Puis-je faire transcrire des entretiens avec des patients ou des enregistrements médicaux ?

Les données audio médicales sont protégées à double titre : en tant que données de santé (catégorie particulière au titre de l'Art. 9 RGPD) et par le secret médical (§ 203 StGB en Allemagne ; équivalents dans toute l'UE). Une gestion négligente expose ici non seulement à des amendes RGPD, mais aussi à des sanctions disciplinaires et à des poursuites pénales.

Ce qui est concrètement requis :

1. Base légale au titre de l'Art. 9, par. 2 RGPD. Généralement le point a) (consentement explicite) ou h) (diagnostic/prise en charge médicale). Un consentement « éclairé \" uniquement – une simple case à cocher ne suffit pas.

2. § 203 StGB. Depuis la réforme de 2017, les personnes tenues au secret professionnel peuvent recourir à des prestataires externes, mais doivent : - les engager contractuellement à la confidentialité, - les informer de la responsabilité pénale au titre du § 203, par. 4, - les choisir avec soin.

3. DPA avec engagement de confidentialité. Un DPA standard ne suffit pas – le contrat doit faire référence au § 203 StGB et engager l'ensemble du personnel du sous-traitant à la confidentialité (y compris après la fin du contrat). DeepScript fournit un DPA étendu pour ce cas.

4. Hébergement des données dans l'UE + aucune sous-traitance aux États-Unis. Pour les données de santé, Schrems II est particulièrement tranchant – un transfert vers les États-Unis est pratiquement injustifiable.

5. MTO du plus haut niveau. Chiffrement de bout en bout, journaux d'audit pour chaque accès, gestion stricte des droits, audits de sécurité réguliers.

6. Pseudonymisation / anonymisation lorsque c'est possible. Remplacez les noms des patients par des pseudonymes avant l'envoi si votre système de dictée le permet. L'Art. 32 RGPD recommande explicitement la pseudonymisation.

7. Durées de conservation. Supprimez l'audio immédiatement après la transcription ; conservez le texte du transcript selon les obligations légales (en Allemagne, souvent 10 ans pour la documentation médicale, § 630f BGB) – stocké séparément du prestataire, dans votre propre infrastructure.

À noter : HIPAA ne s'applique qu'aux États-Unis. Si vous transcrivez des données de patients américains, il vous faut en plus un Business Associate Agreement (BAA) et une infrastructure conforme à HIPAA. La plupart des prestataires de l'UE, dont DeepScript, ne sont pas des entités couvertes par HIPAA, mais couvrent le cadre RGPD nettement plus strict.

Conseil pratique : pour les transcriptions médicales, choisissez toujours le modèle Premium – des erreurs sur les noms de médicaments ou les diagnostics peuvent avoir de graves conséquences.