Le RGPD au cabinet d’ostéopathie

Qui est responsable du traitement au cabinet ?

Le RGPD distingue deux rôles. Le responsable du traitement décide pourquoi et comment les données sont traitées ; le sous-traitant les traite pour son compte (RGPD, art. 4). Au cabinet, le responsable, c’est vous : vous choisissez ce que vous notez, combien de temps vous le gardez et à qui vous le transmettez. En cabinet de groupe, chaque praticien peut être responsable pour ses patients, ou les associés responsables conjoints s’ils partagent un même dossier : écrivez qui fait quoi.

Votre éditeur de logiciel, votre hébergeur, votre plateforme de prise de rendez-vous ou votre service de sauvegarde sont des sous-traitants. Ils ne peuvent traiter les données que sur vos instructions, et c’est à vous de choisir des prestataires qui présentent des « garanties suffisantes » (art. 28).

Quelles données de santé pouvez-vous collecter, et sur quelle base ?

Tout ce qui révèle l’état de santé d’un patient est une donnée de santé, y compris le fait qu’il reçoive des soins (RGPD, art. 4). Ces données sont en principe interdites de traitement, sauf exceptions : celle qui vous concerne est la prise en charge sanitaire, par une personne soumise au secret professionnel (art. 9, paragraphes 2 h et 3).

Chaque finalité doit aussi reposer sur une base légale (art. 6), que vous choisissez et documentez. Le référentiel de la CNIL propose l’obligation légale pour la tenue du dossier, et l’intérêt légitime pour la prise de rendez-vous et la comptabilité. Un point d’attention : nous n’avons trouvé aucun texte qui impose expressément à l’ostéopathe exclusif de tenir un dossier (le décret n° 2007-435 (nouvel onglet) n’en parle pas). Notez donc votre choix de base légale dans le registre, par exemple l’exécution du contrat de soins ou l’intérêt légitime, plutôt que de recopier le tableau de la CNIL.

Ne collectez que ce qui sert la prise en charge : identité et coordonnées, motif, antécédents utiles, observations, séances. Dans les zones de texte libre, n’écrivez que ce qui sert la prise en charge.

Comment informer les patients ?

Vous devez informer chaque patient au moment où vous recueillez ses données (RGPD, art. 13), en termes clairs. Le référentiel admet un affichage dans les locaux ou la remise d’un document, notamment pour les visites à domicile (dépliant, courriel de confirmation de rendez-vous). Si vous prenez des rendez-vous en ligne ou avez un site, reprenez cette information sur le site.

L’information indique au minimum : votre identité et vos coordonnées, les finalités et leurs bases légales, les destinataires (dont vos prestataires), la durée de conservation, les droits du patient (accès, rectification, effacement, limitation, opposition), et le droit de saisir la CNIL. Si vous utilisez un outil de dictée ou d’assistance par IA, mentionnez-le parmi les outils qui traitent les données.

Faut-il tenir un registre des traitements quand on exerce seul ?

Oui. Le registre est obligatoire pour tout responsable du traitement ; l’exemption des structures de moins de 250 salariés ne s’applique pas au traitement de données de santé (RGPD, art. 30 (nouvel onglet)). La CNIL le rappelle aux professionnels de santé libéraux et propose un modèle de registre (nouvel onglet).

Pour un cabinet, trois ou quatre fiches suffisent souvent : dossiers patients, rendez-vous, facturation et comptabilité, éventuellement site internet. Chaque fiche indique la finalité, les catégories de personnes et de données, les destinataires, les durées, et les grandes lignes des mesures de sécurité. Le registre reste chez vous ; il n’est pas envoyé à la CNIL.

Quelles mesures de sécurité mettre en place ?

L’article 32 du RGPD demande des mesures adaptées au risque. Le référentiel de la CNIL (nouvel onglet) les détaille pour un cabinet :

• un identifiant propre à chaque utilisateur, et une authentification forte (carte CPS ou autre moyen à deux facteurs) pour accéder aux données de santé ;
• des profils d’habilitation qui séparent les données administratives et médicales : le secrétariat n’accède qu’à ce dont il a besoin ;
• le verrouillage automatique des sessions, des écrans protégés des regards, des mises à jour installées sans délai ;
• des sauvegardes régulières, stockées en lieu sûr ;
• des clés USB et disques externes limités et chiffrés ;
• une messagerie sécurisée, ou des pièces jointes chiffrées dont le code part par un autre canal ;
• des dossiers papier sous clé et détruits au broyeur en fin de vie.

Comment encadrer vos sous-traitants ?

Chaque prestataire qui traite des données pour vous signe un contrat conforme à l’article 28 du RGPD (nouvel onglet) : traitement sur instruction documentée, confidentialité du personnel, sécurité, pas de sous-traitant ultérieur sans votre autorisation écrite, aide pour répondre aux patients, suppression ou restitution des données en fin de contrat, audits possibles.

Pour les données de santé, un prestataire qui les héberge pour vous doit en outre être titulaire d’un certificat d’hébergeur de données de santé (CSP, art. L1111-8 (nouvel onglet)). Le détail est dans notre guide sur l’hébergement de données de santé (HDS). Avec une plateforme de rendez-vous en ligne, le référentiel demande une répartition claire des responsabilités : lisez ses conditions avant de l’activer.

Que faire en cas de violation de données ?

Une violation, c’est une perte, une fuite, un vol ou un accès non autorisé : ordinateur volé, courriel envoyé au mauvais patient, rançongiciel. Vous la documentez dans tous les cas. Si elle présente un risque pour les patients, vous la notifiez à la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance ; si le risque est élevé, vous informez aussi les patients concernés (RGPD, art. 33 et 34). La notification se fait en ligne sur le téléservice de la CNIL (nouvel onglet). Votre sous-traitant doit vous prévenir sans tarder s’il en subit une.

Délégué à la protection des données et analyse d’impact : êtes-vous concerné ?

Pour un praticien qui exerce à titre individuel, la CNIL indique qu’il n’y a pas d’obligation de désigner un délégué ni de mener une analyse d’impact (CNIL (nouvel onglet)). Ces obligations apparaissent si vous traitez des données de santé à grande échelle : réseau, maison de santé, dossiers partagés. Le référentiel estime qu’elles « devraient être nécessaires » pour un cabinet groupé qui partage un système d’information, à partir de 10 000 patients par an.