Données de santé dans un formulaire : ce que « données sensibles » exige vraiment
Nul besoin d'être une clinique pour traiter des données de santé. Un champ « régime alimentaire », une question d'accessibilité, un certificat médical téléversé, une case « autre chose à nous signaler ? » — chacun peut faire basculer un formulaire ordinaire dans la catégorie des données sensibles, avec consentement explicite, analyse d'impact et une liste bien plus courte de personnes autorisées à lire. Ce qui compte réellement, ce que cela déclenche, et les champs à supprimer.
La plupart des organisations qui détiennent des données de santé ne l'avaient pas prévu. Un formulaire d'inscription à une conférence demande les régimes alimentaires et reçoit « maladie cœliaque, et je prends des immunosuppresseurs ». Un formulaire de sortie scolaire demande les médicaments. Un club sportif fait confirmer aux membres qu'ils sont aptes à concourir. Un formulaire d'intégration RH demande un contact d'urgence et « toute situation que nous devrions connaître ». Aucun n'est un cabinet médical, et chacun traite désormais des données sur la santé, avec toutes les conséquences que cela entraîne.
En bref
Selon l'art. 5 let. c nLPD, les données sur la santé sont des données personnelles sensibles, dans la même catégorie que les opinions religieuses et politiques, les données génétiques et biométriques, la sphère intime et les poursuites pénales. L'étiquette ne dépend pas de qui collecte : un club sportif et un hôpital détiennent la même catégorie. Ce que cela déclenche : une exigence renforcée pour le consentement lorsqu'il est votre base (il doit être explicite, art. 6 al. 7 let. a), un argument bien plus fort pour une analyse d'impact au sens de l'art. 22, un contrôle d'accès plus strict, et une communication à des tiers qui doit désormais se justifier séparément. La stratégie de conformité la moins chère, de très loin, est de ne pas collecter.
Cet article vise le cas non clinique : employeurs, écoles, organisateurs d'événements, associations, assureurs, studios et tous ceux qui se retrouvent avec des informations médicales parce qu'un champ semblait anodin. Si vous êtes un cabinet, le cas d'usage santé et l'angle du secret professionnel comptent davantage ; si vous menez une étude, commencez par la protection des données en recherche clinique.
Ce qui compte réellement comme donnée de santé
Plus large qu'on ne le pense. Une donnée de santé n'est pas seulement un diagnostic : c'est toute information dont on peut déduire l'état de santé physique ou psychique d'une personne — passé, présent ou futur. C'est ce test de déduction qui attrape le formulaire ordinaire, car la plupart de ces champs ne mentionnent jamais une maladie.
| Le champ anodin | Pourquoi c'est une donnée de santé | Quoi faire à la place |
|---|---|---|
| Régime alimentaire (texte libre) | « Cœliaque », « diabétique », « pauvre en sel » sont des diagnostics ; halal ou casher révèle la religion, également sensible | Proposer des options nommées — végétarien, végétalien, sans gluten, sans lactose — sans champ de justification |
| Besoins d'accessibilité | Révèle un handicap, une limitation de mobilité ou une déficience sensorielle | Demander l'aménagement nécessaire, pas la cause : « accès de plain-pied », « boucle magnétique » |
| Confirmation d'aptitude à participer | Une réponse négative est une divulgation de santé ; une réponse positive suppose une évaluation médicale | Une auto-déclaration sans champ d'explication, et un contact nommé pour en parler |
| Contact d'urgence plus « autre chose à signaler ? » | La seconde moitié est une invitation ouverte à divulguer maladies, allergies et traitements | Garder le contact, resserrer ou supprimer la case, et dire qui lit et quand c'est supprimé |
| Téléversement d'un certificat médical | Un document médical, contenant souvent bien plus que les dates d'absence nécessaires | Demander les dates et le fait de l'incapacité ; n'accepter le certificat que si une règle l'exige |
| Motif d'absence dans un formulaire de congé | Distinguer « maladie » de « vacances » est une donnée de santé sur une personne nommée | N'enregistrer que la catégorie, et la tenir hors des agendas d'équipe visibles par tous |
| Numéro d'assurance ou d'affiliation | Révèle souvent la caisse, les droits et parfois une couverture liée à une pathologie | Le collecter au moment où il sert réellement, pas au premier contact |
Le champ libre est la porte d'entrée non invitée
La voie la plus fréquente vers cette catégorie est une case que vous n'aviez pas conçue comme une question médicale. « Y a-t-il autre chose que nous devrions savoir ? » produit de manière fiable des diagnostics, des listes de médicaments et des révélations de santé mentale — de la part de personnes qui ont supposé que vous demandiez parce que vous alliez en tenir compte. Si vous gardez la case, dites en une ligne ce que vous ferez et ne ferez pas de la réponse, et traitez tout le champ comme sensible dès le départ plutôt que de trier après coup.
