La réglementation sur les dispositifs médicaux évolue pour accompagner l’essor du numérique en santé et renforcer la sécurité des patients. Dans ce contexte, la protection des données personnelles, notamment de santé, est un enjeu central.
Les fabricants, exploitants, laboratoires, établissements de santé et professionnels impliqués doivent s’assurer que leurs produits et services sont conformes à la fois à la réglementation européenne sur les dispositifs médicaux (RDM et RDM-DIV) et au Règlement Général sur la Protection des Données (RGPD).
Une double exigence réglementaire : RDM et RGPD
Le Règlement (UE) 2017/745 sur les dispositifs médicaux (RDM) et le Règlement (UE) 2017/746 sur les dispositifs médicaux de diagnostic in vitro (RDM-DIV) sont entrés en application respectivement en mai 2021 et mai 2022. Ces textes visent à garantir la sécurité, la qualité et les performances des dispositifs mis sur le marché européen.
Ces règlements comportent des dispositions spécifiques relatives à la protection des données personnelles, notamment dans l’article 62.4 (h) du RDM, qui impose que toute investigation clinique respecte le RGPD. Cela signifie qu’à chaque étape — conception, expérimentation, mise sur le marché, suivi post-commercialisation — les exigences du RGPD doivent être intégrées.
Données de santé et dispositifs médicaux : ce que dit le RGPD
Lorsqu’un dispositif médical collecte, stocke ou transmet des données de santé à caractère personnel, il entre dans le champ du RGPD, qui impose :
- une base légale valable (souvent le consentement explicite ou l’intérêt public en santé) ;
- des mesures de sécurité appropriées (chiffrement, accès restreint, journalisation) ;
- le principe de minimisation des données : seules les données nécessaires doivent être traitées ;
- des droits garantis aux personnes concernées (accès, rectification, opposition, limitation) ;
- la réalisation d’une analyse d’impact relative à la protection des données (AIPD) lorsque le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes.
Dispositifs médicaux numériques : interopérabilité et sécurité
La transformation numérique du secteur médical s’accompagne de nouveaux enjeux liés à la circulation et à l’usage des données entre dispositifs, applications, systèmes d’information et plateformes de santé.
Le Référentiel d’interopérabilité et de sécurité des dispositifs médicaux numériques, publié par l’Agence du Numérique en Santé (ANS), définit les exigences techniques et organisationnelles pour garantir :
- une interopérabilité maîtrisée avec le Dossier Médical Partagé (DMP), les logiciels métiers et les plateformes nationales
- une protection renforcée des données de santé, dès la conception des dispositifs (principe de privacy by design)
- une sécurisation de l’authentification, du stockage, de la transmission et de l’accès aux données
- une conformité aux référentiels de la doctrine du numérique en santé
Ce référentiel est désormais requis pour la prise en charge financière de certains dispositifs médicaux numériques, et son respect constitue un argument de conformité essentiel.
De la mise sur le marché à la surveillance post-commercialisation
Le RGPD doit être pris en compte dès la phase de conception d’un dispositif médical, mais également tout au long de son cycle de vie.
- Conception : intégration du RGPD dès la phase de R&D et évaluation des traitements de données prévus.
- Investigation clinique : respect du consentement, anonymisation/pseudonymisation, AIPD obligatoire.
- Mise sur le marché : documentation RGPD intégrée au dossier technique présenté à l’organisme notifié.
- Surveillance après commercialisation (Post-Market Surveillance) : traitement de données d’usage et de retour d’expérience, respect des droits des patients, sécurité continue des données.
Un accompagnement sur la conformité RGPD des DM
En tant que spécialiste du RGPD appliqué au secteur de la santé, Yec’Hed Mat Conseil propose un accompagnement personnalisé pour vos projets de dispositifs médicaux et DM DIV, qu’ils soient en développement, en phase d’expérimentation ou déjà commercialisés.
Notre expertise couvre :
- Audit de conformité RGPD pour dispositifs médicaux numériques et connectés
- AIPD spécifiques aux traitements de données de santé par les dispositifs
- Analyse du respect du Référentiel d’interopérabilité et de sécurité sur le volet de la protection des données
- Appui réglementaire sur le RGPDpour les phases de certification, marquage CE et dépôt auprès de l’ANS
- Conseil stratégique sur la gouvernance des données et les relations avec les sous-traitants ou les partenaires techniques.