Politique de traitement et protection des données

Cette page explique les politiques qui régissent le traitement, le partage et la protection des données collectées sur le site, en particulier les principes applicables aux données de santé, et renvoie aux textes et aux politiques internationales cités en bas de page.

À qui s’applique cette page

Le périmètre couvre les visiteurs du site, les contributeurs de contenus et les partenaires qui interagissent avec le site en tant qu’éditeur-média. Le site se présente comme un média et un éditeur d’information, et non comme un prestataire de soins ou un fournisseur de services cliniques.

Cette page décrit les politiques générales du site sur la confidentialité, le partage et la protection des données. Elle oriente vers des politiques spécifiques lorsque celles-ci existent (par exemple : politique de confidentialité, conditions d’utilisation, politique de partage de données). Si une politique interne détaillée est disponible, le lecteur trouvera le lien ou la référence correspondante.

Publics ciblés : chercheurs, partenaires institutionnels, journalistes, responsables de la protection des données et tout lecteur souhaitant comprendre quelles règles s’appliquent aux données hébergées, publiées ou transitant via le site.

Quelles données le site peut collecter et pourquoi

Catégories de données : le site peut collecter des données de navigation et des informations saisies volontairement dans des formulaires. Les contributions publiques peuvent être traitées et conservées selon la finalité déclarée au moment de la soumission. Lorsque des données de nature sensible sont impliquées, elles relèvent d’un cadre particulier (voir la section dédiée ci‑dessous).

Finalités déclarées : maintien du fonctionnement du site, mesure d’audience et analytics, gestion des contacts et des demandes envoyées via les formulaires, traitement éditorial et revue des contenus scientifiques. Chaque finalité doit s’appuyer sur une base légale adaptée : consentement lorsque requis, ou une autre base légale pertinente (par exemple l’exécution d’une mission d’intérêt public) selon le cadre juridique applicable.

Base légale et référence réglementaire : les notions de bases légales et les exigences applicables se réfèrent au Règlement général sur la protection des données et aux orientations des autorités compétentes. Les bonnes pratiques internationales insistantes sur la transparence et la limitation des finalités sont rappelées dans les sources primaires listées en bas de page.

Si le site traite ou publie des données à visée de recherche, ces traitements doivent préciser les finalités, les modalités d’accès et la base juridique applicable. Lorsque des finalités de recherche entraînent un traitement de données personnelles, des mesures complémentaires de protection sont recommandées par les standards internationaux cités.

Données de santé : cadre particulier et garanties minimales

Les données de santé sont qualifiées de « catégories particulières » et bénéficient d’un régime protecteur renforcé. Le traitement de ces données est soumis à des conditions strictes de licéité et, le cas échéant, à l’obtention d’un consentement explicite ou à l’existence d’une base légale permettant le traitement dans le respect du droit applicable.

Garanties minimales attendues : minimisation des données collectées, chiffrement des données sensibles lorsqu’elles sont stockées ou transférées, limitation des accès au personnel habilité et application de mesures de conservation limitées. Les autorités et les lignes directrices internationales recommandent également l’évaluation d’impact pour les traitements susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes.

Renvois normatifs : les principes et recommandations internationaux sur le partage et la protection des données de santé figurent dans les documents publiés par l’Organisation mondiale de la santé et dans les lignes directrices des autorités de protection des données. Ces documents dessinent des obligations en matière d’information des personnes concernées, de limitation des transferts et de conditions de réutilisation des données à des fins de recherche.

Si le site transfère des données de santé à des tiers ou à des organisations internationales, le mécanisme de transfert (par exemple clauses contractuelles types, décision d’adéquation ou autres garanties appropriées) doit être explicité dans une politique interne datée. À défaut d’une telle page interne, la mention de transferts précis reste non précisée et le lecteur est orienté vers les principes généraux cités ci‑dessous.

Partage et transferts de données : tiers, partenaires et hébergeurs

Destinataires possibles : hébergeurs techniques, prestataires de services liés à l’exploitation du site, partenaires de recherche et organismes chargés d’activités éditoriales ou techniques. Les transferts à des tiers doivent s’appuyer sur des contrats définissant les obligations de protection et les mesures de sécurité attendues.

Transferts hors de l’Espace économique européen : les bonnes pratiques recommandent l’utilisation de clauses contractuelles types, la vérification des mesures complémentaires ou la référence à une décision d’adéquation. Les textes internationaux et les autorités européennes détaillent ces options et les conditions dans lesquelles elles s’appliquent.

Le niveau de protection exigé chez les sous‑traitants inclut des garanties techniques et organisationnelles proportionnées au risque : contrôles d’accès, chiffrement, sauvegardes et procédures de gestion des incidents. Lorsqu’un transfert est envisagé vers une organisation internationale ou un partenaire externe, la description du mécanisme juridique de transfert doit figurer dans la politique interne correspondante pour être mentionnée publiquement.

