Protéger la confidentialité médicale lors du partage transfrontalier de dossiers

Identifiez chaque destinataire, minimisez les dossiers, sécurisez le transfert et gérez consentement, accès, métadonnées et suppression lors du partage international de données de santé.

Points clés

Les informations médicales et de santé sont des informations personnelles sensibles au sens de la loi chinoise sur la protection des informations personnelles (PIPL). Leur traitement nécessite une finalité précise, une nécessité suffisante et des garanties strictes.[1]
« Envoyer mon dossier à l’étranger » peut impliquer l’hôpital d’origine, le coordinateur, une société de traduction, une plateforme, l’hôpital étranger, l’assureur et la famille. Identifiez chaque destinataire et son rôle.
Utilisez le minimum nécessaire de documents pour la finalité annoncée. Un chauffeur a besoin de consignes de mobilité, pas d’anatomopathologie ; un service de tarification peut ne pas avoir besoin des antécédents psychiatriques complets.
Les exigences de consentement distinct et de transfert transfrontalier dépendent de l’identité de l’organisme qui traite les informations et de sa finalité. Demandez à l’établissement d’expliquer sa base juridique et son mécanisme de transfert ; ne vous fiez pas à une case à cocher globale.[1][2]
Chiffrez les fichiers, envoyez le mot de passe séparément, définissez l’expiration du lien et confirmez la suppression ou la restitution à la fin de la mission. Les métadonnées DICOM et documentaires peuvent contenir l’identité, même lorsque le nom du fichier paraît anonyme.[3]

Guide complet

Un dossier peut franchir plusieurs frontières sans que le patient s’en aperçoive. L’hôpital exporte un PDF vers un coordinateur, celui-ci l’envoie à un traducteur, la traduction est téléversée sur un espace infonuagique, un lien parvient à un médecin étranger et un proche transfère ce lien à un groupe familial.

Chaque étape peut sembler utile. Ensemble, elles créent des copies, de nouveaux destinataires et des durées de conservation incertaines. La protection de la confidentialité commence par tracer le parcours avant l’envoi du fichier.

Commencez par cartographier les personnes et les systèmes

Établissez un schéma simple des transferts :

Destinataire ou système	Finalité	Données nécessaires	Peut transmettre à	Fin de l’accès
Hôpital chinois	Examen clinique	Dossier médical pertinent pour la décision	Équipe clinique nommément désignée	Selon les règles de conservation de l’hôpital
Traducteur	Traduction de comptes rendus sélectionnés	Pages sources sélectionnées	Réviseur agréé uniquement	Après livraison et contrôle qualité
Coordinateur	Organisation de l’examen	Index et fichiers nécessaires	Contact hospitalier nommément désigné	À la fin du service
Assureur	Décision de prise en charge	Liste documentée des justificatifs demandés	Gestionnaires des demandes de remboursement	Selon le contrat et la loi
Chauffeur ou hôtel	Logistique d’accessibilité	Nom, horaire et besoins de mobilité	Aucun destinataire clinique	Après le service

Si une personne ne peut pas expliquer pourquoi elle a besoin d’un fichier, interrompez l’envoi. « Par commodité » n’est pas une finalité médicale définie.

Identifiez le responsable du traitement des données

Un patient qui envoie une copie qu’il détient personnellement à un clinicien de son choix n’est pas dans la même situation opérationnelle qu’un hôpital qui exporte des dossiers par l’intermédiaire d’un prestataire. Selon l’organisation retenue, les hôpitaux, agences, plateformes, traducteurs et destinataires étrangers peuvent chacun agir comme responsable du traitement des informations personnelles, sous-traitant mandaté ou destinataire indépendant.

Selon la PIPL, communiquer des informations personnelles à un autre responsable de traitement exige généralement d’informer la personne de l’identité et des coordonnées du destinataire, de la finalité, de la méthode et des catégories d’informations, puis d’obtenir un consentement distinct, sauf si une autre base légale s’applique.[1] Les informations sensibles nécessitent des précisions supplémentaires sur la nécessité et les conséquences, et la communication transfrontalière entraîne d’autres exigences.[1]

Le patient ne devrait pas avoir à choisir le mécanisme juridique de l’organisation. Demandez au contact chargé de la confidentialité de préciser :

Qui est responsable du transfert
La base juridique du traitement et de l’exportation
Le destinataire étranger et le pays ou la région
La finalité, les catégories de données et la durée de conservation
L’intervention éventuelle de sous-traitants ou de fournisseurs infonuagiques
Comment le patient peut exercer ses droits auprès du destinataire étranger
Le mécanisme transfrontalier ou l’exemption invoqué

Les règles chinoises de 2024 relatives aux données transfrontalières modifient les situations nécessitant une évaluation de sécurité, un contrat type ou une certification, et prévoient des exemptions pour certains transferts nécessaires à un contrat ou en urgence.[2] Une exemption de procédure de dépôt n’autorise pas à ignorer la limitation des finalités, la sécurité ou les droits de la personne.

