La CNIL le rappelle régulièrement : le secteur de la santé concentre une part importante des plaintes et des contrôles, parce que les données y sont particulièrement sensibles. Se mettre en conformité, ce n'est pas cocher des cases pour la forme, c'est protéger vos patients et vous protéger vous. Voici les huit points qui structurent une conformité RGPD réaliste pour un cabinet médical.
Pourquoi les données de santé relèvent d'un régime renforcé
Le RGPD classe les données de santé dans son article 9, parmi les catégories particulières dont le traitement est en principe interdit, sauf exceptions encadrées : la nécessité des soins en est une. Concrètement, dès qu'un motif de consultation, un antécédent ou un résultat est enregistré, vous manipulez une donnée à protection renforcée (CNIL). Le médecin est responsable de traitement, c'est-à-dire comptable de la façon dont ces données sont collectées, conservées et sécurisées.
1. Tenir le registre des traitements
C'est la pièce maîtresse et le premier document qu'un contrôleur demande. Le registre recense chaque traitement de données : gestion des rendez-vous, dossier patient, facturation, télétransmission, éventuelle newsletter. Pour chacun, on indique la finalité, les catégories de données, les destinataires, la durée de conservation et les mesures de sécurité. La CNIL propose un modèle adapté aux petites structures. Sans registre, vous ne pouvez pas démontrer votre conformité, et l'absence de preuve vaut manquement.
2. Sécuriser l'hébergement : la certification HDS
Toute donnée de santé hébergée par un tiers doit l'être chez un hébergeur certifié HDS (hébergeur de données de santé). Cela vaut pour votre logiciel métier, votre solution de prise de rendez-vous, votre sauvegarde en ligne. C'est une obligation légale, pas une option. Point de vigilance devenu central : les outils d'IA grand public comme ChatGPT ne sont pas certifiés HDS. Y verser une donnée patient est non conforme. Ce sujet précis est traité dans notre article sur l'AI Act et le RGPD.
3. Fixer et respecter les durées de conservation
On ne garde pas les données indéfiniment. Le dossier médical se conserve selon des durées encadrées, et les données de gestion (rendez-vous, facturation) ont leurs propres délais. Au-delà, les données doivent être archivées puis supprimées. Définir ces durées, les inscrire au registre et les appliquer réellement fait partie du socle. Une base qui accumule tout depuis dix ans est un risque, pas un patrimoine.
4. Répondre aux droits des patients
Un patient peut demander l'accès à ses données, leur rectification, et dans certaines limites leur effacement. Vous devez pouvoir répondre dans un délai d'un mois. Cela suppose de savoir où sont les données, de vérifier l'identité du demandeur et de tracer la réponse. Un accès au dossier médical relève de règles spécifiques, mais le principe reste : une demande, une réponse motivée, dans les délais.
5. Verrouiller la sécurité au quotidien
La majorité des incidents ne viennent pas d'une attaque sophistiquée mais d'un geste ordinaire. Les bons réflexes : un mot de passe fort et personnel par utilisateur, jamais partagé, des sessions verrouillées quand on quitte le poste, des accès limités à ce dont chacun a besoin, des sauvegardes régulières et testées, et une vigilance face au phishing. Former l'équipe à ces réflexes coûte moins cher qu'une fuite. C'est le cœur de notre formation RGPD et sécurité des données de santé.
6. Encadrer les sous-traitants
Votre éditeur de logiciel, votre prestataire de télétransmission, votre secrétariat externalisé traitent des données pour votre compte : ce sont des sous-traitants au sens du RGPD. Chacun doit être lié par un contrat qui précise ses obligations de sécurité et de confidentialité. Vérifier que vos prestataires sont eux-mêmes conformes, HDS compris, fait partie de votre responsabilité.
7. Savoir réagir à une violation de données
Perte d'un ordinateur, rançongiciel, envoi d'un courrier au mauvais patient : une violation de données peut survenir malgré tout. La règle : notifier la CNIL dans les 72 heures lorsque la violation présente un risque pour les personnes, et informer les patients concernés si le risque est élevé. Avoir une procédure écrite connue de l'équipe évite la panique et le retard, qui aggravent la situation.
8. DPO et analyse d'impact : dans quels cas
La désignation d'un délégué à la protection des données (DPO) n'est pas toujours obligatoire pour un petit cabinet, mais elle est vivement recommandée dès que le suivi de patients est régulier et à grande échelle. L'analyse d'impact (AIPD) devient nécessaire lorsqu'un traitement présente un risque élevé, par exemple un nouvel outil qui analyse des images médicales. En cas de doute, la grille de la CNIL aide à trancher.
De la checklist à la pratique
Cette liste se tient sur une page, mais elle se vit au quotidien, par toute l'équipe. La conformité tient rarement à un document manquant, elle tient aux gestes : qui accède à quoi, ce qu'on tape dans quel outil, comment on répond à une demande. C'est pourquoi la formation est le meilleur investissement de conformité. Une partie peut être financée par votre OPCO, voir financement OPCO, sachant qu'un reste à charge est fréquent. Pour un diagnostic de votre situation, contactez-nous.
Questions fréquentes
- Un petit cabinet médical est-il vraiment concerné par le RGPD ?
- Oui, sans seuil de taille. Le RGPD s'applique dès qu'on traite des données personnelles, et les données de santé relèvent du régime renforcé de l'article 9. Un cabinet de un ou deux praticiens est concerné au même titre qu'un centre pluridisciplinaire. Le secteur de la santé fait d'ailleurs l'objet d'une attention particulière de la CNIL en raison de la sensibilité des données.
- Faut-il obligatoirement un hébergement certifié HDS ?
- Oui, dès que des données de santé sont hébergées par un tiers : logiciel métier, prise de rendez-vous en ligne, sauvegarde externalisée. La certification HDS est une obligation légale. Corollaire important : les outils d'IA grand public comme ChatGPT, Copilot ou Gemini ne sont pas certifiés HDS, il ne faut donc jamais y verser de données de patients.
- Dois-je désigner un DPO pour mon cabinet ?
- Pas toujours pour un petit cabinet, mais c'est vivement recommandé dès que le suivi de patients est régulier et à grande échelle. Le DPO peut être interne ou externe, mutualisé entre plusieurs structures. Même sans DPO obligatoire, vous restez responsable de traitement et devez pouvoir démontrer votre conformité, à commencer par le registre des traitements.
- Que faire en cas de violation de données patients ?
- Notifier la CNIL dans les 72 heures lorsque la violation présente un risque pour les personnes, et informer les patients concernés si le risque est élevé. Une procédure écrite, connue de l'équipe, permet de réagir vite et bien. Le retard et l'improvisation aggravent toujours la situation, y compris du point de vue de la CNIL.
- Combien de temps conserver les données des patients ?
- Les données ne se conservent pas indéfiniment. Le dossier médical suit des durées encadrées, et les données de gestion comme les rendez-vous ou la facturation ont leurs propres délais, plus courts. Au-delà, il faut archiver puis supprimer. Ces durées doivent être définies, inscrites au registre des traitements et réellement appliquées.