Vous recevez des patients, gérez des dossiers médicaux, stockez des ordonnances et des comptes-rendus. Chaque jour, votre cabinet manipule des centaines de données personnelles sensibles. Pourtant, entre deux consultations, qui a vraiment le temps de lire les 99 articles du Règlement Général sur la Protection des Données ?
Le problème est réel : selon l’Ordre des Médecins, 67 % des cabinets libéraux français n’ont pas formalisé leur mise en conformité RGPD. Les sanctions peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires. Mais au-delà des amendes, c’est la confiance de vos patients qui est en jeu.
Ce guide répond aux questions concrètes que vous vous posez : par où commencer, quels documents créer, comment sécuriser vos outils numériques. Chaque étape est directement applicable dans votre cabinet, que vous exerciez seul ou en groupe. Pour une vision complète de l’automatisation administrative en santé, consultez notre guide complet L’IA au service de l’Administration des Cabinets Médicaux.
Toutes les informations permettant d’identifier directement ou indirectement une personne physique entrent dans le périmètre du RGPD. Dans un cabinet médical, cela englobe bien plus que le simple dossier patient.
Données d’identification directe : nom, prénom, date de naissance, numéro de sécurité sociale, adresse postale, numéro de téléphone, adresse email. Ces informations figurent sur chaque fiche patient et chaque feuille de soins.
Données de santé (catégorie sensible) : antécédents médicaux, diagnostics, prescriptions, résultats d’examens, comptes-rendus opératoires, certificats médicaux. Le RGPD les classe comme « données sensibles » nécessitant une protection renforcée.
Données indirectes souvent oubliées : historique des rendez-vous (qui révèle la fréquence de consultation), données de paiement, coordonnées des accompagnants, informations des employeurs pour les arrêts de travail.
Point de vigilance : Les échanges par messagerie non sécurisée (SMS, email classique) contenant des informations patient sont également concernés. Chaque canal de communication doit être audité.
La CNIL rappelle que le statut de professionnel de santé ne dispense pas du RGPD. Le secret médical et la protection des données sont deux obligations distinctes et complémentaires.
La désignation d’un Délégué à la Protection des Données (DPO) est obligatoire dans certains cas précis. Pour un cabinet médical, la réponse dépend de votre structure et du volume de données traitées.
Cas où le DPO est obligatoire :
Cas où le DPO est recommandé mais non obligatoire :
Même sans obligation légale, la CNIL recommande de désigner un référent RGPD interne. Cette personne (vous-même, un associé ou un secrétaire médical formé) sera le point de contact pour toutes les questions relatives aux données.
Si vous optez pour un DPO externe, privilégiez un prestataire connaissant le secteur de la santé. Le Conseil National de l’Ordre des Médecins propose des ressources et peut orienter vers des professionnels qualifiés.
Le registre des activités de traitement est la pierre angulaire de votre conformité. Ce document recense toutes les opérations effectuées sur les données personnelles dans votre cabinet.
Structure minimale du registre :
| Élément | Exemple pour un cabinet |
|---|---|
| Nom du traitement | Gestion des dossiers patients |
| Finalité | Suivi médical et continuité des soins |
| Base légale | Obligation légale (Code de santé publique) |
| Catégories de données | Identité, données de santé, NIR |
| Destinataires | Praticien, secrétariat, laboratoires |
| Durée de conservation | 20 ans après dernière consultation |
| Mesures de sécurité | Logiciel certifié HDS, accès par mot de passe |
Traitements typiques à recenser dans un cabinet :
La CNIL met à disposition un modèle de registre téléchargeable gratuitement. Pour un cabinet de taille moyenne, comptez une demi-journée pour établir ce document initial, puis une mise à jour annuelle.
Chaque patient doit être informé de manière claire sur l’utilisation de ses données. Cette obligation d’information peut être remplie de plusieurs façons complémentaires.
Affichage en salle d’attente : Un panneau visible doit mentionner l’identité du responsable de traitement (vous), les finalités (soins, facturation), les droits des patients et les coordonnées pour les exercer.
Contenu obligatoire de l’information :
Document remis aux nouveaux patients : Intégrez une notice d’information à votre fiche de renseignements. Le patient peut la conserver et s’y référer ultérieurement.
Modèle recommandé par le CNOM : « Conformément au RGPD, les données recueillies font l’objet d’un traitement informatique destiné au suivi médical. Le destinataire des données est le Dr [Nom]. Elles sont conservées 20 ans. Vous pouvez exercer vos droits d’accès et de rectification en contactant [coordonnées]. »
Pour les mineurs, l’information doit être adaptée à leur âge et délivrée également aux titulaires de l’autorité parentale.
Contrairement à une idée répandue, le consentement n’est pas toujours nécessaire pour traiter des données de santé. La base légale dépend de la finalité du traitement.
Traitements ne nécessitant PAS de consentement spécifique RGPD :
Traitements nécessitant un consentement explicite :
Caractéristiques d’un consentement valide :
Documentez chaque consentement recueilli : date, modalité, finalité concernée. En cas de contrôle, vous devez pouvoir prouver que le patient a effectivement consenti. Pour optimiser cette gestion administrative, découvrez comment la dictée médicale efficace peut libérer du temps pour ces tâches de conformité.
La sécurité des données de santé repose sur trois piliers : la protection des accès, le chiffrement des données et la traçabilité des opérations.
Sécurisation des postes de travail :
Sécurisation du logiciel médical :
Sécurisation des échanges :
Sécurité physique :
La CNIL recommande de réaliser une analyse d’impact (AIPD) pour les traitements présentant un risque élevé. Un cabinet manipulant des données génétiques ou utilisant des outils d’aide au diagnostic automatisés peut être concerné.
Tout patient peut exercer ses droits sur ses données personnelles. Votre cabinet doit avoir une procédure claire pour répondre dans les délais légaux.
Droit d’accès (Article 15 RGPD) :
Le patient peut demander une copie de toutes les données le concernant. Vous disposez d’un mois pour répondre (prolongeable de deux mois si la demande est complexe). La première copie est gratuite ; des frais raisonnables peuvent être facturés pour les copies supplémentaires.
Droit de rectification (Article 16) :
En cas d’erreur dans les données (adresse, numéro de téléphone, orthographe du nom), la correction doit être effectuée sans délai. Documentez la modification dans le dossier.
Droit à l’effacement — cas particulier médical :
Le droit à l’effacement (« droit à l’oubli ») est limité pour les données de santé. Le Code de santé publique impose une conservation de 20