Les dossiers médicaux se situent à l'intersection de deux obligations légales qui peuvent tirer dans des directions opposées. Le Règlement général sur la protection des données (RGPD) accorde aux patients des droits significatifs sur leurs données personnelles, notamment le droit de faire corriger les informations inexactes et, dans certaines circonstances, de les faire supprimer. Parallèlement, les cadres professionnels et réglementaires exigent des cliniciens qu'ils maintiennent une documentation médicale complète, exacte et non altérée des soins. Pour les administrateurs cliniques chargés de traiter ces demandes au quotidien, comprendre exactement où ces obligations commencent, se terminent et se chevauchent n'est pas optionnel. C'est une exigence fondamentale de la conformité RGPD dans le secteur de la santé.

Les deux droits RGPD qui comptent ici : rectification et effacement

Deux articles du RGPD sont directement pertinents lorsqu'un patient conteste le contenu de son dossier médical.

L'article 16, le droit à la rectification, donne aux individus le droit de faire corriger sans délai excessif les données personnelles inexactes et de faire compléter les données personnelles incomplètes. Comme le confirme la Commission irlandaise de protection des données, ce droit s'applique de manière relativement simple aux données personnelles factuelles, telles qu'une date de naissance erronée, une adresse incorrecte ou un nom mal orthographié. Il devient considérablement plus complexe lorsque les données en question sont une opinion clinique, un diagnostic ou une note de traitement.

L'article 17, le droit à l'effacement (également appelé droit à l'oubli), donne aux individus le droit de demander la suppression de leurs données personnelles dans des circonstances spécifiques : lorsque les données ne sont plus nécessaires aux fins pour lesquelles elles ont été collectées, lorsque le consentement a été retiré, ou lorsque les données ont été traitées de manière illicite. Comme le précise le guide de l'Information Commissioner's Office (ICO) sur le droit à l'effacement, ce droit n'est pas absolu. Il s'applique uniquement aux données personnelles actuellement détenues par le responsable du traitement au moment où la demande est reçue.

Les deux droits peuvent être invoqués par toute personne concernée identifiée, dans ce contexte le patient dont le dossier est détenu. Les deux comportent un délai de réponse d'un mois civil. Aucun des deux ne fonctionne sans réserve importante dans un contexte de soins de santé.

Lorsqu'un patient demande une correction : ce que le RGPD vous oblige réellement à faire

Lorsqu'un patient soumet une demande de rectification, l'article 16 exige que le responsable du traitement, généralement l'organisation de soins, évalue si les données en question sont véritablement inexactes ou incomplètes. Il doit agir en conséquence dans un délai d'un mois.

Pour les erreurs factuelles simples telles qu'un numéro NHS erroné ou une date de naissance incorrecte, c'est relativement simple. L'entrée est corrigée, le changement est enregistré et le patient est notifié. La complexité survient avec les entrées cliniques, notamment les diagnostics, les observations, les évaluations de risque et les décisions de médication, où le concept d'inexactitude n'est pas évident.

L'ICO aborde ce point directement. Son guide sur la rectification indique que si un patient reçoit un diagnostic qui s'avère ultérieurement erroné, son dossier médical doit enregistrer à la fois le diagnostic initial et les conclusions finales. L'entrée originale n'est pas effacée. Elle est contextualisée. Cela reflète un principe fondamental de la documentation médicale : le dossier existe pour montrer ce qui était connu et décidé à un moment donné, pas seulement ce qui est actuellement compris comme étant vrai.

La correction dans un contexte de dossier médical signifie presque toujours un addendum ou une annotation, non une réécriture. Le commentaire GDPR-Hub sur l'article 16 confirme que la rectification peut être réalisée en modifiant les données, par suppression partielle ou complète, ou par complément. Dans certaines situations, la personne concernée peut choisir entre demander une rectification ou un effacement. En pratique, pour les dossiers médicaux, le complément via une déclaration supplémentaire est l'approche la plus courante et la plus défendable juridiquement.

Lorsqu'un patient demande une suppression : les limites de l'article 17 dans le secteur de la santé

Le droit à l'effacement est la demande que les administrateurs cliniques sont les plus susceptibles de mal gérer, soit en la traitant comme automatiquement valide, soit en la refusant sans évaluation appropriée. Aucune de ces approches n'est conforme.

