Un médecin libéral qui exerce seul n’a pas besoin de DPO. Il doit en revanche tenir un registre, informer ses patients, fixer une durée de conservation, sécuriser ses accès, vérifier la certification HDS de l’hébergeur de son logiciel et encadrer ses prestataires par contrat. Tout se complique dès que plusieurs médecins partagent le même logiciel.
Nous partons des deux textes de la CNIL écrits pour vous : le guide publié avec l’Ordre des médecins et le référentiel non contraignant sur la gestion des cabinets médicaux et paramédicaux.
DPO au cabinet médical : obligatoire en groupe, pas en exercice individuel
Selon la CNIL, un professionnel exerçant à titre individuel n’a pas à désigner de délégué à la protection des données. Le RGPD impose un DPO lorsque les activités de base consistent à traiter des données de santé à grande échelle, et la CNIL cite l’exercice en réseau, en maison de santé, en centre de santé ou avec des dossiers partagés entre plusieurs professionnels.
Le repère des 10 000 patients
Aucun seuil universel n’existe : la CNIL demande une analyse au cas par cas. Son guide sur les DPO donne pourtant un exemple : un médecin de quartier exerçant seul, avec moins de 10 000 patients par an, ne traite pas de données à grande échelle. Pour le cabinet groupé, le référentiel va plus loin : la CNIL estime qu’une analyse d’impact et un DPO devraient être nécessaires lorsque les praticiens partagent un système d’information commun, à partir de 10 000 patients par an. Trois associés sur le même logiciel y arrivent vite.
La grille complète figure dans notre article sur le DPO obligatoire et les organismes qui doivent nommer un délégué.
Registre et information des patients : les deux documents à pouvoir montrer
Plus aucune déclaration n’est à faire à la CNIL depuis le 25 mai 2018. En contrepartie, chaque cabinet tient un registre des activités de traitement, conservé en interne et présenté en cas de contrôle. Le guide CNIL-Ordre en propose un modèle prérempli. Il doit couvrir au moins :
- les dossiers patients ;
- la prise de rendez-vous, au cabinet, par téléphone ou en ligne ;
- la messagerie sécurisée de santé et la télémédecine ;
- la comptabilité et, si vous employez quelqu’un, la gestion du personnel.
Le consentement du patient n’est pas requis pour constituer son dossier, mais il doit être informé : affiche en salle d’attente, document remis lors des visites à domicile, courriel de confirmation de rendez-vous. L’information indique vos coordonnées, les finalités, les destinataires, la durée de conservation et les droits du patient, dont celui de saisir la CNIL.
Ce que l’on voit souvent : une affiche de 2018 qui cite un ancien associé et ne dit rien des durées. La version conforme tient sur une page A4, à hauteur d’yeux, et renvoie vers une notice plus complète.
Durée de conservation du dossier médical : 20 ans après la dernière consultation
Aucun texte ne fixe de durée propre au dossier du médecin libéral. L’Ordre des médecins recommande de s’aligner sur la règle des établissements de santé (article R. 1112-7 du Code de la santé publique), recommandation reprise par la CNIL :
- 20 ans à compter de la dernière consultation ;
- jusqu’au 28e anniversaire si le patient était mineur et que les 20 ans expirent avant ;
- 10 ans à compter du décès si celui-ci survient moins de 10 ans après la dernière consultation ;
- délais suspendus en cas d’action mettant en cause la responsabilité du médecin.
Le référentiel organise ces 20 ans : 5 ans en base active, puis 15 ans en archive sur un support distinct, avant suppression ou anonymisation. Les données de rendez-vous peuvent être effacées bien plus tôt, puisque les dates de consultation figurent au dossier. Demandez à votre éditeur si le logiciel archive à échéance, et consultez notre tableau récapitulatif des durées de conservation pour les autres fichiers.
Sécurité, hébergement HDS et messagerie : là où naissent les incidents
Les patients voient la sécurité avant le reste : un écran tourné vers l’accueil, une secrétaire connectée avec la carte du médecin. La CNIL attend au minimum :
- une authentification par carte CPS ou un moyen fort équivalent, la CPS restant strictement personnelle ;
- un compte par utilisateur, des profils séparant données administratives et médicales, une revue annuelle des habilitations ;
- le verrouillage automatique des sessions, des mises à jour et un antivirus ;
- le chiffrement des portables et des supports amovibles ;
- des sauvegardes régulières stockées hors du cabinet ;
- des dossiers papier sous clé et détruits au broyeur.
