DPO externalisé santé et santé numérique
AUMANS AVOCATS intervient comme DPO externalisé auprès des entreprises de la HealthTech, de la MedTech et de la santé numérique, en associant expertise en matière de protection des données, connaissance des réglementations de santé et compréhension des enjeux propres au développement de solutions innovantes.
Les entreprises innovantes en santé évoluent dans un environnement particulièrement complexe. Le développement d’un dispositif médical connecté, d’un logiciel médical, d’une plateforme numérique ou d’une solution utilisant l’intelligence artificielle peut impliquer le traitement de volumes importants de données de santé, tout en étant soumis à plusieurs réglementations européennes et nationales.
Dans cet environnement, le DPO ne peut se limiter au contrôle formel de la conformité au RGPD. Il doit comprendre les technologies développées, les données utilisées, les relations avec les professionnels et établissements de santé, les processus de recherche et d’évaluation clinique ainsi que les différentes étapes du développement et du déploiement du produit.
AUMANS AVOCATS accompagne ainsi les équipes juridiques, Data, IT, sécurité, médicales, cliniques et réglementaires afin d’intégrer la protection des données dans les choix structurants de l’entreprise.
Membre de France Biotech, AUMANS AVOCATS s’inscrit dans l’écosystème français de l’innovation en santé et accompagne les acteurs de la HealthTech et de la MedTech dans leurs projets de développement en France et en Europe.
Un DPO spécialisé dans l’environnement HealthTech et MedTech
La fonction de DPO prend une dimension particulière lorsque l’activité de l’entreprise repose sur le traitement de données de santé ou sur le développement de technologies destinées aux patients et aux professionnels de santé.
Le cabinet intervient notamment auprès d’acteurs développant :
des dispositifs médicaux et dispositifs médicaux numériques ;
des logiciels à finalité médicale ;
des dispositifs médicaux connectés ;
des solutions de télésurveillance ou de suivi des patients ;
des applications et plateformes de santé numérique ;
des outils d’aide au diagnostic ou à la décision clinique ;
des solutions intégrant des systèmes d’intelligence artificielle ;
des plateformes permettant la collecte ou l’analyse de données de santé ;
des solutions destinées à la recherche clinique ou à l’exploitation de données de vie réelle.
Cette spécialisation permet au DPO d’intégrer la protection des données directement dans le cycle de développement du produit, plutôt que de l’aborder uniquement au moment de sa mise sur le marché ou de son déploiement.
Intégrer la protection des données dès la conception du produit
Pour une HealthTech ou une MedTech, les choix réalisés lors de la conception d’un produit peuvent déterminer une part importante de sa conformité future.
L’architecture des données, leur localisation, les catégories d’informations collectées, les durées de conservation, les fonctionnalités proposées aux utilisateurs ou encore les relations avec les fournisseurs technologiques doivent être analysées suffisamment tôt.
Dans le cadre de sa mission de DPO externalisé, AUMANS AVOCATS accompagne notamment ses clients pour :
cartographier les traitements de données liés aux produits et services ;
identifier les finalités et bases juridiques des traitements ;
qualifier les données utilisées et notamment les données de santé ;
intégrer les principes de privacy by design et privacy by default ;
réaliser et mettre à jour les analyses d’impact relatives à la protection des données (AIPD/PIA) ;
définir les durées de conservation ;
organiser l’information des patients, utilisateurs et professionnels de santé ;
définir les modalités d’exercice des droits ;
analyser les flux de données et leur localisation ;
sécuriser les relations avec les fournisseurs et sous-traitants ;
encadrer les transferts internationaux de données.
L’objectif est d’intégrer la conformité au processus de développement afin qu’elle accompagne l’innovation plutôt que d’intervenir comme une contrainte supplémentaire à la fin du projet.
Dispositifs médicaux, logiciels et données personnelles
Lorsqu’un produit constitue un dispositif médical ou un dispositif médical de diagnostic in vitro, les exigences relatives à la protection des données doivent être articulées avec le cadre réglementaire applicable au produit.
Le cabinet accompagne les fabricants et éditeurs dans l’analyse des interactions entre le RGPD et, selon les projets, le règlement relatif aux dispositifs médicaux (MDR), le règlement relatif aux dispositifs médicaux de diagnostic in vitro (IVDR), les exigences applicables à la cybersécurité, à l’hébergement et à l’interopérabilité des données de santé.
Le DPO intervient notamment sur :
les traitements réalisés par le dispositif ou le logiciel ;
les données collectées auprès des patients et professionnels de santé ;
les fonctionnalités de télésurveillance et de suivi ;
les données produites lors de l’utilisation du produit ;
les conditions d’accès aux données par le fabricant, les professionnels de santé ou les partenaires ;
la réutilisation des données à des fins de recherche ou d’amélioration du produit ;
les relations avec les établissements de santé utilisant la solution ;
les contrats avec les hébergeurs, fournisseurs de cloud et autres prestataires techniques.
Recherche, évaluation clinique et données de vie réelle
Le développement et l’évaluation des produits de santé impliquent fréquemment la réalisation de recherches, d’investigations cliniques ou d’études utilisant des données de santé.
Le cabinet accompagne ses clients dans la définition du cadre applicable à ces traitements et dans leur mise en conformité avec le RGPD, la loi Informatique et Libertés et les méthodologies de référence de la CNIL.
Les prestations du cabinet peuvent notamment concerner :
les investigations cliniques de dispositifs médicaux ;
les études de performances de dispositifs médicaux de diagnostic in vitro ;
les recherches impliquant ou n’impliquant pas la personne humaine ;
les études rétrospectives ;
les études réalisées à partir de données de vie réelle ;
la réutilisation de données issues du soin ;
les études utilisant des données provenant d’entrepôts de données de santé ;
l’accès à des bases de données ou au SNDS ;
Le DPO peut ainsi accompagner les équipes cliniques et réglementaires depuis la conception du protocole jusqu’à la mise en œuvre opérationnelle du traitement et au suivi de la recherche.
