Connaissez chaque destinataire, n’envoyez que ce que la tâche exige, utilisez un canal contrôlé et décidez quand l’accès de chaque personne doit cesser.

Un dossier peut traverser plusieurs frontières sans que le patient le remarque. L’hôpital exporte un PDF vers un coordinateur, le coordinateur l’envoie à un traducteur, la traduction est téléversée vers un nuage, un lien parvient à un médecin à l’étranger, et un proche le transmet à un groupe familial.

Chaque étape peut sembler utile. Ensemble, elles créent des copies, de nouveaux destinataires et une conservation floue. La protection de la vie privée commence par tracer la route avant d’envoyer le fichier.

D’abord, cartographiez les personnes et les systèmes

Faites une carte de transfert simple :

| Recipient or system | Purpose | Data needed | May forward to | Access ends | |---|---|---|---|---| | Chinese hospital | Clinical review | Decision-relevant medical record | Named clinical team | Per hospital retention rules | | Translator | Translate selected reports | Selected source pages | Approved reviewer only | After delivery and quality check | | Coordinator | Arrange review | Index and necessary files | Named hospital contact | At service end | | Insurer | Coverage decision | Its documented evidence list | Claims processors | Per policy and law | | Driver or hotel | Accessibility logistics | Name, time and mobility need | No clinical recipient | After service |

Si une personne ne peut expliquer pourquoi elle a besoin d’un fichier, faites une pause. « Par commodité » n’est pas un objet médical défini.

Sachez qui est le responsable des données

Qu’un patient envoie une copie qu’il détient personnellement à un clinicien choisi n’est pas la même situation opérationnelle qu’un hôpital exportant des dossiers via un prestataire. Hôpitaux, agences, plateformes, traducteurs et destinataires à l’étranger peuvent chacun agir comme responsable du traitement, sous-traitant ou destinataire indépendant, selon l’arrangement.

Selon la PIPL, fournir des informations personnelles à un autre responsable exige généralement d’informer la personne de l’identité et du contact du destinataire, de l’objet, de la méthode et des catégories d’informations et d’obtenir un consentement distinct, sauf si une autre base licite s’applique.^[1] Les informations sensibles exigent des informations supplémentaires de nécessité et d’impact, et la fourniture transfrontalière a des exigences supplémentaires.^[1]

Le patient n’a pas à choisir le mécanisme juridique de l’organisation. Demandez au contact vie privée de l’organisation d’indiquer :

Qui est responsable du transfert
La base juridique du traitement et de l’exportation
Le destinataire à l’étranger et le pays ou la région
L’objet, les catégories de données et la durée de conservation
Si des sous-traitants ou des fournisseurs de nuage sont impliqués
Comment le patient peut exercer des droits auprès du destinataire à l’étranger
Sur quel mécanisme ou exemption transfrontalier elle s’appuie

Les règles chinoises de 2024 sur les données transfrontalières ajustent quand une évaluation de sécurité, un contrat type ou une certification sont requis et comprennent des exemptions pour certains transferts nécessaires au contrat ou d’urgence.^[2] Une exemption d’un mécanisme de dépôt n’est pas une permission d’ignorer la limitation de finalité, la sécurité ou les droits de la personne.

Envoyez l’ensemble de dossier minimalement nécessaire

Partez de la décision et créez une copie de relecture. Conservez séparément une archive source complète.

Exemples :

Un chirurgien évaluant la résécabilité peut avoir besoin d’imagerie, d’anatomopathologie et d’antécédents opératoires ou médicaux pertinents — pas de chaque note ambulatoire non liée.
Un traducteur traitant un compte rendu de sortie n’a pas besoin de toute l’archive DICOM.
Un assureur doit recevoir les éléments de sa demande écrite de preuves, pas un accès illimité au portail.
Un prestataire de transport peut avoir besoin d’un fauteuil roulant et de détails de rendez-vous, pas du diagnostic.

Minimalement nécessaire ne signifie pas cliniquement incomplet. Demandez au clinicien destinataire quels documents soutiennent une relecture sûre, puis retirez seulement le matériel véritablement non lié.