Le texte complet de l'article 17(3) énonce plusieurs exemptions directement pertinentes pour les dossiers médicaux. L'effacement ne s'applique pas lorsque la conservation est nécessaire :

• Pour le respect d'une obligation légale en vertu du droit de l'Union ou du droit d'un État membre

• Pour des motifs d'intérêt public dans le domaine de la santé publique en vertu de l'article 9(2)(h) et (i)

• À des fins d'archivage dans l'intérêt public, ou à des fins de recherche scientifique ou historique

• Pour la constatation, l'exercice ou la défense de droits en justice

En pratique, la plupart des dossiers médicaux relèvent d'au moins une de ces exemptions. La législation nationale dans les États membres de l'Union européenne et au Royaume-Uni impose des périodes minimales de conservation statutaires pour les dossiers médicaux, généralement entre huit et trente ans selon le type de dossier et la juridiction. Cela constitue une obligation légale en vertu de l'article 17(3)(a). Le guide du délégué à la protection des données de Secure Privacy pour le secteur de la santé confirme que lorsqu'une obligation de conservation statutaire s'applique, les demandes d'effacement peuvent être légalement refusées.

L'action d'application coordonnée 2025 du Comité européen de la protection des données (CEPD) a analysé les réponses de 764 responsables du traitement à travers l'Europe. Elle a constaté que les responsables du traitement appliquaient fréquemment de manière erronée les exemptions de l'article 17(3) en les traitant comme automatiquement applicables sans effectuer d'évaluations au cas par cas. Neuf autorités de protection des données ont lancé des enquêtes d'application formelles en conséquence. La leçon pour les administrateurs cliniques est claire : refuser une demande d'effacement nécessite un raisonnement documenté, non une politique générale.

Même lorsqu'une demande de suppression est légalement refusée, l'organisation doit toujours répondre au patient dans un délai d'un mois, expliquer les motifs du refus et l'informer de son droit de déposer plainte auprès de l'autorité de contrôle compétente.

L'exigence de piste d'audit : ce qui doit être enregistré lorsqu'un dossier est modifié

Chaque fois qu'une entrée de dossier médical est corrigée, annotée ou signalée comme contestée, l'organisation doit maintenir une piste d'audit complète. Il s'agit à la fois d'une exigence de responsabilité RGPD et d'une nécessité médico-légale.

Une piste d'audit conforme pour une modification de dossier doit capturer :

• L'identité de la personne qui a effectué la modification

• La date et l'heure de la modification

• La raison de la modification

• Le contenu de l'entrée originale, conservé intégralement

• La nature de la modification (addendum, correction ou signalement de contestation)

La politique d'accès aux dossiers des cabinets de médecins généralistes alignée sur les directives du NHS indique explicitement : « Les informations peuvent être retirées de l'affichage, mais la piste d'audit conservera toujours le dossier complet. Des modifications aux dossiers peuvent être apportées à condition que les modifications soient effectuées d'une manière qui indique pourquoi l'altération a été faite, de sorte qu'il soit clair que les dossiers n'ont pas été falsifiés. »

Réécrire ou supprimer les entrées originales sans trace est l'un des manquements à la conformité les plus graves qu'un administrateur clinique puisse commettre. Cela crée simultanément un risque RGPD (manquement à la responsabilité en vertu de l'article 5(2)) et un risque médico-légal (preuve potentielle de falsification de dossier dans une enquête pour négligence clinique ou réglementaire). Les pistes d'audit doivent être inviolables et doivent capturer des détails granulaires pour chaque interaction, notamment l'identité de l'utilisateur, l'horodatage, l'adresse IP, l'identifiant de l'appareil, la classification des données et l'action effectuée, comme l'exigent les principes de responsabilité du RGPD et les directives du NHS sur la gestion des dossiers médicaux.

Comment les normes professionnelles et les organismes de réglementation interagissent avec les obligations RGPD

Le RGPD établit un plancher, pas un plafond. Les conseils médicaux nationaux, les régulateurs professionnels et les organismes du système de santé ajoutent des obligations supplémentaires. Dans la plupart des cas, celles-ci renforcent plutôt qu'elles ne contredisent l'approche RGPD de l'intégrité des dossiers.

