Durée de conservation des données de santé.
Le code pénal sanctionne la conservation des données pour une durée supérieure à celle qui a été déclarée de 5 ans d'emprisonnement et de 300 000 € d'amende (art. 226-20 du code pénal).
Le Responsable d’un traitement fixe une durée de conservation raisonnable en fonction de l’objectif et de la finalité du traitement.
Ces deux éléments doivent être déterminés selon la nature des données collectées.
S’agissant de données de santé dites « sensibles », les références et les repères en matière d’indication de durée de conservation demeurent aléatoires et hétérogènes pour les Responsables de Traitement.
Une difficulté majeure pour le Responsable de Traitement pour l’application de la Loi Informatique et Libertés au sein de son établissement et de son obligation de respecter les durées de conservation de ces traitement de données de santé.
Pour cela, le Responsable de Traitement doit être en mesure de maîtriser l’historique, et la gestion de l’ensemble de ces traitements.
Selon la grande majorité des organismes de santé, les obligations CNIL en matière de respect des durées de conservation sont difficilement respectées par les Responsables de Traitements.
Cela est dû à trois facteurs identifiés :
1 / la méconnaissance des références en matière de durée de conservation
2/ la non maîtrise de l’historique des traitements
3/ une absence de politique de suivi, de contrôle et de purge des traitements (cf. principe du « droit à l’oubli »).
En cas de contrôle CNIL, les points de non-conformité et de manquements, pourront être :
- le non respect des durées de conservation
- la non-conformité des durées de conservation à la finalité du traitement (durée de conservation disproportionnée à l’objectif visé)
- le dépassement de la durée préfixe de conservation des données.
Il est recommandé de :
Mettre en place un contrôle mensuel, trimestriel ou annuel de l’activité CNIL pour assurer un suivi et un niveau de conformité élevé afin de contrôler que les durées de conservation soient respectées et de purger des traitements dont la durée de conservation a été dépassée.
Quelques références de durée de conservation selon la finalité retenue par le Responsable de Traitement :
- Dossier médical dans les cabinets médicaux libéraux : 10 ans (Article L.1142-28 Code de la santé publique)
- Dossier médical dans les établissements de santé publics et privés : 20 ans à partir du dernier passage dans l’établissement par le patient (Article R. 1112-7 du Code de la santé publique), excepté en cas de décès du patient moins de 10 ans après son dernier passage son dossier sera conservé 10 ans à partir de la date de son décès.
- Analyse des pratiques ou des activités de soins ou de prévention : durée de conservation très courte, ne dépassant pas 2 ans dans la plupart des cas. Durée proportionnelle à la finalité déclarée, conservée le temps de l’étude et supprimée dès que l’étude est terminée (Article 6 5° de la loi n°78-17 modifié, chapitre X de la loi Informatique et Libertés modifiée).
A noter que concernant les finalités suivantes : la recherche médicale (Chapitre IX article 53 et suivants de la Loi Informatique et Libertés) et les analyses des pratiques ou des activités de soins (chapitre X article 62 et suivants), il revient à la CNIL d’autoriser ces traitements (demande d’autorisation CNIL par le Responsable de Traitement) et de déterminer la durée de conservation avec un comité consultatif selon les cas:
« La commission détermine la durée de conservation des données nécessaires au traitement et apprécie les dispositions prises pour assurer leur sécurité et la garantie des secrets protégés par la loi »(Article 64). Les Responsables de Traitement peuvent ainsi s’appuyer sur le référentiel de la CNIL s’agissant de ces 2 finalités pour les durées de conservations.
A propos de l’auteur :
Mme Thet SOK
Juriste Conformité et NTIC
Directeur associé
Avez-vous apprécié ce contenu ?
A lire également.

Ce qu’il fallait retenir de l’édition 2025 du congrès APSSIS
01 juil. 2025 - 00:00,
Actualité
- DSIHLa 13ᵉ édition du congrès APSSIS, qui s’est tenue en juin 2025, a une nouvelle fois confirmé sa place centrale dans l’écosystème de la cybersécurité en santé. Au fil de trois jours de conférences, de débats et de rencontres, RSSI, DPO, DSI, juristes et institutionnels ont croisé leurs expertises pou...

Le 8ème opus des guides cyber-résilience de l’APSSIS est en ligne !
30 juin 2025 - 20:50,
Communiqué
- APSSISL’APSSIS a le plaisir d’annoncer la publication du 8ème opus des Guides Cyber-résilience à destination des professionnels du secteur. Conçus et élaborés par Cédric Cartau, ces guides se veulent à la fois accessibles, techniques et pratiques.
La cyber et les sacs de luxe
30 juin 2025 - 20:44,
Tribune
-C’est la fin du premier semestre, il est temps de faire un bilan à mi-course de l’année 2025. Et il s’en est passé, des choses, pas forcément douces et roses.

En direct du congrès APSSIS 2025 –– conférence sur l’histoire des malwares
24 juin 2025 - 18:00,
Tribune
-Temps fort traditionnel, Michel Dubois nous a habitués à des conférences techniques sur des sujets pointus, telle l’histoire du chiffrement. Nous voilà donc embarqués dans l’histoire des malwares, et on part de loin : machine de Turing, théorie de l’informatique de la fin de la Seconde Guerre mondia...