Quand un logiciel de santé promet “vos données sont chiffrées”, il dit en réalité : nous les conservons, et si quelqu’un accède à nos serveurs, il aura besoin d’une clé pour les lire. Cette promesse est utile. Elle est aussi plus faible que ce qu’on pense.

Pour les données cliniques en santé mentale, le vrai standard — celui qu’impose la logique du secret médical et l’esprit des régulations européennes — n’est pas “bien chiffrer”. C’est ne pas stocker.

Ce que “zero-retention” veut dire concrètement

Zero-retention (ou rétention zéro) signifie qu’un logiciel ne conserve rien du contenu clinique qu’il traite :

L’audio de la dictée n’est pas enregistré sur disque
La transcription n’est pas persistée
La note générée n’est pas stockée sur les serveurs
Rien n’apparaît dans les logs applicatifs
Rien ne reste dans un cache

Concrètement : les données transitent en mémoire vive pendant le traitement (quelques secondes), la note est renvoyée au navigateur du clinicien, et toutes les traces sont immédiatement effacées. Si on saisit le serveur le lendemain, il n’y a rien à saisir.

Seule demeure, côté plateforme, ce qu’il faut pour opérer le service : l’email du clinicien, son abonnement, ses statistiques d’usage agrégées. Aucun contenu patient.

Pourquoi c’est plus fort que le chiffrement

Le chiffrement protège contre un attaquant qui n’a pas la clé. Mais les données chiffrées restent :

Copiées dans les sauvegardes
Présentes dans les logs applicatifs jusqu’à leur rotation
Accessibles aux administrateurs système avec la clé (ou via une clé maître hébergée sur le même serveur)
Vulnérables si le processus de déchiffrement est compromis
Soumises aux demandes de réquisition judiciaire

Ne pas stocker, c’est supprimer tous ces risques en une seule décision d’architecture. Il n’y a rien à réquisitionner, rien à fuiter, rien à déchiffrer, rien à sauvegarder. Le risque n’est pas réduit, il est absent.

Ce qu’en disent le RGPD et la nLPD

Le RGPD (Règlement Général sur la Protection des Données, UE) et la nLPD (nouvelle Loi fédérale sur la Protection des Données, Suisse, en vigueur depuis septembre 2023) partagent trois principes qui convergent vers la rétention zéro.

Minimisation des données (RGPD Art. 5.1.c, nLPD Art. 6.3). On ne traite que ce qui est strictement nécessaire. Pour un outil qui structure une dictée clinique en note, la finalité du traitement est accomplie au moment où la note est renvoyée. Toute conservation au-delà de ce moment ne répond à aucune finalité légitime et est donc non conforme.

Limitation de la conservation (RGPD Art. 5.1.e, nLPD Art. 6.4). Les données ne doivent pas être conservées au-delà du nécessaire. “Pas au-delà du nécessaire” peut, pour un outil de transcription, signifier zéro seconde une fois la note produite.

Protection par défaut (RGPD Art. 25). Le responsable du traitement doit mettre en œuvre “par défaut” les mesures garantissant que seules les données nécessaires sont traitées. L’architecture est une de ces mesures. Un logiciel conçu pour ne pas persister les données est conforme par construction — pas par engagement contractuel.

Le secret médical impose la même direction

Le secret médical (art. 321 du Code pénal suisse, art. 226-13 du Code pénal français) ne s’arrête pas aux murs du cabinet. Il s’étend à tous les auxiliaires du clinicien — et un logiciel de notes en fait partie dès lors qu’il traite des données identifiantes ou des contenus cliniques.

Plus un sous-traitant stocke, plus il est exposé à un incident qui viole le secret. La meilleure stratégie pour un sous-traitant consciencieux est d’arranger son architecture pour ne pas être en mesure de violer le secret, même par accident.

Ce qui n’est pas évité par le zero-retention

Honnêteté intellectuelle : la rétention zéro ne résout pas tout.

Le prestataire d’IA (Whisper, Mistral, GPT, etc.) traite les données pendant quelques secondes. Il peut conserver des logs d’inférence selon ses propres politiques. Il faut lire son accord de sous-traitance (DPA) et vérifier qu’il exclut l’entraînement sur les données et la rétention prolongée.
Le navigateur du clinicien peut conserver la note dans son cache ou son historique. C’est la responsabilité du clinicien.
Les métadonnées techniques (adresse IP, horodatage, longueur de la dictée, spécialité) continuent d’exister côté plateforme pour des raisons opérationnelles. Elles ne sont pas du contenu clinique mais elles existent.

Zero-retention ne veut pas dire aucune donnée n’existe jamais. Cela veut dire aucun contenu clinique identifiable n’est conservé.

Ce que ça change en pratique pour le clinicien

Trois conséquences tangibles :

Pas besoin d’un DPA long avec le sous-traitant. Le DPA (Data Processing Agreement) reste requis, mais son contenu est plus simple : il n’y a pas de procédure de notification de fuite, pas de procédure de restitution de données, pas de procédure de suppression — parce qu’il n’y a rien à fuiter, restituer ou supprimer.

Le droit d’accès du patient devient trivial. Si le patient demande, au titre du RGPD Art. 15, quelles données le sous-traitant détient sur lui : aucune. Le clinicien peut répondre de manière documentée.

Les incidents de sécurité sont décorrélés du contenu clinique. Une compromission du serveur de Psydict (par exemple) exposerait la liste des cliniciens abonnés et des métadonnées d’usage. Elle n’exposerait pas un seul mot d’une seule note d’un seul patient.

Critères pratiques pour évaluer un outil

Quand un logiciel de santé annonce “sécurisé” ou “conforme RGPD”, poser trois questions précises :

Le contenu clinique (audio, transcription, note) est-il persisté sur vos serveurs ? Si oui, pour combien de temps et où ?
Apparaît-il dans les logs applicatifs ? Si oui, quelle est la politique de rotation ?
Qui, chez vous, a techniquement accès au contenu en clair, et dans quelles conditions ?

Les réponses “chiffré au repos” et “chiffré en transit” sont insuffisantes en soi. Elles disent comment les données sont protégées, pas combien de temps elles existent.

Conclusion

Chiffrer ce qu’on stocke est une bonne pratique. Ne pas stocker est meilleur. Pour un outil qui n’a aucune raison fonctionnelle de conserver les notes cliniques qu’il produit, l’architecture “zero-retention” n’est pas un luxe de sécurité — c’est la conséquence logique du principe de minimisation et du secret médical.

Le standard pour les données cliniques en santé mentale devrait être celui-ci : si vous n’en avez pas besoin dans cinq secondes, vous n’auriez jamais dû l’avoir.