Assemblée nationale

La méconnaissance de la réglementation est susceptible d’engager la responsabilité des acteurs. Or, en l’absence de définition légale, le champ des données de santé résultait auparavant des décisions jurisprudentielles, françaises comme européennes. L’article 4 du RGPD met fin à cette absence de base légale. Le périmètre couvre les « données à caractère personnel relatives à la santé physique ou mentale d’une personne physique, y compris la prestation de services de soins de santé, qui révèlent des informations sur l’état de santé de cette personne ». La définition européenne embrasse la dimension médicale des données de santé en établissant un lien entre le recueil des données et le contexte de leur utilisation. Cela étant, avec le développement des objets connectés, et en réponse à une demande de la Commission européenne, le G29 a précisé le périmètre des données de santé. Les données brutes, d’apparence inoffensive ou neutre, sont considérées comme des données de santé si elles permettent, en elles-mêmes ou combinées avec d’autres, de tirer des conclusions sur l’état de santé ou les risques de santé d’une personne.