Ce que l'étiquette « sensible » déclenche réellement
« Sensible » ne veut pas dire interdit, et cela n'implique pas un avocat pour chaque champ « allergies ». Cela veut dire que cinq choses précises changent.
- Le consentement, lorsque vous vous y fiez, doit être explicite. L'art. 6 al. 7 let. a nLPD exige un consentement exprès pour le traitement de données sensibles lorsque le consentement est la justification. Une case pré-cochée, un accord groupé ou une mention « en envoyant ce formulaire, vous acceptez » ne suffisent pas. Notez aussi que le consentement n'est pas toujours la bonne base : pour un employeur, l'exécution du contrat et l'obligation légale font généralement plus de travail, et le consentement du personnel est de toute façon fragile.
- Une analyse d'impact devient probable. L'art. 22 nLPD l'exige lorsque le traitement présente un risque élevé, et le traitement à grande échelle de données sensibles en est le cas d'école. Un club de 40 membres n'y est pas ; une enquête bien-être auprès de 2 000 collaborateurs, si.
- La communication à des tiers exige sa propre justification, y compris aux collègues qui n'en ont pas besoin. « Tout le comité est dans la boîte partagée » est une décision de communication, que quelqu'un l'ait prise sciemment ou non.
- La sécurité doit être proportionnée au risque (art. 8) — et le risque est désormais plus élevé par définition. Contrôle d'accès, chiffrement et liste courte de lecteurs ne sont plus des options.
- Le registre des traitements prend de l'importance. Les petites entreprises peuvent en être dispensées par l'ordonnance — mais la dispense tombe en cas de traitement à grande échelle de données sensibles ou de profilage à risque élevé, comme exposé dans la checklist de conformité nLPD.
Dans le RGPD, l'équivalent est l'art. 9, qui part d'une interdiction puis énumère des exceptions — consentement explicite, droit du travail et de la sécurité sociale, intérêts vitaux, et d'autres. Si vous avez des répondants dans l'UE, menez les deux analyses ; le résultat pratique se ressemble souvent, la rédaction non.
Les règles qui se superposent selon qui vous êtes
Employeurs
L'art. 328b CO n'autorise l'employeur à traiter des données concernant un travailleur que dans la mesure où elles portent sur ses aptitudes à occuper son emploi ou sont nécessaires à l'exécution du contrat. Le PFPDT indique expressément qu'on ne peut y déroger au détriment du travailleur, même avec son consentement — ce qui élimine le raccourci le plus courant. En pratique : vous pouvez généralement consigner qu'une personne est absente et incapable de travailler ; vous ne pouvez généralement pas exiger le diagnostic. Les questionnaires de santé à l'embauche doivent rester dans les limites de ce que le poste exige réellement.
Écoles et organisations travaillant avec des mineurs
Deux choses se cumulent : la donnée est sensible et la personne est un enfant. Selon le droit civil suisse, les droits strictement personnels sont exercés par le mineur capable de discernement, ce qui signifie que les élèves plus âgés ont voix au chapitre sur leurs propres données — tandis que pour les plus jeunes ce sont généralement les parents qui décident. Les règles cantonales de protection des données scolaires ajoutent une couche, et elles diffèrent. Les listes d'allergies et de médicaments pour un camp sont légitimes et nécessaires ; la même liste circulant dans un groupe de parents ne l'est pas. Notre cas d'usage établissements scolaires détaille le flux.