Envoyez le minimum nécessaire de documents

Partez de la décision à prendre et créez une copie destinée à l’examen. Conservez séparément une archive source complète.

Exemples :

Un chirurgien évaluant la possibilité d’une résection peut avoir besoin de l’imagerie, de l’anatomopathologie et des antécédents opératoires ou médicaux pertinents — pas de toutes les notes de consultation sans rapport.
Un traducteur chargé d’un compte rendu de sortie n’a pas besoin de l’ensemble des archives DICOM.
Un assureur doit recevoir les éléments de sa demande écrite de justificatifs, et non un accès illimité au portail.
Un transporteur peut avoir besoin des détails concernant le fauteuil roulant et le rendez-vous, pas du diagnostic.

Le minimum nécessaire ne signifie pas un dossier cliniquement incomplet. Demandez au clinicien destinataire quels documents permettent un examen sûr, puis retirez uniquement les éléments véritablement sans rapport.

N’occultez ni ne modifiez jamais l’unique copie source. Créez un fichier dérivé portant la mention REDACTED COPY, consignez les suppressions et conservez l’ordre des pages. Pour les soins cliniques, signalez l’occultation afin que l’équipe destinataire puisse déterminer si elle affecte l’interprétation.

Le consentement doit être suffisamment précis pour être compris

Une notice utile répond aux questions suivantes :

Quelles informations sont utilisées ?
Pour quelle finalité ?
Qui les reçoit ?
Dans quel pays ou quelle région ?
Comment seront-elles transférées et stockées ?
Combien de temps resteront-elles disponibles ?
À qui pourront-elles être retransmises ?
Comment le patient peut-il retirer son consentement lorsque cela s’applique, demander un accès ou une rectification, ou déposer une réclamation ?

Évitez une autorisation unique combinant examen clinique, marketing, recherche, témoignages et conservation indéfinie des données. Il s’agit de finalités différentes.

Le consentement n’est pas toujours la seule base légale. La PIPL reconnaît également le traitement nécessaire à la conclusion ou à l’exécution d’un contrat impliquant la personne, ainsi que le traitement d’urgence nécessaire à la protection de la vie, de la santé ou des biens.[1] L’organisation doit documenter la base qu’elle utilise réellement plutôt que de recueillir une signature par habitude puis d’utiliser les données plus largement.

Choisissez un canal de transfert doté de contrôles

Privilégiez le portail de l’hôpital destinataire ou un service de transfert chiffré approuvé par l’établissement. Si les fichiers doivent être envoyés sous forme d’archive chiffrée :

Utilisez un chiffrement robuste, pas simplement une extension ZIP renommée
Envoyez le mot de passe par un autre canal
Limitez si possible le lien à des destinataires nommément désignés
Exigez une connexion et une authentification multifacteur
Définissez le délai d’expiration le plus court possible en pratique
Désactivez l’indexation publique et le repartage anonyme
Conservez un journal des téléversements et téléchargements
Vérifiez la somme de contrôle ou le nombre de fichiers pour les transferts volumineux
Supprimez les copies temporaires locales et infonuagiques après confirmation de réception, sous réserve des obligations de conservation

Le courriel ordinaire et les messageries peuvent être pratiques, mais les transferts, sauvegardes et compromissions de comptes sont difficiles à maîtriser. Si l’hôpital approuve un tel canal, demandez comment l’identité, l’accès et la conservation sont gérés.

N’utilisez pas de compte familial partagé pour le portail patient. Un code de vérification à usage unique, un code PIN de paiement ou le mot de passe principal donne un accès plus large qu’un lien vers un seul compte rendu.

L’identité cachée dans les fichiers

Retirer un nom de la page visible ou du nom de fichier ne constitue pas nécessairement une désidentification.

Les PDF et fichiers bureautiques peuvent contenir des noms d’auteurs, l’historique des révisions, des commentaires et des pièces jointes intégrées. Les photographies peuvent comporter des métadonnées de localisation et d’appareil. Les objets DICOM intègrent des attributs concernant le patient et l’examen, et du texte peut être incrusté dans les pixels de l’image.[3]

Lorsque la finalité exige une désidentification — recherche, enseignement ou examen externe à l’aveugle, par exemple — utilisez une procédure qualifiée adaptée aux règles de l’établissement destinataire. Vérifiez ensuite que les données peuvent toujours être reliées de manière cohérente entre fichiers sans exposer d’identifiants directs.

