Le RGPD (règlement général sur la protection des données, règlement (UE) 2016/679 (nouvel onglet)) encadre tout traitement de données personnelles dans l’Union européenne. Il s’applique depuis le 25 mai 2018 à toute personne qui traite de telles données, y compris un ostéopathe seul dans son cabinet.
Quelles notions retenir ?
L’article 4 du règlement pose les définitions :
- Donnée à caractère personnel : toute information sur une personne identifiée ou identifiable (nom, téléphone, date de naissance…).
- Traitement : toute opération sur ces données (collecte, enregistrement, consultation, envoi, effacement).
- Données concernant la santé : les données sur la santé physique ou mentale d’une personne, y compris les soins reçus, qui révèlent son état de santé. Le motif de consultation, l’anamnèse ou un schéma corporel en font partie.
- Responsable de traitement : celui qui décide des finalités et des moyens, ici l’ostéopathe.
- Sous-traitant : celui qui traite les données pour son compte, comme l’éditeur d’un logiciel en ligne.
Pourquoi les données de santé sont-elles à part ?
L’article 9 interdit en principe leur traitement, puis prévoit des exceptions. L’une d’elles couvre le traitement nécessaire à la prise en charge sanitaire, sous la responsabilité d’un professionnel soumis au secret. C’est la base retenue par la CNIL dans son référentiel pour les cabinets médicaux et paramédicaux (nouvel onglet) ; les ostéopathes n’y sont pas cités, mais il sert de repère.
Quels principes appliquer au cabinet ?
L’article 5 fixe sept principes : licéité, loyauté et transparence ; finalités déterminées ; minimisation des données ; exactitude ; durée de conservation limitée ; sécurité et confidentialité ; responsabilité, c’est-à-dire être capable de démontrer le respect des règles. Concrètement :
- informer les patients de l’usage de leurs données (art. 13) ;
- tenir un registre des traitements (art. 30) : l’exemption des structures de moins de 250 personnes ne joue pas pour les données de santé ;
- choisir des prestataires qui présentent des garanties et signer avec eux un contrat (art. 28) ;
- répondre aux demandes d’accès dans un délai d’un mois, prolongeable de deux mois (art. 12).
Piège : le RGPD ne remplace pas le secret professionnel. Les deux s’appliquent en même temps.
Dans Ostheo, vous êtes responsable du traitement des données de vos patients et Ostheo agit comme sous-traitant ; ce qui est en place et ce qui reste à publier (accord de sous-traitance, liste des sous-traitants ultérieurs) figure sur la page Sécurité. Pour le cadre réglementaire d’ensemble, voir le hub Réglementation de l’ostéopathie.
Sources
Textes et pages officielles consultés pour rédiger cette page.
- [1]Règlement (UE) 2016/679 (RGPD), articles 4, 5, 9, 28 et 30EUR-Lex · eur-lex.europa.eu · consulté le 19 octobre 2026
- [2]Référentiel CNIL relatif aux traitements des cabinets médicaux et paramédicaux (délibération n° 2020-081)CNIL · cnil.fr · consulté le 19 octobre 2026
Questions fréquentes
Le RGPD s’applique-t-il à un ostéopathe seul dans son cabinet ?
Oui. La taille ne compte pas : dès que vous traitez des données de patients, vous êtes responsable de traitement, et le registre est obligatoire parce que vous traitez des données de santé.
Faut-il le consentement du patient pour tenir son dossier ?
En principe non : le RGPD autorise le traitement des données de santé nécessaire à la prise en charge, sous la responsabilité d’un professionnel tenu au secret (art. 9). Le patient doit en revanche être informé.
Combien de temps garder les dossiers des patients ?
Aucun texte ne fixe de durée propre aux ostéopathes. Le référentiel de la CNIL pour les cabinets paramédicaux retient 20 ans après la dernière prise en charge, dont 5 ans en base active : c’est un repère.