Obligations RGPD d'un cabinet médical ou paramédical en Pévèle

Que reste-t-il à faire depuis la fin des déclarations ?

Avant le RGPD, votre cabinet a peut-être souscrit un engagement de conformité à la norme simplifiée n° 50. Cette formalité n'a plus de valeur juridique, précise la CNIL. Selon sa réponse aux cabinets libéraux, les fichiers de patients ne se déclarent plus depuis le 25 mai 2018 : le professionnel doit désormais démontrer leur conformité. Le référentiel du 18 juin 2020 prend la suite de l'ancienne norme, sans l'imposer : « Ce référentiel n'a pas de valeur contraignante. » Vous pouvez vous en écarter si vous justifiez ce choix.

Le registre, lui, reste obligatoire. L'article 30 du RGPD dispense en partie les structures de moins de 250 employés, mais pas pour les données de santé. La CNIL accepte un registre papier ou électronique et propose un modèle simplifié. Vous le gardez au cabinet et le présentez aux agents de la CNIL en cas de contrôle, indique sa page consacrée aux libéraux de santé.

Le délégué à la protection des données et l'analyse d'impact dépendent de la taille. Si vous exercez à titre individuel, cette même page n'impose ni l'un ni l'autre, sauf traitement à grande échelle, comme des dossiers partagés entre plusieurs professionnels. Le référentiel chiffre le seuil : la CNIL y estime qu'ils « devraient être nécessaires » en cabinet groupé partageant un système d'information commun, à partir de 10 000 patients par an.

Faut-il le consentement du patient ?

Non, pour les données qui servent à soigner. La CNIL l'écrit sans détour : « Vous n'avez pas besoin de recueillir le consentement des patients pour collecter et conserver les données de santé les concernant ». L'article 9 du RGPD le permet à un professionnel de santé tenu au secret professionnel. Ce consentement ne se confond pas avec celui qu'exigent certains actes médicaux.

Le référentiel propose une base légale pour chaque usage. La tenue du dossier médical, les documents destinés à l'Assurance maladie et le dossier de soins infirmiers relèvent de l'obligation légale. La prise de rendez-vous, la comptabilité, la télémédecine et le télésoin relèvent de l'intérêt légitime. Pour le dossier médical, le patient « ne peut dès lors s'opposer par principe au traitement de ses données personnelles ». Il garde son droit d'accès : l'article L. 1111-7 du Code de la santé publique impose de lui communiquer son dossier sous huit jours, après quarante-huit heures de réflexion. Le délai passe à deux mois pour des informations de plus de cinq ans.

Reste à informer vos patients. Le référentiel prévoit un affichage dans les locaux ou un document remis, notamment lors des visites à domicile : un dépliant, ou un courriel qui confirme le rendez-vous. La CNIL liste les mentions attendues : le responsable et ses coordonnées, l'usage des données et sa base légale, leurs destinataires et leur durée de conservation. S'y ajoutent les droits du patient, dont celui de saisir la CNIL. Je vois cette affiche comme le résumé lisible du registre.

Enfin, ne notez que l'utile. Selon la CNIL, les données doivent être « adéquates, pertinentes et limitées à ce qui est strictement nécessaire à la prise en charge du patient ». Pour la famille, ses deux textes ne placent pas la limite au même endroit. Sa page de 2018 juge que recueillir la vie familiale d'un patient « n'est en principe pas appropriée ». Son référentiel de 2020 range pourtant la situation familiale, comme le nombre d'enfants, parmi les données en principe pertinentes. Je pose le même principe de sobriété dans mes projets, comme le décrit ma méthode.

Combien de temps garder un dossier patient ?

Pour un médecin en cabinet, aucun texte ne fixe cette durée, rappelle l'Ordre des médecins. « Le CNOM recommande aux médecins d'appliquer les délais de conservation prévus pour les établissements de santé. » Ces délais figurent à l'article R. 1112-7 du Code de la santé publique.