Pour les soins directs, une désidentification excessive peut créer un risque d’erreur d’attribution au patient. L’hôpital peut avoir besoin du nom, de la date de naissance et du numéro patient pour éviter d’associer le dossier à la mauvaise personne. Suivez sa procédure contrôlée de rapprochement des identités.

Limitez l’accès des traducteurs et coordinateurs

Le contrat de prestation doit préciser :

L’entité juridique et les personnes nommément désignées ayant accès
Les fichiers exacts et la finalité
Si le téléchargement local est autorisé
L’utilisation de services de traduction automatique ou d’IA et le lieu de traitement des données
L’interdiction ou les conditions de sous-traitance
Les exigences de confidentialité et de sécurité
La conservation et la date de restitution et de suppression
Le circuit de notification des incidents
L’interdiction d’utiliser le récit, l’image ou les données du patient à des fins de marketing ou d’entraînement de modèles sans autorisation distincte

La PIPL impose aux sous-traitants mandatés de respecter la finalité et la méthode convenues et de restituer ou supprimer les informations à la fin de l’accord ; le recours à un autre sous-traitant nécessite l’autorisation du responsable initial.[1]

Demandez un échantillon de traduction à partir de données fictives avant d’envoyer des dossiers particulièrement sensibles. Ne téléversez pas de dossiers identifiables dans un outil gratuit de traduction ou de résumé en ligne simplement parce qu’il est rapide.

L’accès familial reste un partage de données

Les patients souhaitent souvent l’aide d’un conjoint ou d’un enfant adulte. Définissez ce que cette personne peut faire :

Consulter uniquement les rendez-vous
Recevoir les factures
Accéder aux comptes rendus cliniques
Parler aux cliniciens
Autoriser d’autres divulgations
Prendre des décisions si cela est juridiquement approprié

Utilisez la fonction d’accès par mandataire ou familial de l’hôpital lorsqu’elle existe. Ne supposez pas que le lien de parenté autorise une divulgation illimitée. Si le patient retire ultérieurement l’accès familial, mettez à jour l’hôpital, le coordinateur, les dossiers partagés et les groupes de messagerie — pas seulement un mot de passe.

Les dossiers d’enfants exigent une attention particulière. La PIPL considère les informations concernant les enfants de moins de 14 ans comme sensibles et exige le consentement d’un parent ou tuteur lorsqu’elles sont traitées sur la base du consentement.[1]

Génétique, santé reproductive et santé mentale exigent une réflexion supplémentaire

Certains dossiers révèlent des informations sur les proches autant que sur le patient. Les résultats génétiques germinaux peuvent indiquer un risque familial. Les dossiers de santé reproductive, de maladies infectieuses, de santé sexuelle et de santé mentale peuvent entraîner des préjudices sociaux supplémentaires en cas d’utilisation abusive.

Avant le partage, demandez si le compte rendu entier est nécessaire, si les noms des membres de la famille peuvent être réduits au minimum et si une synthèse spécialisée suffit à étayer la décision. Ne retirez pas d’informations cliniquement importantes pour l’équipe soignante, mais ne les envoyez pas automatiquement aux hôtels, agences de voyages ou services administratifs généraux.

Conservez une traçabilité compréhensible par le patient

Tenez un registre des transferts comprenant :

Date et heure
Expéditeur et destinataire
Finalité
Noms et version des fichiers
Canal et expiration du lien
Autorisation ou base juridique consignée par l’organisation
Confirmation de réception
Déclaration des retransmissions ou sous-traitants
Confirmation de suppression ou de restitution

Il ne s’agit pas de bureaucratie gratuite. Si la mauvaise version a été envoyée ou qu’un lien a fuité, le registre indique où contenir le problème.

Exercez vos droits sans compromettre le dossier médical

La PIPL accorde aux personnes le droit d’être informées du traitement et de décider à son sujet et, sous réserve des conditions légales, d’accéder aux informations personnelles ou de les copier, de les rectifier et d’en demander la suppression.[1]

Demandez au contact chargé de la confidentialité comment :

Obtenir une copie des données détenues
Corriger une erreur d’identité ou de coordonnées
Restreindre ou arrêter un partage facultatif
Retirer l’accès d’un ancien coordinateur
Demander la suppression lorsque les conditions légales sont réunies
Contester un rapprochement automatisé inexact
Déposer une réclamation auprès de l’établissement ou du régulateur

Les droits à la suppression ne signifient pas qu’un hôpital doit effacer les dossiers que la loi lui impose de conserver. Le patient peut plutôt être en mesure d’arrêter une divulgation facultative tout en laissant le dossier médical source préservé.