Au Royaume-Uni, le General Medical Council (GMC) et le Nursing and Midwifery Council (NMC) exigent tous deux que les cliniciens tiennent des dossiers clairs, précis et contemporains. Les directives du NHS sur la gestion des dossiers spécifient des calendriers de conservation qui déterminent la période minimale pendant laquelle différents types de dossiers doivent être conservés. Ces obligations interagissent directement avec l'article 17(3)(a) : lorsqu'une exigence de conservation statutaire ou réglementaire existe, elle fournit la base juridique pour refuser une demande d'effacement.

Dans les États membres de l'UE, le tableau est similaire mais variable. Les cadres législatifs nationaux en Suède, au Royaume-Uni et en Allemagne reflètent largement le RGPD tout en offrant différents mécanismes supplémentaires pour gérer les erreurs dans les systèmes de dossiers médicaux. Le prochain Espace européen des données de santé (EHDS) devrait positionner le processus de rectification au sein des services de santé numériques, permettant potentiellement la contribution des patients dans le système, bien que cela reste prospectif au moment de la rédaction.

Les administrateurs cliniques opérant au-delà des frontières, ou dans des organisations soumises à la fois au RGPD britannique et au RGPD de l'UE, doivent être conscients que les règles des États membres peuvent être plus strictes que la base RGPD. Ils devraient demander des conseils juridiques spécifiques à la juridiction lorsque le cadre applicable n'est pas clair.

Le processus correct pour traiter une demande de rectification étape par étape

Le flux de travail suivant reflète les exigences des articles 16 et 19 du RGPD, le délai de réponse d'un mois et les meilleures pratiques de gestion des dossiers médicaux.

Étape 1 : Recevoir et enregistrer la demande. Enregistrez la date de réception. Le délai d'un mois commence immédiatement, quelle que soit la manière dont la demande a été soumise (lettre, e-mail, formulaire en ligne ou demande verbale suivie d'une confirmation écrite).

Étape 2 : Vérifier l'identité du patient. Ne traitez pas la demande tant que l'identité n'est pas confirmée. Cela protège contre les modifications non autorisées de dossiers de tiers.

Étape 3 : Identifier les données spécifiques en question. Demandez au patient de spécifier précisément quelle(s) entrée(s) il considère comme inexacte(s) ou incomplète(s), et quelle correction il demande.

Étape 4 : Consulter le clinicien responsable. La politique de dossiers alignée sur le NHS est claire : « Lorsque le litige concerne une entrée médicale, le clinicien qui a fait l'entrée doit être consulté et il convient d'examiner s'il est approprié de la modifier. » Cette étape n'est pas optionnelle.

Étape 5 : Déterminer l'action appropriée. Sur la base de l'évaluation du clinicien et de la nature des données :

• Si l'entrée contient une erreur factuelle évidente (mauvaise date, mauvais nom) : corrigez-la et conservez l'original dans la piste d'audit

• Si l'entrée est une opinion clinique que le clinicien maintient : ajoutez une note supplémentaire enregistrant la contestation du patient sans modifier l'original

• Si l'entrée est véritablement incomplète : ajoutez une déclaration de complément

Étape 6 : Mettre à jour le dossier de manière conforme. Conservez l'entrée originale, datez et attribuez clairement la modification, et documentez la raison de la modification.

Étape 7 : Notifier le patient du résultat. Répondez dans un délai d'un mois civil à compter de la demande originale. Si la demande est refusée en totalité ou en partie, expliquez les motifs et informez le patient de son droit de déposer plainte auprès de l'autorité de contrôle.

Étape 8 : Documenter le processus décisionnel. Enregistrez ce qui a été considéré, qui a été consulté, quelle décision a été prise et pourquoi. Cette documentation est la preuve de conformité de l'organisation si la décision est ultérieurement contestée.

Que faire lorsque vous n'êtes pas d'accord avec la version des événements du patient

Un patient peut affirmer qu'une entrée clinique est inexacte alors que le clinicien qui a fait l'entrée maintient son exactitude. Il s'agit de l'un des scénarios les plus courants et les plus mal compris dans la gestion des dossiers médicaux.

Le RGPD n'exige pas que les prestataires de soins de santé acceptent la version préférée des événements d'un patient comme un fait. Le guide de la Commission irlandaise de protection des données est explicite sur le fait que ni le droit à la rectification ni le droit à l'effacement ne s'appliquent facilement aux opinions médicales, aux diagnostics et aux notes de traitement clinique, précisément parce que ceux-ci représentent des jugements professionnels plutôt que des faits objectifs.