À l'échéance, le référentiel prévoit de supprimer les données ou de les anonymiser, et effacer les noms ne suffit pas. Un médecin qui cesse son activité reste responsable de ses dossiers, ajoute l'Ordre : ils ne passent pas d'office à son successeur, et le conseil départemental doit savoir où ils sont conservés.

Secrétaire, remplaçant, papier : comment protéger les dossiers ?

Le secrétariat n'accède qu'à ce qu'exige sa mission. Selon la CNIL, le secrétaire médical gère les rendez-vous avec les données administratives, mais « n'accède pas à la totalité du dossier médical ». Le référentiel admet certaines informations médicales, dans des limites strictes et sous le contrôle du professionnel. Le médecin, l'infirmier et le masseur-kinésithérapeute doivent en outre instruire les personnes qui les assistent de leurs obligations de secret professionnel.

Côté informatique, le référentiel recommande un identifiant par utilisateur et des profils qui séparent l'administratif du médical. La carte de professionnel de santé reste strictement personnelle : son code ne se confie pas au personnel du cabinet. J'en tire une règle simple pour le remplaçant : il entre sous son propre nom. D'après l'Assurance maladie, le médecin remplaçant transmet les feuilles de soins électroniques avec sa propre carte, dans une session ouverte par le remplacé dans son logiciel. Le kinésithérapeute remplaçant exclusif peut obtenir une carte qui l'identifie dans le logiciel du cabinet.

Le papier suit les mêmes règles, rappelle la CNIL. Le référentiel recommande une armoire fermant à clé, des impressions récupérées aussitôt et un broyeur pour ce qui ne sert plus. Il conseille aussi de protéger les écrans des regards indiscrets.

Si un prestataire héberge vos dossiers numériques, il doit être certifié, selon l'article L. 1111-8 du Code de la santé publique. Tout prestataire qui touche aux données, maintenance comprise, signe un contrat de sous-traitance conforme à l'article 28 du RGPD, rappelle le référentiel. J'en joins un au devis quand une mission me fait traiter des données, comme l'indiquent mes réponses aux questions fréquentes.

La CNIL sanctionne aussi les libéraux. Le 7 décembre 2020, elle a infligé 3 000 euros et 6 000 euros d'amende à deux praticiens libéraux. Leurs images médicales, avec le nom et la date de naissance des patients, étaient accessibles sur internet. En cause : des ports ouverts sur leur box internet, la fonction serveur d'un logiciel d'imagerie et des ordinateurs non chiffrés. L'un d'eux attribuait le réglage de sa box à des prestataires : la CNIL a jugé ce point sans effet, la sécurité incombant au responsable du traitement. Le Conseil d'État a ramené la première amende à 2 500 euros en 2022, la CNIL ayant elle-même signalé la fuite à ce praticien.

Par où commencer, liste en main ?

Voici les points à vérifier, dans l'ordre où je les prendrais.

1. Le registre est rempli, une fiche par traitement, à partir du modèle de la CNIL.
2. Une notice complète est affichée en salle d'attente, et remise en visite à domicile.
3. Les durées de conservation figurent au registre, avec l'archivage prévu après cinq ans.
4. Chacun a son identifiant, remplaçant compris, et la carte de professionnel de santé ne se prête pas.
5. Les dossiers papier sont sous clé et un broyeur détruit ce qui ne sert plus.
6. Chaque prestataire qui touche aux données a signé un contrat de sous-traitance.
7. Les ordinateurs portables sont chiffrés et la marche à suivre en cas de fuite est écrite.

Une fuite qui présente un risque pour les patients se notifie à la CNIL dans les meilleurs délais, si possible sous 72 heures. Ces règles sont celles des textes en vigueur au 26/09/2026. Pour un cas particulier, la CNIL répond gratuitement par téléphone, formulaire ou courrier, avec une permanence téléphonique pour les professionnels de santé. Elle n'appelle jamais un professionnel pour exiger de l'argent, précise-t-elle.