Ne caviardiez ni n’éditez jamais la seule copie source. Faites un fichier dérivé étiqueté REDACTED COPY, consignez ce qui a été retiré et conservez l’ordre des pages. Pour un traitement clinique, divulguez le caviardage afin que l’équipe destinataire décide s’il affecte l’interprétation.

Le consentement doit être assez spécifique pour être compris

Un avis utile répond :

Quelles informations sont utilisées ?
Dans quel but ?
Qui les reçoit ?
Dans quel pays ou région ?
Comment seront-elles transférées et stockées ?
Combien de temps resteront-elles disponibles ?
Qui peut les recevoir ensuite ?
Comment le patient peut-il retirer son consentement le cas échéant, demander un accès ou une correction, ou se plaindre ?

Évitez une seule autorisation qui combine relecture clinique, marketing, recherche, témoignages et conservation indéfinie. Ce sont des finalités différentes.

Le consentement n’est pas toujours la seule base licite. La PIPL reconnaît aussi le traitement nécessaire pour conclure ou exécuter un contrat impliquant la personne et le traitement d’urgence nécessaire pour protéger la vie, la santé ou les biens.^[1] L’organisation doit documenter la base qu’elle utilise réellement plutôt que de recueillir une signature par habitude puis d’utiliser les données plus largement.

Choisissez un canal de transfert avec des contrôles

Préférez le portail de l’hôpital destinataire ou un service de transfert chiffré approuvé par l’établissement. Si les fichiers doivent être envoyés comme archive chiffrée :

Utilisez un chiffrement fort, pas seulement une extension ZIP renommée
Envoyez le mot de passe par un autre canal
Limitez le lien à des destinataires nommés lorsque c’est possible
Exigez une connexion et une authentification multifactorielle
Fixez l’expiration pratique la plus courte
Désactivez l’indexation publique et le partage anonyme
Conservez un journal de téléversement et de téléchargement
Confirmez une somme de contrôle ou un nombre de fichiers pour les grands transferts
Supprimez les copies temporaires locales et en nuage après réception vérifiée, sous réserve de la conservation requise

Le courriel et le chat ordinaires peuvent être commodes, mais le transfert, les sauvegardes et la compromission de comptes sont difficiles à contrôler. Si l’hôpital approuve un tel canal, demandez comment l’identité, l’accès et la conservation sont gérés.

N’utilisez pas un compte familial partagé pour le portail patient. Un code de vérification unique, un PIN de paiement ou le mot de passe principal donne un accès plus large que le lien d’un seul compte rendu.

Identité cachée dans les fichiers

Retirer un nom de la page visible ou du nom de fichier n’est pas nécessairement une dé-identification.

Les PDF et fichiers bureautiques peuvent contenir des noms d’auteur, un historique de révisions, des commentaires et des pièces jointes intégrées. Les photographies peuvent porter des métadonnées de lieu et d’appareil. Les objets DICOM intègrent des attributs de patient et d’étude, et du texte peut être incrusté dans les pixels d’image.^[3]

Lorsque l’objet exige une dé-identification — recherche, enseignement ou relecture externe en aveugle — utilisez un flux de travail qualifié adapté aux règles de l’établissement destinataire. Testez ensuite si le jeu de données peut encore être lié de façon cohérente entre fichiers sans exposer des identifiants directs.

Pour des soins directs, une dé-identification agressive peut créer un risque d’appariement de patients. L’hôpital peut avoir besoin du nom, de la date de naissance et du numéro de patient pour empêcher que des dossiers soient attachés à la mauvaise personne. Suivez son processus contrôlé d’appariement d’identité.

Donnez aux traducteurs et coordinateurs un accès étroit

Le contrat de service doit préciser :

L’entité juridique nommée et le personnel ayant accès
Les fichiers exacts et l’objet
Si le téléchargement local est autorisé
L’usage de la traduction automatique ou de services d’IA et où les données sont traitées
L’interdiction ou les conditions de sous-traitance
Les exigences de confidentialité et de sécurité
La date de conservation, de restitution et de suppression
La voie de notification d’incident
L’interdiction d’utiliser l’histoire, l’image ou les données du patient pour le marketing ou l’entraînement de modèles sans autorisation distincte

La PIPL exige que les sous-traitants agissent dans l’objet et la méthode convenus et restituent ou suppriment les informations lorsque l’arrangement prend fin ; une sous-traitance ultérieure nécessite l’autorisation du responsable original.^[1]

Demandez un échantillon de traduction avec des données fictives avant d’envoyer des dossiers particulièrement sensibles. Ne téléversez pas de dossiers identifiables dans un outil gratuit de traduction ou de résumé en ligne simplement parce qu’il est rapide.

