À quoi sert cette checklist ?
À faire le point, sans juriste, sur ce que le RGPD attend d’un cabinet d’ostéopathie, et à garder la trace de cette revue : la checklist porte la date de la revue et celle de la suivante. Elle s’appuie sur le référentiel de la CNIL pour les cabinets médicaux et paramédicaux (nouvel onglet), qui n’a pas de valeur contraignante mais décrit ce que la CNIL considère comme conforme. Le guide RGPD du cabinet d’ostéopathie explique chaque point en détail.
Quels sont les douze points à vérifier ?
Les douze points de la checklist RGPD
Tels qu’ils figurent sur le PDF, avec leur source.
1. Un registre des traitements
Rendez-vous, dossiers, comptabilité : finalité, données, destinataires, durées, sécurité (RGPD, art. 30). La CNIL propose un modèle simplifié en tableur.
2. Ne collecter que le nécessaire
Des données utiles à la prise en charge, exactes et à jour (RGPD, art. 5).
3. Informer les patients
Par affichage au cabinet ou par un document remis (référentiel CNIL, § 8 ; RGPD, art. 13). Voir la notice d’information.
4. Répondre aux demandes de droits
Accès, rectification, effacement, limitation, opposition : réponse sous un mois, prolongeable de deux mois (RGPD, art. 12 et 15 à 21).
5. Fixer les durées de conservation
Repère CNIL : dossier conservé 20 ans après la dernière prise en charge, dont 5 en base active ; pièces comptables 6 ans (LPF, art. L102 B).
6. Encadrer les sous-traitants
Logiciel, hébergeur, secrétariat à distance : un contrat qui reprend les clauses de l’article 28 du RGPD.
7. Un hébergeur certifié
Les données de santé hébergées pour votre compte le sont chez un hébergeur certifié (CSP, art. L1111-8).
8. Maîtriser les accès
Un identifiant par personne, des mots de passe solides, une authentification à deux facteurs ; le secrétariat ne voit que l’administratif.
9. Sécuriser postes, mobiles et sauvegardes
Verrouillage automatique, chiffrement, mises à jour, sauvegardes régulières stockées en lieu sûr.
10. Sécuriser les échanges
Pas de données de santé en clair par e-mail : messagerie sécurisée, ou fichier chiffré et secret transmis par un autre canal.
11. Protéger les locaux et le papier
Armoire fermée à clé, écran hors de vue, impressions récupérées aussitôt, broyeur.
12. Préparer la gestion d’une violation
Perte, vol, piratage : documentez l’incident et notifiez la CNIL dans les 72 heures s’il présente un risque (RGPD, art. 33) ; informez les patients si le risque est élevé (art. 34).
Mettre le cabinet en conformité, étape par étape
La première fois, puis à chaque revue annuelle ou changement d’outil.
Recensez vos traitements
Listez ce que vous faites des données : rendez-vous, dossiers, notes d’honoraires, courriers. Reportez-les dans le registre de la CNIL.
Faites l’inventaire de vos prestataires
Logiciel, hébergeur, messagerie, secrétariat : vérifiez le contrat de chacun et, pour les données de santé, la certification de l’hébergeur.
Informez vos patients
Affichez la notice en salle d’attente ou remettez-la, et tenez la version complète à disposition.
Réglez les accès et la sécurité
Comptes individuels, double authentification, verrouillage, sauvegardes, armoire fermée.
Datez la revue
Notez la date sur la checklist et prévoyez la suivante dans un an, ou plus tôt si vous changez d’outil ou de locaux.
Sources
Textes et pages officielles consultés pour rédiger cette page.
- [1]Référentiel relatif aux traitements de données des cabinets médicaux et paramédicaux (délibération n° 2020-081)CNIL · cnil.fr · consulté le 19 octobre 2026
- [2]RGPD et professionnels de santé libéraux : ce que vous devez savoirCNIL · cnil.fr · consulté le 19 octobre 2026
- [3]Le registre des activités de traitementCNIL · cnil.fr · consulté le 19 octobre 2026
- [4]Règlement (UE) 2016/679 (RGPD), articles 5, 12 à 21, 28, 30, 33 et 34EUR-Lex · eur-lex.europa.eu · consulté le 19 octobre 2026
- [5]Code de la santé publique, article L1111-8 (hébergement des données de santé)Légifrance · legifrance.gouv.fr · consulté le 19 octobre 2026
- [6]Livre des procédures fiscales, article L102 B (conservation des documents)Légifrance · legifrance.gouv.fr · consulté le 19 octobre 2026
Questions fréquentes
Un ostéopathe seul doit-il tenir un registre des traitements ?
Oui. L’exemption partielle des structures de moins de 250 salariés ne vaut pas pour les traitements de données sensibles, comme les données de santé (CNIL, page sur le registre).
Faut-il désigner un délégué à la protection des données (DPO) ?
La CNIL indique que ce n’est pas nécessaire pour un professionnel exerçant seul. Elle l’estime nécessaire, avec une analyse d’impact, pour des professionnels en cabinet groupé qui partagent un système d’information, au-delà de 10 000 patients par an.
Faut-il le consentement du patient pour tenir son dossier ?
Non, selon la CNIL, pour les données nécessaires à la prise en charge. En revanche, le patient doit être informé du traitement et de ses droits.
Combien de temps conserver le dossier d’un patient ?
La CNIL retient pour les cabinets paramédicaux un repère de 20 ans après la dernière prise en charge, dont 5 ans en base active puis 15 ans en archive sur un support distinct. Les ostéopathes n’y sont pas cités : c’est un repère.