En 2 phrases. Le RGPD vous donne 6 droits sur vos données personnelles, y compris les données de santé (considérées comme « sensibles »). Voici comment les exercer, avec les textes exacts et les délais à connaître.
Avant de commencer : qui est concerné ?
Le RGPD (Règlement général sur la protection des données, UE 2016/679) s'applique à toute organisation qui traite des données personnelles dans l'UE. Pour vos données de santé, cela concerne :
- Votre médecin traitant, vos spécialistes, votre pharmacien
- Les hôpitaux, cliniques, laboratoires, centres de radiologie
- La CNAM, votre mutuelle, Mon Espace Santé
- Les applications de santé (dont My Data My Care)
- Les objets connectés santé et leurs éditeurs
Les données de santé sont classées « données sensibles » par l'article 9 du RGPD : leur traitement est en principe interdit, sauf exceptions strictement encadrées (consentement explicite, fourniture de soins, intérêt public en santé).
Droit n°1 — L'accès (article 15)
Vous avez le droit de savoir quelles données sont détenues sur vous, pour quelles finalités, avec qui elles sont partagées, et combien de temps elles sont conservées.
Comment l'exercer
Envoyez une demande écrite (email suffit) au responsable de traitement ou au DPO (Délégué à la Protection des Données). Mention : « Je sollicite, sur la base de l'article 15 du RGPD, la communication des données me concernant ».
Délai de réponse
1 mois, prolongeable à 3 mois pour demandes complexes. Gratuit (sauf demandes répétitives).
Droit n°2 — La rectification (article 16)
Si vos données sont inexactes ou incomplètes (mauvaise date de naissance, allergie mal renseignée, antécédent erroné), vous pouvez demander qu'elles soient corrigées.
Cas particulier du dossier médical
Les observations cliniques d'un médecin ne peuvent pas être « rectifiées » par le patient — elles sont l'expression d'une opinion médicale protégée. Mais vous pouvez demander l'ajout d'une observation contradictoire (« commentaire patient »), qui restera dans le dossier.
Droit n°3 — L'effacement (article 17)
Aussi appelé « droit à l'oubli ». Vous pouvez demander la suppression de vos données dans certains cas :
- Quand elles ne sont plus nécessaires à la finalité initiale
- Quand vous retirez votre consentement
- Quand le traitement est illicite
- Quand vous avez la majorité médicale et que des données ont été collectées pendant votre minorité
Limites importantes
Les données de santé ont une durée légale de conservation (20 ans après le dernier acte, code de la santé publique). Vous pouvez demander leur effacement, mais le responsable peut refuser au nom d'une obligation légale ou d'un intérêt public en santé.
Droit n°4 — La portabilité (article 20)
Vous pouvez obtenir vos données dans un format structuré, couramment utilisé et lisible par machine, et les transmettre à un autre service.
En pratique pour la santé
Le format standard est FHIR R4 (Fast Healthcare Interoperability Resources). Tous les services santé conformes doivent proposer un export FHIR. My Data My Care, par exemple, fournit cet export en 1 clic depuis l'app, sans démarche ni justification.
Important. Ce droit ne s'applique qu'aux données que vous avez fournies, ou aux données générées par votre activité (objets connectés, RDV). Il ne s'applique pas aux observations cliniques déduites par un médecin.
Droit n°5 — L'opposition (article 21)
Vous pouvez vous opposer à un traitement de vos données pour des raisons tenant à votre situation particulière. En santé, cela permet par exemple :
- De refuser que vos données alimentent une étude épidémiologique
- De refuser la création automatique de votre Mon Espace Santé (opt-out à activer sur monespacesante.fr)
- De vous opposer à la transmission de vos données à votre mutuelle au-delà du strict nécessaire au remboursement
Le responsable peut maintenir le traitement s'il démontre un motif légitime impérieux. Pour la santé, l'intérêt public en matière de santé publique peut primer sur votre opposition.
Droit n°6 — La limitation (article 18)
Vous pouvez demander le gel temporaire d'un traitement, par exemple le temps qu'un litige sur l'exactitude des données soit résolu. Pendant la limitation, vos données sont conservées mais plus utilisées.
Droits spécifiques à la santé
Accès direct au dossier médical
Au-delà du RGPD, le Code de la santé publique (article L. 1111-7) vous donne un droit d'accès direct à votre dossier médical, sans passer par un médecin intermédiaire. Délai : 8 jours (dossiers récents) à 2 mois (archives anciennes).
Directives post-mortem
Depuis la loi 2016, vous pouvez désigner de votre vivant une personne qui aura accès à vos données de santé après votre décès, ou au contraire demander l'effacement immédiat.
Que faire en cas de refus ou de silence ?
Si le responsable ne répond pas sous 1 mois ou refuse sans motif valable, vous pouvez :
- Saisir la CNIL — gratuit, en ligne sur cnil.fr. Délai de réponse : 3 à 6 mois.
- Saisir le tribunal judiciaire — dans les cas graves, pour obtenir dommages et intérêts.
- Saisir un médiateur — certaines mutuelles et organismes ont un médiateur dédié.
Les engagements MDMC vis-à-vis de ces droits
Chez My Data My Care, ces 6 droits sont exerçables directement depuis l'application :
- Accès — tout est visible en permanence dans votre passeport
- Rectification — modification directe de votre profil, historique conservé
- Effacement — suppression de compte en 1 clic, effacement irréversible sous 30 jours
- Portabilité — export FHIR R4 complet en 1 clic
- Opposition — tout traitement optionnel est désactivable individuellement
- Limitation — mode « lecture seule » activable
Pour exercer vos droits hors app : dpo@mydatamycare.com. Réponse sous 1 mois maximum.