Si un lien ou un fichier parvient à la mauvaise personne

Agissez immédiatement :

Révoquez le lien ou la session du compte.
Contactez le destinataire involontaire et demandez la suppression sans nouvelle ouverture ni retransmission.
Informez le contact chargé de la confidentialité ou de la sécurité de l’organisation expéditrice.
Identifiez précisément les fichiers, identifiants et la période exposés.
Réinitialisez les mots de passe compromis et fermez les sessions actives.
Préservez le journal d’audit et la référence de l’incident.
Demandez quelles évaluations des risques, notifications et mesures correctives suivront.

Ne supprimez pas les preuves de l’incident avant leur consignation par l’équipe de sécurité responsable. Si des informations d’identité financière, de passeport ou de compte étaient concernées, surveillez les usages abusifs et suivez les recommandations officielles de protection de l’identité ou des paiements.

Un contrôle de confidentialité avant chaque envoi

Identité du destinataire vérifiée par un canal indépendant
Finalité clinique ou administrative indiquée
Fichiers minimaux nécessaires sélectionnés
Archive originale préservée
Pages sensibles et métadonnées intégrées comprises
Information du patient et consentement ou autre base documentés par l’organisation responsable
Mécanisme transfrontalier ou exemption confirmé le cas échéant
Canal sécurisé et expiration de l’accès définis
Mot de passe envoyé séparément
Retransmissions et sous-traitants déclarés
Réception confirmée
Date de suppression ou de restitution consignée

Avertissement juridique et médical : Ce guide fournit des informations générales sur la confidentialité et la sécurité, et non des conseils juridiques. Les obligations relatives aux données transfrontalières dépendent des organisations, des données, de la finalité, du volume, du lieu et des règles en vigueur. Les hôpitaux et prestataires doivent obtenir des conseils qualifiés en droit chinois et dans le pays de destination ; les patients ne doivent pas retarder des soins urgents pour des formalités administratives.

Hôpitaux associés

Demandez à chaque hôpital son contact chargé de la confidentialité, ses canaux de téléversement approuvés, sa notice relative aux destinataires étrangers, sa politique de conservation et sa procédure d’accès par mandataire, de rectification et de signalement des incidents.

Traitements associés

Les tests génomiques, les soins de fertilité, les soins de santé mentale, le traitement des maladies infectieuses et l’évaluation des maladies rares peuvent impliquer des informations particulièrement sensibles ou liées à la famille, qui méritent un plan de divulgation limité.

Guides associés

Questions fréquentes

Est-il illégal pour un patient d’envoyer son propre dossier à l’étranger par courriel ?

Cet article ne formule pas une telle affirmation générale. Les obligations juridiques diffèrent entre un particulier qui envoie sa propre copie et un établissement ou une plateforme qui exporte des données. Le risque pour la confidentialité demeure : utilisez donc le circuit sécurisé de l’hôpital destinataire et obtenez des conseils propres à votre situation si nécessaire.

La signature d’un formulaire de consentement permet-elle à tous les prestataires d’utiliser mon dossier ?

Une telle supposition n’est pas sûre. Les destinataires, finalités, catégories de données et transferts ultérieurs doivent être spécifiquement divulgués, et la PIPL exige un consentement distinct pour certains partages et activités portant sur des informations sensibles, sauf si une autre base légale s’applique.[1]

Un ZIP protégé par mot de passe suffit-il ?

C’est une mesure de contrôle, pas un système complet. Vérifiez également le destinataire, utilisez un chiffrement robuste, envoyez le mot de passe séparément, limitez l’accès, définissez une expiration et confirmez la suppression.

Puis-je retirer moi-même mon nom des fichiers DICOM ?

Renommer les fichiers est inefficace, car le DICOM contient des attributs intégrés.[3] Pour les soins directs, préservez un rapprochement sûr des identités ; pour une utilisation désidentifiée, utilisez une procédure qualifiée demandée par l’établissement.

Puis-je demander à un hôpital de supprimer mon dossier médical ?

Les personnes disposent de droits à la suppression dans des conditions légales précises, mais les hôpitaux peuvent avoir des obligations légales de conservation. Demandez à l’hôpital de distinguer la conservation du dossier source du partage facultatif ou des copies détenues par des tiers.[1][4]

Protéger la confidentialité de vos données médicales lors du partage international de dossiers