Professions réglementées et leurs auxiliaires
Là où s'applique le secret professionnel de l'art. 321 CP — médecins, dentistes, pharmaciens, psychologues, et leurs auxiliaires —, c'est du droit pénal qui se superpose au droit de la protection des données, et il atteint toute personne pouvant accéder aux données dans le cadre du travail du professionnel. Cela inclut un éditeur de logiciel dont le personnel peut lire les envois. C'est la raison la plus forte, à elle seule, pour qu'un cabinet choisisse un outil où le fournisseur ne peut rien lire du tout.
Organisateurs, associations et studios
Aucune loi spéciale ne s'applique — et c'est précisément pourquoi ce groupe traite le plus de données de santé avec le moins de structure. Un marathon avec déclaration d'aptitude, un camp d'été avec listes de médicaments, un studio de tatouage avec dépistage d'infections transmissibles par le sang : tout cela est un traitement nLPD ordinaire de données sensibles, généralement sur un tableur, généralement conservé pour toujours. Voir le cas d'usage inscription à un événement pour la version qui fonctionne.
Concevoir le formulaire pour qu'il demande moins
Écrire la décision que le champ alimente
« Nous devons commander les bons repas. » « Nous devons réserver une chambre de plain-pied. » « Nous devons savoir s'il faut appeler une ambulance. » Si vous ne pouvez pas écrire la décision, supprimez le champ. La plupart des questions médicales sur des formulaires non médicaux échouent à ce test du premier coup.
Demander l'aménagement, pas la pathologie
C'est la réponse opérationnelle qui déclenche l'action. « A besoin d'une chambre au rez-de-chaussée » suffit à réserver la chambre ; le diagnostic derrière est une donnée que vous devez protéger sans bénéfice supplémentaire.
Préférer les options fermées au texte libre
Des choix nommés gardent les données structurées, comparables et supprimables. Un champ médical libre est celui que vous ne pourrez ni anonymiser plus tard ni exporter sans risque.
Séparer la partie sensible du reste
Inscription et volet médical peuvent être deux formulaires, avec deux publics et deux durées de conservation. La personne qui traite les factures n'a pas besoin de la liste des allergies.
Nommer les lecteurs avant de publier
Qui ouvre ces réponses, dans quel rôle, et que se passe-t-il en cas de changement de fonction. Pour des données de santé, la bonne liste compte généralement deux ou trois personnes — et elle doit être écrite.
Fixer la date de suppression au même moment
Des données de santé collectées pour un événement n'ont plus de finalité après l'événement. Deux semaines plus tard est une règle défendable ; « nous avons encore la liste du camp 2023 » est le résultat de n'avoir jamais décidé. Voir la conservation des données de formulaires.
Le dire clairement sur le formulaire
Quatre lignes : ce que vous demandez, pourquoi, qui lit, quand c'est supprimé. Avec des données de santé, ce n'est pas seulement un devoir au sens de l'art. 19 — cela améliore mesurablement la qualité de ce que les gens vous disent, parce qu'ils voient la limite.
Le courriel de notification annule tout
Si les nouvelles réponses sont envoyées aux organisateurs avec leur contenu, chaque allergie, chaque traitement et chaque diagnostic se retrouve en clair dans plusieurs boîtes, transféré, sur des téléphones, et sauvegardé là où ce fournisseur de messagerie sauvegarde. C'est la manière la plus courante dont des données de santé s'échappent d'un dispositif par ailleurs soigné. Passez les notifications en simple alerte sans contenu et lisez les réponses dans l'outil.
Où c'est stocké, et qui peut le lire
Dès lors que le formulaire détient des données sensibles, la question du fournisseur change de forme. Ce qui compte n'est plus « est-ce chiffré » — presque tout est chiffré en transit et au repos — mais « qui peut lire ». Sur un outil de formulaires grand public, la réponse honnête inclut le personnel du fournisseur ayant accès à la production et ses sous-traitants, parce que le fournisseur détient les clés. Pour un sondage sur le repas de midi, c'est sans importance. Pour une liste de médicaments d'enfants, c'est toute la question.