La réponse conforme au RGPD dans un scénario d'entrée clinique contestée est d'ajouter une note au dossier indiquant que le patient conteste l'entrée, tout en laissant la documentation originale du clinicien intacte. Cette approche :

• Préserve l'intégrité du dossier médical original

• Reconnaît le droit du patient à ce que son point de vue soit enregistré

• Crée une piste d'audit transparente montrant que le litige a été traité

• N'exige pas que l'organisation arbitre entre des versions concurrentes

Le délai de réponse d'un mois s'applique toujours. Le patient doit être informé du résultat, y compris du fait que l'entrée originale a été conservée, et de son droit d'escalader vers l'autorité de contrôle s'il reste insatisfait.

Notifications aux tiers : devez-vous informer quelqu'un d'autre de la modification

L'article 19 du RGPD exige que les responsables du traitement notifient tout tiers à qui les données ont été divulguées d'une rectification ou d'un effacement, sauf si cela est impossible ou implique des efforts disproportionnés. Lorsqu'une notification à un tiers a eu lieu, le responsable du traitement doit également informer la personne concernée de ces destinataires si elle le demande.

Dans un contexte clinique, cette obligation a des implications opérationnelles directes. Si le dossier d'un patient a été modifié et que ce dossier a été précédemment partagé avec un prestataire de soins secondaires suite à une orientation, un spécialiste qui a reçu une lettre d'adressage, un assureur ou un employeur (lorsque le patient a consenti à la divulgation), ou une équipe de soins sociaux, alors chacun de ces destinataires devrait en principe être notifié de la modification. En pratique, cela exige que les administrateurs cliniques maintiennent des dossiers clairs de qui a reçu quelles informations et quand.

L'exception des efforts disproportionnés offre un certain soulagement lorsque la notification est véritablement impraticable, par exemple lorsque les données ont été partagées il y a de nombreuses années avec plusieurs parties et que les coordonnées ne sont plus disponibles. Cette exception nécessite une justification documentée. Elle ne peut pas être invoquée par défaut.

Erreurs courantes que commettent les administrateurs cliniques lors du traitement de ces demandes

Les conclusions d'application du CEPD de 2025 ont identifié des défaillances systématiques chez les responsables du traitement dans la manière dont les droits à l'effacement sont traités. Dans un contexte de dossiers médicaux, les manquements à la conformité les plus fréquents incluent :

• Manquer le délai d'un mois. Le délai commence à la date de réception, non à la date à laquelle la demande est formellement enregistrée ou attribuée. Les retards dans l'acheminement interne ne sont pas une raison valable pour une réponse tardive.

• Réécrire les entrées originales. Remplacer une entrée originale sans la conserver dans une piste d'audit est à la fois un manquement à la responsabilité RGPD et une responsabilité médico-légale potentielle.

• Ne pas documenter le processus décisionnel. Décider de ne pas modifier un dossier, ou décider d'ajouter un addendum plutôt qu'une correction, nécessite un raisonnement documenté. Une décision non documentée est une décision indéfendable.

• Traiter toutes les demandes de suppression comme automatiquement valides. Accepter les demandes d'effacement sans évaluer si une exemption s'applique, en particulier l'exemption de conservation statutaire, expose l'organisation au risque de détruire des dossiers qu'elle est légalement tenue de conserver.

• Traiter toutes les demandes de suppression comme automatiquement invalides. Le CEPD a identifié le refus réflexe de toutes les demandes d'effacement sans évaluation au cas par cas comme un manquement courant et sanctionnable.

• Ne pas escalader vers le délégué à la protection des données (DPO). Les demandes complexes, les litiges impliquant des données sensibles ou les cas où la base juridique de conservation est véritablement incertaine devraient être transmis au DPO plutôt que d'être résolus au niveau administratif.

Quand escalader : votre DPO, votre équipe juridique et votre régulateur

Toutes les demandes de rectification ou d'effacement ne peuvent ou ne doivent pas être résolues au niveau de l'administration clinique. Les scénarios suivants justifient une escalade vers le DPO, l'équipe juridique ou, dans certains cas, l'autorité de contrôle :

• Demandes impliquant des mineurs. L'interaction entre les droits parentaux, la compétence Gillick (dans les juridictions britanniques) et les propres droits de l'enfant en matière de données nécessite un apport juridique.

