| Journal des accès et consultations | Permet de démontrer, en cas de contrôle, que la consultation est restée limitée aux personnes habilitées |
⚠️ Précision importante : la certification HDS, prévue par le Code de la santé publique, vise en premier lieu les hébergeurs qui traitent des données de santé pour le compte de tiers (établissements de santé, éditeurs de logiciels médicaux). Elle ne s'impose pas automatiquement à un cabinet d'avocats en tant que tel ; en revanche, elle constitue un signal de confiance pertinent à rechercher chez son prestataire d'hébergement lorsque le cabinet traite fréquemment ce type de documents, par exemple en contentieux de dommage corporel.
Comment limiter la circulation de ces données au sein du cabinet ?
1. Restreindre l'accès au dossier, pas seulement à la pièce
Dans un logiciel de gestion, l'accès à un dossier contenant des pièces médicales devrait être limité à l'avocat en charge et aux collaborateurs directement impliqués, plutôt qu'ouvert à l'ensemble du cabinet par défaut.
2. Éviter les échanges par email non sécurisé
Le transfert d'une pièce médicale par email classique, en pièce jointe, multiplie les copies incontrôlées du document. Un espace client sécurisé limite ce risque de dispersion.
3. Anonymiser ou occulter lorsque c'est possible
Pour un usage interne (formation, relecture par un confrère), une version occultant les informations médicales non indispensables limite l'exposition sans nuire au traitement du dossier.
4. Mentionner ce traitement dans le registre des traitements
Le registre du cabinet doit identifier les traitements incluant des catégories particulières de données, avec les mesures de sécurité spécifiques appliquées.
Ces principes rejoignent directement ceux détaillés dans notre guide RGPD cabinet d'avocats 2026, et complètent le raisonnement sur les durées de conservation des données clients — un dossier contenant des données de santé n'appelle pas nécessairement une durée de conservation plus longue, mais justifie une vigilance accrue tant qu'il est actif.
Où NetJuris peut vous aider
L'hébergement en France, le chiffrement des documents et les droits d'accès configurables par dossier permettent de restreindre la consultation des pièces sensibles aux seuls intervenants habilités. Découvrez nos fonctionnalités ou nos tarifs, avec un essai gratuit de 14 jours.
FAQ
Faut-il demander un consentement spécifique au client pour traiter son certificat médical ?
Pas nécessairement, lorsque le traitement est nécessaire à la constatation, l'exercice ou la défense de droits en justice au sens de l'article 9.2.f du RGPD. Le client doit néanmoins être informé, de façon générale, des traitements réalisés sur son dossier.
Un simple mot évoquant un « arrêt maladie » suffit-il à qualifier une donnée de santé ?
Oui, la notion de donnée de santé est interprétée largement : dès qu'une information révèle un élément sur l'état de santé passé, présent ou futur d'une personne, elle relève de cette catégorie particulière, même sans détail médical précis.
Le cabinet doit-il réaliser une analyse d'impact (AIPD) pour ces dossiers ?
Une AIPD n'est pas systématiquement requise pour le traitement ponctuel de pièces médicales dans un dossier contentieux classique ; elle devient pertinente si le cabinet traite ces données à grande échelle ou de façon structurée (par exemple une activité spécialisée en dommage corporel avec un volume important de dossiers).
Peut-on partager une pièce médicale avec un expert judiciaire par email classique ?
Ce n'est pas recommandé pour une pièce sensible. Un espace de partage sécurisé, avec traçabilité de l'accès et expiration du lien, limite les risques de transfert incontrôlé, notamment lorsque plusieurs parties sont destinataires du même document.
Conclusion
Les données de santé ne sont pas rares dans les dossiers d'avocats — elles y figurent souvent en marge de l'objet principal du litige. Le RGPD offre une base légale adaptée à l'activité contentieuse pour les traiter sans consentement systématique, mais ne dispense pas le cabinet de mesures de sécurité et d'un contrôle d'accès à la hauteur de leur sensibilité. La vigilance doit porter autant sur l'hébergement technique que sur les habitudes internes de circulation de ces pièces.
Sources officielles : Article 9 du RGPD — catégories particulières de données · Article L. 1111-8 du Code de la santé publique — Légifrance · CNIL — données de santé