Deux propriétés méritent d'être exigées pour cette catégorie : le chiffrement de bout en bout, pour que le fournisseur ne fasse pas partie des personnes pouvant lire un envoi, et une chaîne d'hébergement et de sous-traitance que vous pouvez décrire en une phrase. Le raisonnement sur la première est dans chiffrement au repos et de bout en bout ; la seconde est traitée dans les formulaires avec serveurs en Suisse. Les téléversements méritent leur propre attention, car un certificat ou une photo transporte bien plus que ce que vous demandiez — voir les téléversements de fichiers sécurisés.
Les trois questions réellement posées
« Puis-je demander des informations de santé dans une enquête ? »
Oui, à deux conditions faciles à énoncer et souvent oubliées. Ce doit être nécessaire à une finalité que vous pouvez nommer, et si l'enquête se veut anonyme, des réponses de santé combinées à une ventilation démographique réidentifient les personnes plus vite que prévu dans une petite population. Les questions sur le stress, l'épuisement, le burnout et le sommeil sont des données de santé — c'est pourquoi une enquête bien-être est un traitement de données sensibles, pas une prise de température. L'arithmétique des seuils est dans les sondages anonymes de collaborateurs.
« Comment gérer des informations de santé une fois que je les ai ? »
Raccourcissez la liste des lecteurs, raccourcissez la durée de conservation, et cessez de faire des copies. Par ordre décroissant d'impact réel : coupez les notifications contenant les réponses, tenez-les hors des disques partagés et des boîtes collectives, donnez l'accès par rôle plutôt que par confiance, supprimez selon un calendrier annoncé, et assurez-vous que les exports relèvent de la même règle que l'original. Le chiffrement compte, mais il occupe la cinquième place de cette liste pour la plupart des organisations.
« Est-il sûr de recevoir des demandes de rendez-vous par formulaire ? »
Oui, et c'est généralement plus sûr que les solutions de repli habituelles — un courriel non chiffré, une transcription de messagerie vocale, une note à la réception. Les conditions : le formulaire demande le minimum nécessaire, le contenu n'est pas recopié dans une boîte de réception, et le fournisseur ne peut pas lire si vous êtes soumis au secret professionnel. Une demande disant « mardi matin, patiente existante, numéro de rappel » est un message de planification ; une demande disant « mardi matin, douleurs thoraciques depuis vendredi » est un dossier médical, et la différence tient à la formulation du champ.
L'essentiel
Les données de santé n'arrivent pas étiquetées. Elles arrivent par un champ de régime alimentaire, une case d'accessibilité, un certificat téléversé et une question ouverte bien intentionnée — et une fois dans votre système, les règles se moquent que vous soyez un club, une école ou un organisateur de congrès plutôt qu'une clinique. Consentement explicite là où il fonde le traitement, analyse d'impact quand l'échelle est réelle, sécurité proportionnée, liste courte de lecteurs et date de suppression.
La bonne nouvelle : le contrôle le plus puissant est aussi le moins cher et ne demande aucune technologie — demandez l'aménagement plutôt que la pathologie. Les données que vous n'avez jamais collectées ne peuvent pas fuir, être réquisitionnées, être mal partagées, ni être oubliées dans un tableur dans trois ans.
Quand le détail médical est réellement nécessaire — camps, événements, traitements, admissions —, Schweizerform chiffre les réponses dans le navigateur du répondant : les lecteurs sont vous et les personnes avec qui vous partagez la clé du coffre, et personne chez le fournisseur. L'hébergement est en Suisse sur tous les plans. À lire également : formulaires de santé, inscription à un événement avec besoins médicaux ou d'accessibilité et créer un formulaire en ligne sûr.
Avertissement : cet article est une information générale et un contenu marketing, non un conseil juridique. Les références à la nLPD (art. 5 let. c, 6, 8, 19, 22), à l'ordonnance sur la protection des données, aux art. 328b CO et 321 CP, au droit civil suisse relatif aux mineurs et à l'art. 9 RGPD sont des résumés simplifiés reflétant l'état de la situation en juillet 2026. Les règles cantonales pour les écoles et les organes publics, ainsi que des obligations sectorielles, peuvent exiger davantage — faites examiner par un conseil qualifié les formulaires traitant des données de santé.