L’accès familial reste un partage de données

Les patients veulent souvent qu’un conjoint ou un enfant adulte aide. Définissez ce que cette personne peut faire :

Voir seulement les rendez-vous
Recevoir des factures
Accéder aux comptes rendus cliniques
Parler avec des cliniciens
Autoriser une divulgation ultérieure
Décider si c’est juridiquement approprié

Utilisez la fonction de représentant ou d’accès familial de l’hôpital lorsqu’elle est disponible. N’assumez pas que la parenté permet une divulgation illimitée. Si le patient retire ensuite l’accès familial, mettez à jour l’hôpital, le coordinateur, les dossiers partagés et les groupes de messagerie — pas seulement un mot de passe.

Les dossiers d’enfants exigent un soin particulier. La PIPL traite les informations sur les enfants de moins de 14 ans comme sensibles et exige le consentement d’un parent ou tuteur lorsqu’elles sont traitées par la voie du consentement.^[1]

Génétique, santé reproductive et santé mentale demandent plus de réflexion

Certains dossiers révèlent des informations sur des proches autant que sur le patient. Les résultats génétiques germinaux peuvent impliquer un risque familial. Les dossiers reproductifs, d’infections, de santé sexuelle et de santé mentale peuvent créer un préjudice social supplémentaire s’ils sont mal utilisés.

Avant de partager, demandez si tout le compte rendu est nécessaire, si les noms de proches peuvent être minimisés et si un résumé de spécialiste soutiendra la décision. Ne retirez pas d’informations cliniquement matérielles à l’équipe soignante, mais ne les envoyez pas automatiquement aux hôtels, agences de voyage ou administrateurs généraux.

Conservez une piste d’audit que le patient peut lire

Tenez un journal de transfert avec :

Date et heure
Expéditeur et destinataire
Objet
Noms de fichiers et version
Canal et expiration du lien
Autorisation ou base juridique consignée par l’organisation
Confirmation de réception
Divulgation de transfert ou de sous-traitant
Confirmation de suppression ou de restitution

Ce n’est pas de la bureaucratie pour elle-même. Si la mauvaise version a été envoyée ou qu’un lien a fuité, le journal montre où contenir le problème.

Exercez des droits sans endommager le dossier médical

La PIPL confère aux personnes des droits de connaître et de décider du traitement et, sous réserve de conditions légales, d’accéder ou de copier, de corriger et de demander la suppression d’informations personnelles.^[1]

Demandez au contact vie privée comment :

Obtenir une copie des données détenues
Corriger une erreur d’identité ou de contact
Restreindre ou cesser un partage optionnel
Retirer l’accès d’un ancien coordinateur
Demander la suppression lorsque les conditions légales sont remplies
Contester une correspondance automatisée inexacte
Se plaindre auprès de l’établissement ou du régulateur

Les droits de suppression ne signifient pas qu’un hôpital doive effacer des dossiers que la loi lui impose de conserver. Un patient peut au contraire pouvoir arrêter une divulgation optionnelle tandis que le dossier médical source reste préservé.

Si un lien ou un fichier va à la mauvaise personne

Agissez immédiatement :

Révoquer le lien ou la session de compte.
Contacter le destinataire non prévu et demander la suppression sans autre ouverture ni transfert.
Notifier le contact vie privée ou sécurité de l’organisation expéditrice.
Identifier exactement quels fichiers, identifiants et période ont été exposés.
Réinitialiser les mots de passe compromis et clôturer les sessions actives.
Préserver le journal d’audit et la référence d’incident.
Demander quelle évaluation de risque, notification et réparation suivront.

