RGPD et données de santé animale : ce que le vétérinaire doit savoir avec un scribe IA

• Les données de santé strictement animale ne relèvent pas du RGPD en tant que telles, mais elles y entrent dès qu'elles peuvent être reliées à un propriétaire identifiable, ce qui est presque toujours le cas en pratique.

• Le propriétaire de l'animal est la personne concernée au sens du RGPD : son nom, ses coordonnées, le numéro d'identification de l'animal et le contexte de la consultation sont des données personnelles.

• Les trois critères essentiels pour choisir un scribe IA conforme sont l'hébergement des données en Europe, le chiffrement, et une politique de conservation claire et limitée.

• Le devoir d'information du propriétaire est obligatoire, mais un consentement oral suffit dans la majorité des cas pour un usage de transcription conforme avec hébergement européen.

• Choisir un éditeur conforme au RGPD est le moyen le plus direct de réduire votre exposition réglementaire, car la responsabilité du traitement reste partagée entre la clinique et son sous-traitant.

2018

Année d'entrée en vigueur du RGPD (25 mai 2018), qui s'applique aux cliniques vétérinaires comme à toute structure traitant des données personnelles

Le point de départ, souvent mal compris, est le statut juridique de la donnée. Dans un avis rendu en 2023, l'Académie Vétérinaire de France a posé une distinction claire : les données de santé strictement animale relèvent du droit des contrats, et non du RGPD. Le RGPD protège les personnes physiques, pas les animaux.

Mais cette distinction théorique s'efface presque toujours en pratique. Dès qu'une donnée de santé animale peut être reliée à un propriétaire identifiable, par exemple via le numéro de puce, le dossier I-CAD ou simplement le nom inscrit au dossier, elle entre dans le champ du RGPD tel que défini par la CNIL. Or, en consultation, la donnée de santé de l'animal est par nature attachée à un propriétaire nommé. Autrement dit, le compte rendu généré par un scribe IA contient presque toujours des données personnelles au sens du règlement, et doit être traité comme tel.

Pour raisonner correctement sur la conformité, il faut identifier précisément ce qui est traité. Un scribe IA en consultation manipule trois types d'informations sensibles.

D'abord, l'enregistrement audio de la consultation, qui capte la voix du vétérinaire mais aussi celle du propriétaire, et parfois des éléments de sa vie privée mentionnés au passage. Ensuite, les données d'identification du couple propriétaire-animal : nom du propriétaire, nom et identification de l'animal, parfois coordonnées. Enfin, le compte rendu généré, qui consolide l'ensemble dans un document médical structuré.

Chacune de ces étapes constitue un traitement de données personnelles. La question de conformité ne porte donc pas sur "est-ce que le scribe IA traite des données personnelles" (la réponse est oui), mais sur "comment et où ces données sont-elles traitées, et avec quelles garanties".

C'est le critère le plus important. Un scribe IA dont les données sont hébergées et traitées sur des serveurs situés dans l'Union européenne offre une garantie de conformité bien supérieure à un outil qui transfère les données vers des serveurs hors UE, notamment aux États-Unis, où le cadre juridique de protection diffère sensiblement. Vérifiez systématiquement la localisation des serveurs auprès de l'éditeur.

Les données doivent être chiffrées en transit (lors de l'envoi) et au repos (lors du stockage). Le chiffrement garantit qu'en cas d'accès non autorisé, les données restent illisibles. C'est une exigence de sécurité de base, mais elle n'est pas toujours assurée par les outils généralistes non conçus pour un usage professionnel de santé.

L'éditeur doit indiquer clairement combien de temps les données sont conservées et selon quelles modalités elles sont supprimées. Le principe du RGPD est la minimisation : les données ne doivent être conservées que le temps nécessaire à la finalité. Pour un scribe IA, l'enregistrement audio n'a généralement plus de raison d'être une fois le compte rendu généré et validé, et devrait donc être supprimé à ce stade.

Au-delà du choix de l'outil, le vétérinaire a une obligation propre : informer le propriétaire de l'usage du scribe IA. Cette transparence n'est pas une formalité accessoire, c'est un principe fondamental du RGPD que la CNIL rappelle régulièrement dans le secteur de la santé.