• Dossiers partagés au-delà des frontières nationales. Lorsque les données ont été transférées à des sous-traitants ou à des destinataires dans d'autres juridictions, les règles de conservation et de suppression applicables peuvent différer.

• Incertitude réelle quant à la base juridique de conservation. S'il n'est pas clair si une obligation de conservation statutaire s'applique, ou si une exemption d'intérêt public est engagée, il s'agit d'une question juridique, non administrative.

• Demandes qui semblent liées à une réclamation juridique potentielle. Lorsqu'il y a une indication que le patient envisage ou a initié une procédure judiciaire, le dossier a une valeur probante potentielle et toute modification nécessite un avis juridique.

• Litiges répétés ou croissants. Si un patient s'est déjà plaint auprès de l'autorité de contrôle, ou a indiqué qu'il avait l'intention de le faire, le DPO doit être impliqué.

En vertu de l'article 37 du RGPD, la plupart des organisations de soins de santé de l'UE traitant des données de santé à grande échelle sont tenues de désigner un délégué à la protection des données. Le guide de Secure Privacy pour le secteur de la santé confirme que des processus doivent être en place pour que les patients puissent exercer tous leurs droits en tant que personnes concernées. Le rôle du DPO comprend le conseil sur les demandes qui entrent en conflit avec les obligations statutaires. Les administrateurs cliniques doivent savoir qui est leur DPO, comment le contacter et quel seuil déclenche une référence, avant qu'une demande complexe n'arrive.

Questions fréquemment posées

▶ Les patients ont-ils le droit de corriger leurs dossiers médicaux en vertu du RGPD

Oui, mais avec des limites importantes. L'article 16 du Règlement général sur la protection des données donne aux patients le droit de faire corriger les données personnelles inexactes. Pour les erreurs factuelles simples (une date de naissance erronée ou un nom mal orthographié), la correction est relativement simple. Pour les entrées cliniques telles que les diagnostics, les évaluations de risque ou les notes de traitement, le concept d'inexactitude est plus complexe. Le jugement professionnel d'un clinicien n'est pas la même chose qu'un fait objectif. La Commission irlandaise de protection des données confirme que le droit à la rectification ne s'applique pas facilement aux opinions médicales et aux notes de traitement clinique.

▶ Un patient peut-il demander la suppression de ses dossiers médicaux en vertu du RGPD

Les patients peuvent soumettre une demande de suppression en vertu de l'article 17 du RGPD, mais ce droit n'est pas absolu dans un contexte de soins de santé. La plupart des dossiers médicaux relèvent d'au moins une des exemptions de l'article 17(3), notamment le respect d'une obligation légale, l'intérêt public en matière de santé publique ou la constatation ou la défense de droits en justice. La législation nationale dans les États membres de l'UE et au Royaume-Uni établit des périodes minimales de conservation statutaires pour les dossiers médicaux, généralement entre huit et trente ans. Cela constitue une obligation légale qui permet aux organisations de refuser légalement les demandes d'effacement. Le refus nécessite un raisonnement documenté au cas par cas, non une politique générale.

▶ Quelle est la manière correcte de modifier un dossier médical lorsqu'un patient conteste une entrée

L'approche correcte consiste à ajouter un addendum ou une annotation au dossier, non à réécrire ou supprimer l'entrée originale. Si un patient conteste une opinion clinique que le clinicien responsable maintient, une note supplémentaire doit être ajoutée enregistrant la contestation du patient, tout en laissant la documentation originale intacte. Si l'entrée contient une véritable erreur factuelle, elle doit être corrigée avec l'original conservé dans la piste d'audit. L'Information Commissioner's Office confirme que lorsqu'un diagnostic s'avère ultérieurement incorrect, le dossier doit montrer à la fois le diagnostic initial et les conclusions finales.

▶ Que doit inclure une piste d'audit lorsqu'un dossier médical est modifié

Une piste d'audit conforme doit capturer l'identité de la personne qui a effectué la modification, la date et l'heure de la modification, la raison de la modification, le contenu complet de l'entrée originale et la nature de la modification. Les directives du NHS sont explicites : les informations peuvent être retirées de l'affichage, mais la piste d'audit doit toujours conserver le dossier complet. Réécrire les entrées originales sans trace crée à la fois un manquement à la responsabilité RGPD en vertu de l'article 5(2) et un risque médico-légal, y compris une preuve potentielle de falsification de dossier dans une enquête pour négligence clinique.