Logiciel en ligne : l’hébergeur doit être certifié HDS
Si votre logiciel est hébergé par un prestataire ou si vos sauvegardes partent sur des serveurs externes, ce prestataire doit être agréé ou certifié hébergeur de données de santé (article L. 1111-8 du Code de la santé publique). Le référentiel vise l’éditeur, la plateforme de rendez-vous, la télémédecine, la sauvegarde et la permanence téléphonique. Demandez le certificat et vérifiez qu’il couvre l’hébergeur réel, souvent distinct de l’éditeur.
Messagerie : sécurisée entre confrères, chiffrée avec les patients
Entre professionnels de santé, la CNIL demande une messagerie sécurisée de santé. Avec un patient, la messagerie standard reste possible si les pièces sont chiffrées et le mot de passe envoyé par un autre canal. Les messageries instantanées sont à manier avec la plus grande précaution.
Rendez-vous en ligne et secrétariat externalisé : vous restez responsable
Que les rendez-vous passent par votre secrétaire, une permanence téléphonique ou une plateforme, vous restez responsable des données collectées, y compris le motif de consultation. Le prestataire est votre sous-traitant. La plateforme répond seule des comptes que les patients créent chez elle. La CNIL rappelle que le motif n’a pas à être demandé quand la consultation ne nécessite aucune préparation.
Chaque prestataire signe un contrat conforme à l’article 28 du RGPD. Il s’y engage à :
- traiter les données sur vos seules instructions et sous engagement de confidentialité ;
- sécuriser les données et ne recruter aucun sous-traitant sans votre accord écrit ;
- vous aider à répondre aux patients et vous alerter rapidement en cas d’incident ;
- restituer ou supprimer les données en fin de contrat et accepter les audits.
Ces clauses dorment souvent dans des conditions générales acceptées en ligne. Téléchargez-les et classez-les avec le certificat HDS. Notre article sur les obligations du sous-traitant RGPD détaille chaque clause.
Accès du patient à son dossier : 8 jours, ou 2 mois pour les informations anciennes
Le Code de la santé publique impose de communiquer le dossier au plus tard 8 jours après la demande, et au plus tôt après 48 heures de réflexion. Pour des informations de plus de cinq ans, le délai passe à deux mois. C’est plus court que le mois du RGPD.
- Peuvent demander : le patient, le titulaire de l’autorité parentale, le tuteur, un médecin intermédiaire ou, après un décès, un ayant droit qui indique son motif.
- L’identité est vérifiée avant tout envoi.
- Seuls les frais de copie et d’envoi sont facturables, et tout refus est motivé.
Le piège est pratique : la demande arrive un vendredi, rejoint une pile, et les 8 jours expirent pendant les congés du médecin. Un tableau daté des demandes et un remplaçant désigné suffisent à l’éviter.
Violations de données : ordinateur volé, mail au mauvais patient
Une violation désigne toute destruction, perte, divulgation ou tout accès non autorisé. Trois réflexes : documenter l’incident en interne, évaluer le risque pour les patients, notifier la CNIL si ce risque existe, dans les 72 heures si possible.
L’ordinateur portable volé
Tout dépend du chiffrement. Disque chiffré : les données sont illisibles et l’information des patients n’est pas exigée. Simple mot de passe de session : le disque se lit sur un autre poste, la notification devient probable. Le guide CNIL-Ordre conseille aussi de prévenir votre assurance de responsabilité professionnelle.
Le compte rendu envoyé au mauvais patient
Une homonymie ou une adresse saisie trop vite, et un résultat part chez un autre patient. Demandez la suppression par écrit, notez l’heure, évaluez la sensibilité de l’information. En cas de doute, la CNIL recommande de notifier.
Le pas à pas figure dans notre tutoriel pour notifier une violation de données.