En pratique, l'information se fait à l'oral au début de la consultation, et un consentement oral suffit dans la grande majorité des cas pour un usage de transcription conforme avec hébergement européen. Inutile de faire signer un formulaire à chaque consultation : il suffit d'annoncer clairement l'usage de l'outil et de respecter un refus éventuel sans conséquence. La manière concrète de formuler cette annonce, avec des scripts adaptés à chaque profil de propriétaire, fait l'objet d'un guide dédié sur la façon d'expliquer le scribe IA à vos clients.

La responsabilité du traitement des données est partagée. La clinique vétérinaire est le responsable de traitement : c'est elle qui décide d'utiliser un scribe IA et qui définit la finalité. L'éditeur de l'outil est le sous-traitant : il traite les données pour le compte de la clinique, selon des instructions encadrées par un contrat.

Cette répartition a une conséquence pratique directe : choisir un éditeur conforme au RGPD est le moyen le plus efficace de réduire votre propre exposition. Un sous-traitant qui héberge en Europe, chiffre les données et documente sa politique de conservation vous protège mécaniquement, là où un outil non conforme reporte le risque sur vous. La conformité de l'outil n'est donc pas un argument commercial accessoire, c'est un élément de protection juridique pour le praticien, et plus largement une composante de l'usage éthique de l'IA en médecine vétérinaire.

À noter : les structures vétérinaires ne sont généralement pas tenues de désigner un délégué à la protection des données (DPO) formel. Le guide RGPD de l'AFVAC appliqué à la clinique vétérinaire recommande toutefois de désigner un membre de l'équipe comme référent RGPD pour piloter la conformité au quotidien. En l'absence d'un référent désigné, c'est le dirigeant de la structure qui assume cette responsabilité par défaut.

Le RGPD n'est pas un obstacle à l'adoption d'un scribe IA, c'est un cadre qui protège à la fois le propriétaire et le praticien. L'essentiel tient en quelques principes : comprendre que les données de consultation sont presque toujours des données personnelles, choisir un outil hébergé en Europe, chiffré et transparent sur sa politique de conservation, et informer le propriétaire de l'usage de l'outil.

Concrètement, la conformité se joue d'abord au moment du choix de l'éditeur. Conçu et hébergé en Europe pour un usage professionnel de santé vétérinaire, Vetomatic intègre ces exigences de conformité par construction, ce qui décharge le praticien d'une partie du risque réglementaire. Pour vérifier concrètement ces garanties et tester l'outil sur vos consultations, vous pouvez demander un accès gratuit pendant 14 jours sans engagement.

Pas en tant que telles : le RGPD protège les personnes physiques, pas les animaux. Mais dès que la donnée de santé animale est reliée à un propriétaire identifiable (nom, numéro de puce, dossier I-CAD), elle devient une donnée personnelle et entre dans le champ du RGPD. En consultation, c'est presque toujours le cas, donc en pratique le compte rendu doit être traité comme contenant des données personnelles.

Non, dans la grande majorité des cas un consentement oral suffit pour un usage de transcription conforme avec hébergement européen. Le vétérinaire doit informer le propriétaire de l'usage de l'outil et respecter un refus éventuel. Une mention dans le formulaire d'admission pour les nouveaux clients reste recommandée comme trace écrite, mais une signature systématique à chaque visite n'est pas exigée.

Pas automatiquement, mais le risque est nettement plus élevé. Un transfert de données hors de l'Union européenne, notamment vers les États-Unis, doit s'appuyer sur des garanties juridiques spécifiques et reste plus exposé aux évolutions réglementaires. Pour un vétérinaire qui cherche la sécurité juridique maximale, un outil hébergé en Europe est le choix le plus simple et le plus défendable.

La responsabilité est partagée. La clinique est responsable de traitement (elle décide de l'usage), l'éditeur est sous-traitant (il exécute le traitement). Un contrat de sous-traitance conforme à l'article 28 du RGPD encadre cette relation. Choisir un éditeur conforme réduit directement l'exposition de la clinique, raison pour laquelle la conformité de l'outil est un critère de choix prioritaire.