▶ Combien de temps une organisation de soins de santé a-t-elle pour répondre à une demande de rectification ou d'effacement

Le droit à la rectification en vertu de l'article 16 et le droit à l'effacement en vertu de l'article 17 comportent tous deux un délai de réponse d'un mois civil. Le délai commence à la date de réception de la demande, non à la date à laquelle elle est formellement enregistrée ou attribuée en interne. Si la demande est refusée en totalité ou en partie, l'organisation doit toujours répondre dans ce délai d'un mois, expliquer les motifs du refus et informer le patient de son droit de déposer plainte auprès de l'autorité de contrôle compétente.

▶ Le RGPD exige-t-il que les prestataires de soins de santé acceptent la version des événements d'un patient comme un fait

Non. Le RGPD n'exige pas que les prestataires de soins de santé acceptent la version préférée des événements d'un patient comme un fait. La Commission irlandaise de protection des données est explicite sur le fait que le droit à la rectification ne s'applique pas facilement aux opinions médicales, aux diagnostics et aux notes de traitement clinique, car ceux-ci représentent des jugements professionnels plutôt que des faits objectifs. Lorsqu'un clinicien maintient son entrée originale, la réponse conforme au RGPD consiste à ajouter une note enregistrant que le patient conteste l'entrée, tout en laissant la documentation originale intacte. Le patient doit ensuite être informé du résultat et de son droit d'escalader vers l'autorité de contrôle.

▶ La modification d'un dossier médical déclenche-t-elle une obligation de notifier les tiers

Oui. L'article 19 du RGPD exige que les responsables du traitement notifient tout tiers à qui les données ont été divulguées d'une rectification ou d'un effacement, sauf si cela est impossible ou implique des efforts disproportionnés. Dans un contexte clinique, cela peut inclure les prestataires de soins secondaires qui ont reçu une orientation, les spécialistes qui ont reçu une lettre d'adressage ou les équipes de soins sociaux. Les administrateurs cliniques doivent maintenir des dossiers clairs de qui a reçu quelles informations et quand. L'exception des efforts disproportionnés peut s'appliquer lorsque la notification est véritablement impraticable, mais elle nécessite une justification documentée et ne peut pas être utilisée par défaut.

▶ Quelles sont les erreurs les plus courantes lors du traitement des demandes de rectification et d'effacement des patients

Les conclusions d'application coordonnée du Comité européen de la protection des données de 2025 ont identifié plusieurs défaillances récurrentes. Celles-ci incluent le non-respect du délai de réponse d'un mois, la réécriture des entrées originales sans les conserver dans une piste d'audit, le défaut de documenter le raisonnement derrière les décisions, le traitement de toutes les demandes de suppression comme automatiquement valides, et le traitement de toutes les demandes de suppression comme automatiquement invalides sans évaluation au cas par cas. Le CEPD a constaté que neuf autorités de protection des données ont lancé des enquêtes d'application formelles en raison de responsables du traitement appliquant de manière erronée les exemptions de l'article 17(3) sans évaluation individuelle appropriée.

▶ Quand un administrateur clinique doit-il escalader une demande de rectification ou d'effacement vers le délégué à la protection des données

Plusieurs scénarios justifient une escalade plutôt qu'une résolution au niveau administratif. Ceux-ci incluent les demandes impliquant des mineurs, où les droits parentaux et les propres droits de l'enfant en matière de données se croisent. Les dossiers partagés au-delà des frontières nationales, où différentes règles de conservation peuvent s'appliquer. Les cas où il existe une véritable incertitude quant à la base juridique de conservation. Les demandes qui peuvent être liées à une réclamation juridique potentielle, où le dossier a une valeur probante. Et les situations où le patient s'est déjà plaint auprès de l'autorité de contrôle ou a indiqué qu'il avait l'intention de le faire. En vertu de l'article 37 du RGPD, la plupart des organisations de soins de santé de l'UE traitant des données de santé à grande échelle sont tenues de désigner un délégué à la protection des données. Les administrateurs cliniques doivent savoir qui est le leur avant qu'une demande complexe n'arrive.