Tableau de contrôle : obligation, pièce à détenir, vérification
Une heure, documents en main, suffit pour ce contrôle.
| Obligation | Ce que vous devez avoir | Comment vérifier |
|---|---|---|
| Registre | Une fiche par traitement : dossiers, rendez-vous, messagerie, télémédecine, comptabilité, personnel. | Chaque logiciel du cabinet a sa fiche, datée. |
| Information | Une affiche en salle d’attente et une mention dans la confirmation de rendez-vous. | Elle cite finalités, destinataires, durées, droits et recours à la CNIL. |
| Conservation | Une règle écrite de 20 ans et un archivage séparé. | Le logiciel archive à échéance, ou quelqu’un le fait à date fixe. |
| Accès | Comptes nominatifs, carte CPS, profil secrétariat limité. | Aucun compte partagé ni ancien remplaçant actif. |
| Hébergement | Le certificat HDS de l’hébergeur du logiciel, des sauvegardes, des rendez-vous. | Périmètre et validité du certificat, nom de l’hébergeur réel. |
| Sous-traitants | Un contrat article 28 avec chaque prestataire. | Les clauses de la section sur les sous-traitants y figurent. |
| Messagerie | Une messagerie sécurisée de santé et une méthode de chiffrement. | Par quel canal est parti le dernier compte rendu ? |
| Droits | Une procédure avec les délais de 48 heures, 8 jours et 2 mois. | La dernière demande a une date de réception et d’envoi. |
| Violations | Un registre des incidents et une procédure 72 heures. | Le dernier courriel mal adressé y est inscrit. |
| DPO et AIPD | Une analyse écrite de votre situation. | Elle mentionne exercice, logiciel partagé et volume de patients. |
Check-list RGPD du cabinet médical
Une seule ligne non cochée justifie une action dans le mois.
- Le registre est daté et couvre chaque logiciel.
- L’affiche d’information est à jour et visible.
- La règle de conservation est écrite et appliquée.
- Chaque utilisateur a son compte, la CPS n’est jamais prêtée.
- Portables et clés USB sont chiffrés.
- Une sauvegarde hors du cabinet a déjà été restaurée.
- Le certificat HDS est classé avec le contrat de l’éditeur.
- Les contrats de la plateforme et du secrétariat sont relus.
- Les comptes rendus partent par messagerie sécurisée de santé.
- Les demandes d’accès sont datées et suivies.
- Un registre des incidents est ouvert, même vide.
- Votre choix sur le DPO est justifié par écrit.
Quiz : testez vos réflexes RGPD au cabinet
Ouvrez la réponse qui vous paraît juste.
A. Oui, dès qu’il traite des données de santé
B. Non, sauf traitement à grande échelle
C. Oui, s’il emploie une secrétaire
A. Un mois
B. Huit jours
C. Deux mois
A. La certification HDS de l’éditeur ou de son hébergeur
B. Rien, l’éditeur est seul responsable
C. Que son logo figure sur votre affiche
A. Rien, il est chiffré
B. Vous documentez l’incident et évaluez le risque
C. Vous écrivez à tous vos patients le jour même
Voir le barème de votre score
- 4 bonnes réponses : vérifiez maintenant que vos documents suivent.
- 2 ou 3 : les réflexes sont là, un point reste fragile.
- 0 ou 1 : reprenez le tableau et la check-list ci-dessus.
Faire vérifier la conformité de votre cabinet
Un médecin seul peut tenir sa conformité avec les modèles de la CNIL. Un cabinet de groupe gagne souvent à confier ce suivi à un DPO qui connaît les logiciels médicaux.
Sources officielles consultées
- CNIL : RGPD et professionnels de santé libéraux : ce que vous devez savoir
- CNIL : Professionnels de santé : la désignation d’un délégué à la protection des données (DPO), c’est obligatoire ?
- CNIL et Conseil national de l’Ordre des médecins : Guide pratique sur la protection des données personnelles, édition juin 2018 (PDF)
- CNIL : Référentiel relatif aux traitements de données à caractère personnel destinés à la gestion des cabinets médicaux et paramédicaux (PDF)
- CNIL : La CNIL publie trois référentiels pour le secteur de la santé
- CNIL : Traitements de données dans le domaine de la santé : les référentiels pour simplifier vos démarches
- CNIL : Guide pratique RGPD, délégués à la protection des données (PDF)
- CNIL : L’accès au dossier médical
- CNIL : Notifier une violation de données personnelles