Durée de conservation et suppression des données

Principe général : les données doivent être conservées pendant une durée limitée, proportionnée aux finalités pour lesquelles elles ont été collectées. La limitation de la conservation figure parmi les bonnes pratiques internationales en matière de protection des données.

Situation sur le site : lorsque des durées standard sont définies dans une politique interne, elles sont publiées et datées. À défaut, les durées précises de conservation pour chaque catégorie de données restent non précisées et le lecteur est renvoyé à la politique de confidentialité si elle existe.

Procédure de suppression : si le site propose une procédure de suppression des données sur demande, cette procédure doit préciser les étapes et les modalités de réponse. Lorsque la procédure est documentée sur une page interne, le lecteur y est orienté. Si aucune procédure détaillée n’est publiée, la modalité pratique de suppression est non précisée ici.

Droits des personnes et voies de recours

Les droits usuels prévus par le cadre européen incluent l’accès, la rectification, l’effacement, la limitation, la portabilité et le droit d’opposition. Ces droits s’exercent selon les modalités prévues par la réglementation applicable et peuvent être soumis à des conditions dans les cas prévus par la loi.

Moyens d’exercice : le site indique, lorsqu’il l’a documenté, une adresse de contact ou un formulaire dédié pour l’exercice des droits. Si un canal de contact précis est publié dans une politique interne, le lecteur doit s’y référer. À défaut, le lecteur est orienté vers la voie de recours auprès de l’autorité de contrôle compétente, dont les guides pratiques sont cités en bas de page.

Recours : les guides et recommandations des autorités de protection des données fournissent des procédures de recours et des conseils pratiques pour l’exercice des droits. Les liens vers ces ressources figurent dans la section sources.

Sécurité : mesures techniques et organisationnelles

Mesures généralement attendues : chiffrement des données en transit et au repos, contrôle des accès, sauvegardes régulières, audits de sécurité et procédures de gestion des incidents. Ces mesures constituent le socle des bonnes pratiques techniques et organisationnelles recommandées par les standards internationaux.

Affirmations publiques : seules les mesures explicitement documentées et publiées dans une politique de sécurité interne peuvent être mentionnées comme étant en place pour le site. Si une politique technique est disponible, elle doit être datée et liée pour que ses éléments soient repris ici.

Politique sur les données ouvertes et partage pour la recherche

Conditions de partage : les jeux de données peuvent être mis à disposition pour la recherche sous réserve d’exigences éthiques, d’anonymisation adéquate et de licences claires. Les principes de l’OMS sur le partage et la réutilisation des données de santé guident ces pratiques.

Publication de jeux de données : si le site publie des jeux de données, leur emplacement et leur licence sont indiqués uniquement lorsqu’ils sont documentés dans une ressource interne datée. À défaut, l’existence de jeux de données publiés par le site est non précisée ici.

Contacts, DPO et gestion des incidents

Contact pour la protection des données : si le site a nommé un délégué à la protection des données ou un responsable de traitement avec coordonnées publiques, ces informations sont publiées dans la politique de confidentialité ou dans la page dédiée. En l’absence d’une page interne datée, le nom et le contact du DPO ne sont pas précisés ici.

Procédure en cas d’incident : le principe de notification aux personnes concernées et aux autorités s’applique selon la législation pertinente. Les modalités concrètes de notification et les délais sont décrits par le cadre réglementaire et par la politique interne si celle‑ci existe.

Mise à jour de ces politiques

Cette page indique la date de publication et la date de dernière mise à jour lorsque ces informations sont disponibles. Les politiques internes et les pages spécialisées sont susceptibles d’être modifiées ; il est recommandé de consulter régulièrement les pages réglementaires citées.

Les corrections et errata éventuels doivent être consignés dans une page de versioning lorsque le site dispose d’un tel dispositif documenté.

Éléments non précisés dans les documents publics fournis

• Nom, adresse ou contact du DPO ou du responsable de traitement : non précisé dans les ressources fournies.
• Durées exactes de conservation par catégorie de données : non précisées dans la documentation accessible.
• Existence effective de transferts internationaux précis depuis le site vers des organisations externes : non précisée sans politique interne publique datée.
• Toute statistique sur volumes de données, nombre d’utilisateurs ou taux de partage : non fournie et donc non indiquée ici.
• Toute affirmation de type « vérifié » ou d’un annuaire vérifié : non mentionnée sans page méthodologique datée et module réel.

Liens et références principales consultées le 04/09/2026 : documents et guides publiés par l’Organisation mondiale de la santé sur la protection et le partage des données, la politique sur le partage et la réutilisation des données de santé, les principes SMART Trust pour les solutions numériques de santé, ainsi que les orientations de l’EDPB et de la CNIL sur le traitement des données de santé. Les URL précises figurent dans la documentation source associée à cette page.