Intelligence artificielle & données de santé
Lorsque le développement, l’entraînement, la validation ou l’utilisation d’un système d’IA implique des données personnelles, le DPO doit être associé suffisamment tôt au projet.
AUMANS AVOCATS accompagne ses clients notamment sur :la détermination des bases juridiques permettant l’utilisation des données ;
la réutilisation de données de santé existantes ;
l’anonymisation et la pseudonymisation ;
la réalisation des AIPD ;
l’information des personnes concernées ;
la transparence relative aux traitements ;
la gouvernance et la qualité des données ;
les relations avec les fournisseurs de modèles, solutions ou infrastructures d’IA ;
l’articulation entre les exigences du RGPD, de l’AI Act et les réglementations sectorielles applicables.
Entrepôts de données de santé et valorisation des données
Les HealthTech et MedTech peuvent être amenées à constituer ou utiliser des entrepôts de données de santé afin de développer leurs produits, conduire des recherches ou évaluer leurs solutions.
AUMANS AVOCATS accompagne ses clients dans :
la qualification du projet d’entrepôt ;
l’analyse de sa conformité au référentiel de la CNIL ;
la préparation des formalités nécessaires ;
la définition de la gouvernance de l’entrepôt ;
l’information des personnes ;
la définition des procédures d’accès aux données ;
l’encadrement des recherches et réutilisations ultérieures ;
la rédaction des accords d’accès et de partage de données ;
l’anticipation des évolutions liées à l’Espace européen des données de santé (EHDS).
Un DPO intégré aux équipes et aux projets
Le DPO externalisé doit pouvoir intervenir au plus près des équipes qui conçoivent et déploient les produits.
AUMANS AVOCATS accompagne les directions générales, juridiques et réglementaires, mais également les équipes Data, IT, cybersécurité, R&D, médicales et cliniques.
Le cabinet intervient notamment pour :
assurer les missions du DPO prévues par le RGPD ;
tenir et faire évoluer le registre des traitements ;
participer aux comités projets et comités de gouvernance ;
valider les nouveaux traitements et nouveaux produits ;
réaliser ou revoir les AIPD ;
élaborer les politiques et procédures internes ;
former et sensibiliser les équipes ;
accompagner la sélection et le suivi des sous-traitants ;
répondre aux questionnaires de conformité des clients et partenaires ;
préparer les audits de partenaires, investisseurs ou établissements de santé ;
accompagner les relations avec la CNIL et les autres autorités de protection des données.
Violations de données, cybersécurité et gestion de crise
Le cabinet accompagne ses clients dans la gestion des incidents et violations de données, en coordination avec les équipes IT, cybersécurité et les prestataires techniques.
Cette intervention comprend notamment :
la qualification de l’incident ;
l’analyse des risques pour les personnes ;
la documentation de la violation ;
l’analyse des obligations contractuelles vis-à-vis des clients et partenaires ;
la notification à la CNIL ou aux autorités compétentes lorsque celle-ci est requise ;
l’information des personnes concernées lorsque cela est nécessaire ;
la coordination avec les établissements de santé et partenaires concernés ;
l’accompagnement du retour d’expérience et des mesures correctives.
AUMANS AVOCATS conçoit la mission de DPO externalisé comme un accompagnement juridique et stratégique intégré au développement de l’entreprise.
Notre connaissance des données de santé, de la recherche clinique, des dispositifs médicaux, de l’intelligence artificielle et des environnements numériques permet d’appréhender les problématiques de protection des données dans leur contexte technologique et réglementaire.
Cette approche permet aux HealthTech et MedTech de disposer d’un DPO spécialisé dans leur secteur, capable de dialoguer avec leurs équipes et d’accompagner leurs projets depuis leur conception jusqu’à leur déploiement en France et en Europe.
Pour suivre toute l’actualité du Cabinet sur le DPO…
Rôle des DPO au sein des institutions de l’Union européenne : cartographie des obligations et état des lieux
1. Les lignes directrices de l’EDPS sur le rôle des DPO ? Le Contrôleur européen de la protection des données (EDPS) a publié le 18 décembre
Cartographier les traitements de données personnelles : méthode, enjeux et rôle du DPO
La conformité au RGPD repose sur une connaissance fine des traitements de données au sein de l’organisation. Or, cette connaissance ne peut être improvisée :
Rôle du DPO et gouvernance des données : comment collaborer efficacement avec les équipes ?
La mise en conformité au RGPD ne peut se limiter à une démarche formelle ou documentaire. Elle suppose la construction d’un véritable cadre de gouvernance,
Pour suivre toute l’actualité du Cabinet en droit des Sciences de la vie…
Recherche en santé et nouvelles méthodologies de référence MR-001 et MR-003 de la CNIL : quels changements pour les professionnels et quelles préconisations ?
Par quatre délibérations en date du 19 mars 2026, la Commission nationale de l’informatique et des libertés (CNIL) a actualisé ses « méthodologies de référence » MR-001
Biotech Act : quels enjeux juridiques pour les biotechnologies, les données de santé et les essais cliniques en Europe ?
Le futur Biotech Act européen constitue une évolution majeure du cadre réglementaire des biotechnologies en Europe. Lors de son intervention dans l’émission Lex Inside (B
Utilisation d’un SIA dans le cadre du soin : comment assurer ses multiples obligations d’information ?
Les professionnels de santé ont de plus en plus recours à des systèmes d’intelligence artificielle (ci-après, les « SIA ») dans le cadre de leurs pratiques et