Le responsable de traitement est la personne ou l’organisation qui détermine les finalités et les moyens d’un traitement de données personnelles (RGPD (nouvel onglet), art. 4, point 7). Au cabinet, c’est l’ostéopathe libéral, ou la société d’exercice, qui décide pourquoi et comment les données des patients sont recueillies et conservées.
Quelles obligations pèsent sur lui ?
Il respecte les principes du RGPD et doit pouvoir le démontrer (art. 5 et 24). Concrètement :
- Informer les patients : identité du cabinet, finalités, destinataires, durée de conservation, droits, possibilité de saisir la CNIL (art. 13).
- Tenir un registre des traitements (art. 30), obligatoire dès lors que des données de santé sont traitées.
- Choisir ses sous-traitants parmi ceux qui présentent des garanties suffisantes et signer un contrat avec chacun (art. 28).
- Répondre aux demandes d’accès, de rectification ou d’effacement dans un délai d’un mois, prolongeable de deux mois (art. 12).
- Gérer les violations de données : notification à la CNIL dans les 72 heures si elles présentent un risque, information des patients si ce risque est élevé (art. 33 et 34).
Pour les durées de conservation, le référentiel de la CNIL (nouvel onglet) pour les cabinets paramédicaux sert de repère : 20 ans après la dernière prise en charge.
Cabinet de groupe : qui est responsable ?
Chaque praticien libéral qui tient ses propres dossiers est responsable de ses traitements. Lorsque plusieurs praticiens partagent un même fichier et en décident ensemble, ils peuvent être responsables conjoints : le RGPD leur demande alors de répartir leurs obligations par un accord (art. 26). Avec un remplaçant ou un collaborateur libéral, le contrat gagne à préciser qui décide de l’accès aux dossiers.
Le piège : croire que le prestataire est responsable
Utiliser un logiciel en ligne ne transfère pas la responsabilité. L’éditeur agit comme sous-traitant : il traite les données pour votre compte. C’est à vous de vérifier ses garanties, son hébergement (HDS) et ses conditions de sortie.
Dans Ostheo, vous êtes responsable du traitement et Ostheo agit comme sous-traitant. Les rôles du cabinet, les dossiers à accès restreint et le journal d’accès vous aident à documenter qui accède à quoi. Le cadre d’ensemble est résumé à l’entrée RGPD du glossaire.
Sources
Textes et pages officielles consultés pour rédiger cette page.
- [1]Règlement (UE) 2016/679 (RGPD), articles 4, 5, 12, 13, 24, 26, 28, 30, 33, 34 et 37, considérant 91EUR-Lex · eur-lex.europa.eu · consulté le 19 octobre 2026
- [2]Référentiel CNIL relatif aux traitements des cabinets médicaux et paramédicauxCNIL · cnil.fr · consulté le 19 octobre 2026
Questions fréquentes
Un ostéopathe doit-il désigner un délégué à la protection des données ?
En principe non, s’il exerce seul. Le RGPD l’impose quand l’activité de base consiste à traiter des données de santé à grande échelle (art. 37), et son considérant 91 précise que le traitement des données de patients par un médecin ou un autre professionnel de la santé exerçant à titre individuel n’est pas à grande échelle ; un ostéopathe seul est dans une situation comparable.
Dois-je déclarer mon fichier de patients à la CNIL ?
Non : pour un cabinet, les déclarations préalables ont disparu le 25 mai 2018, avec l’entrée en application du RGPD. Vous tenez en revanche un registre des traitements et devez pouvoir le présenter.