Professions de santé : ce qui peut et ne peut pas circuler
C'est la question qui bloque le plus souvent. Un cabinet médical, paramédical ou dentaire dont des patients ne règlent pas leur reste à charge se demande légitimement s'il a le droit de confier ces dossiers à un tiers.
La réponse tient en une distinction. La créance est recouvrable ; l'information de santé ne doit pas être transmise. Les données concernant la santé relèvent des catégories particulières de l'article 9 du RGPD, dont le traitement est en principe interdit sauf exceptions limitativement énumérées. Le recouvrement d'une facture n'en fait pas partie.
En pratique, le dossier transmis se limite donc à des éléments purement financiers : identité et coordonnées du patient, montant dû, date d'échéance, référence de facture. Aucune mention de la nature de l'acte, du diagnostic, du praticien spécialiste, ni du motif de consultation. Une facture doit être expurgée avant transmission si elle porte un libellé d'acte identifiant. Le secret professionnel prévu à l'article L.1110-4 du Code de la santé publique et à l'article 226-13 du Code pénal s'ajoute d'ailleurs au RGPD sur ce point.
Deux réflexes utiles pour les cabinets : faire signer une reconnaissance de dette lorsqu'un reste à charge s'installe, ce qui constitue une preuve neutre et détachée de tout élément médical ; et prévoir dans les documents remis au patient une information sur le recours possible à un tiers en cas d'impayé. Modèle de reconnaissance de dette · Recouvrement pour le secteur santé.
Faut-il l'accord du débiteur ?
Non, et c'est un contresens fréquent. Le consentement est l'une des six bases légales du RGPD, pas la seule ni la principale. Un créancier qui recouvre une somme qui lui est due poursuit un intérêt légitime, et le débiteur peut raisonnablement s'attendre à être relancé s'il ne paie pas. Chercher un consentement serait ici absurde et fragiliserait le traitement plutôt que de le sécuriser.
Le débiteur conserve en revanche ses droits : accès, rectification, limitation, et droit d'opposition. Ce dernier n'est pas absolu lorsque le traitement repose sur l'intérêt légitime : le responsable peut le refuser s'il démontre des motifs légitimes et impérieux prévalant sur les intérêts de la personne, ce qui est le cas d'une créance certaine, liquide et exigible.
Quelles données transmettre concrètement
- À transmettre — raison sociale ou nom et prénom, adresse postale, e-mail, téléphone, montant dû, date d'émission et d'échéance, référence de la facture, pièces justificatives de la créance, historique des relances déjà effectuées, paiements partiels éventuels
- À ne pas transmettre — données de santé, opinions politiques, philosophiques, religieuses ou syndicales, orientation sexuelle, origine ethnique, données biométriques, appréciations subjectives sur la personne, informations sans lien avec la créance
Ce que nous mettons en place
- Contrat de sous-traitance conforme à l'article 28, annexé au mandat de recouvrement
- Hébergement en France, sans transfert hors Union européenne
- Accès nominatifs et journalisés pour chaque intervenant sur un dossier
- Suppression ou anonymisation des données à l'issue des durées de conservation applicables
- Restitution de l'intégralité des pièces en fin de mission, sur simple demande
Nous fournissons ces éléments par écrit avant signature, à destination de votre DPO ou de votre responsable conformité. Politique de confidentialité · Vérifier qu'un prestataire est en règle.