Ne supprimez pas les preuves de l’incident avant que l’équipe de sécurité responsable ne l’enregistre. Si une identité financière, un passeport ou des informations de compte étaient impliqués, surveillez l’usage abusif et suivez les conseils officiels de protection de l’identité ou des paiements.

Une vérification de vie privée avant chaque envoi

Identité du destinataire vérifiée par un canal indépendant
Objet clinique ou administratif énoncé
Fichiers minimalement nécessaires sélectionnés
Archive originale conservée
Pages sensibles et métadonnées intégrées comprises
Avis et consentement du patient ou autre base documentés par l’organisation responsable
Mécanisme ou exemption transfrontalier confirmé le cas échéant
Canal sécurisé et expiration d’accès fixés
Mot de passe envoyé séparément
Transfert et sous-traitants divulgués
Réception confirmée
Date de suppression ou de restitution consignée

Avertissement juridique et médical : Ce guide fournit des informations générales de confidentialité et de sécurité, pas un avis juridique. Les obligations de données transfrontalières dépendent des organisations, des données, de l’objet, du volume, du lieu et des règles en vigueur. Les hôpitaux et prestataires doivent obtenir un avis qualifié chinois et du pays de destination ; les patients ne doivent pas retarder des soins d’urgence pour des formalités administratives.

Key Takeaways

Les informations de santé médicale sont des informations personnelles sensibles selon la loi chinoise sur la protection des informations personnelles (PIPL). Les traiter exige un objet spécifique, une nécessité suffisante et des garanties strictes.^[1]
« Envoyer mes dossiers à l’étranger » peut impliquer l’hôpital source, le coordinateur, la société de traduction, la plateforme, l’hôpital à l’étranger, l’assureur et la famille. Identifiez chaque destinataire et rôle.
Utilisez l’ensemble de dossier minimalement nécessaire pour l’objet déclaré. Un chauffeur a besoin d’instructions de mobilité, pas d’anatomopathologie ; un bureau de tarification peut ne pas avoir besoin de tout l’historique psychiatrique.
Le consentement distinct et les exigences de transfert transfrontalier dépendent de qui traite les informations et pourquoi. Demandez à l’établissement d’expliquer sa base juridique et son mécanisme de transfert ; ne vous fiez pas à une case générale.^[1]^[2]
Chiffrez les fichiers, envoyez le mot de passe séparément, fixez l’expiration du lien et confirmez la suppression ou la restitution lorsque la tâche se termine. DICOM et les métadonnées de documents peuvent contenir une identité même lorsque le nom de fichier semble anonyme.^[3]

FAQ

Est-il illégal qu’un patient envoie par e-mail ses propres dossiers à l’étranger ?

Cet article ne fait pas cette affirmation générale. Les obligations juridiques diffèrent entre une personne qui envoie sa propre copie et un établissement ou une plateforme qui exporte des données. Le risque de confidentialité demeure, donc utilisez la voie sécurisée de l’hôpital destinataire et obtenez un avis propre au cas lorsque c’est nécessaire.

Signer un formulaire de consentement permet-il à chaque prestataire d’utiliser mon dossier ?

Cette hypothèse n’est pas sûre. Destinataires, finalités, catégories de données et transferts ultérieurs doivent être divulgués spécifiquement, et la PIPL exige un consentement distinct pour certaines activités de partage et d’information sensible sauf si une autre base licite s’applique.[1]

Un ZIP protégé par mot de passe suffit-il ?

C’est un contrôle, pas un système complet. Vérifiez aussi le destinataire, utilisez un chiffrement fort, envoyez le mot de passe séparément, limitez l’accès, fixez une expiration et confirmez la suppression.

Puis-je retirer moi-même mon nom des fichiers DICOM ?

Renommer des fichiers est inefficace parce que DICOM contient des attributs intégrés.[3] Pour des soins directs, préservez un appariement d’identité sûr ; pour un usage dé-identifié, utilisez un processus qualifié demandé par l’établissement.

Puis-je demander à un hôpital de supprimer mon dossier médical ?

Les personnes ont des droits de suppression dans des conditions légales précisées, mais les hôpitaux peuvent avoir des devoirs légaux de conservation. Demandez à l’hôpital de distinguer la conservation du dossier source d’un partage optionnel ou de copies de tiers.[1][4]

Langue