Conservation des dossiers patients : durées et archivage

Combien de temps conserver un dossier patient en ostéopathie ?

Le RGPD interdit de conserver des données sans limite : vous devez fixer une durée adaptée à la finalité (art. 5). Aucun texte ne fixe cette durée pour les ostéopathes. Service-public.fr le dit aussi pour les praticiens libéraux en général : « il n’existe pas de délais de conservation fixés par la loi » ; il les encourage à suivre les durées des établissements.

Le repère le plus proche est le référentiel de la CNIL des cabinets médicaux et paramédicaux (nouvel onglet), adopté par la délibération n° 2020-081 du 18 juin 2020 (nouvel onglet). Il ne cite pas les ostéopathes et n’a pas de valeur contraignante. Mais s’en écarter suppose, selon la CNIL, de pouvoir justifier votre besoin. Retenir ses 20 ans est donc le choix le plus simple à défendre.

Que dit exactement le référentiel de la CNIL ?

Sa partie 7 prévoit que les données du cabinet « peuvent être conservées pendant une durée de vingt ans à compter de la date de la dernière prise en charge du patient ». La durée se découpe en deux temps :

• 5 ans en base active, à compter de la dernière intervention sur le dossier : le dossier est consultable normalement ;
• 15 ans en archive, sur un support distinct, avec une sécurité équivalente à celle des données courantes.

Il ajoute trois précisions utiles. À l’expiration, les données sont supprimées ou archivées sous une forme anonymisée ; effacer les noms et prénoms ne suffit pas, car une pseudonymisation n’est pas une anonymisation. Les éditeurs de logiciels doivent intégrer un archivage automatique à la date d’échéance ; à défaut, vous le faites à la main. Enfin, la conservation et l’archivage respectent l’obligation de sécurité de l’article 32 du RGPD.

Patients mineurs et décédés : quelle durée ?

Le référentiel ne dit rien de ces deux cas. La seule règle chiffrée vient de l’article R1112-7 du Code de la santé publique (nouvel onglet), qui vise les établissements de santé, pas les cabinets libéraux :

• le dossier est conservé 20 ans après le dernier séjour ou la dernière consultation externe ;
• si cette durée se termine avant le 28e anniversaire du patient, la conservation est prolongée jusqu’à cette date ;
• si le patient décède moins de 10 ans après son dernier passage, le dossier est conservé 10 ans à compter du décès ;
• toute action amiable ou contentieuse qui met en cause la responsabilité médicale suspend ces délais.

Rien ne vous oblige à transposer ces règles. Mais pour un nourrisson vu une seule fois, 20 ans après la dernière séance le mène à peine à l’âge adulte : aligner vos dossiers de mineurs sur la règle des 28 ans est une précaution raisonnable, et facile à paramétrer.

Qu’est-ce que l’archivage intermédiaire, concrètement ?

Passé 5 ans sans nouvelle séance, le dossier n’a plus à apparaître dans votre activité courante. Le référentiel demande alors un support distinct et des modalités d’accès spécifiques : seules les personnes habilitées peuvent ressortir un dossier archivé, par exemple pour répondre à une demande d’accès d’un patient ou à une réclamation. Un patient qui revient après six ans retrouve son dossier, qui repasse en base active.

Comment détruire les dossiers en fin de durée ?

Le référentiel demande de détruire les archives obsolètes de manière sécurisée : effacement effectif dans le logiciel et chez l’hébergeur, données effacées de tout matériel avant sa mise au rebut, papier détruit au broyeur (il cite au minimum la classe 3 de la norme DIN 32757). Notez la date et le lot détruit dans votre registre des traitements : c’est la preuve que vous appliquez vos propres durées (voir le guide RGPD au cabinet).

Changement de logiciel, cessation d’activité, retraite : que deviennent les dossiers ?

Changement de logiciel. Votre ancien prestataire doit, à votre choix, vous restituer les données ou les supprimer à la fin du contrat (RGPD, art. 28). Le contrat d’hébergement de données de santé prévoit la réversibilité, la restitution de toutes les données puis leur destruction sans copie (CSP, art. R1111-11 (nouvel onglet)). Récupérez l’historique complet, archives comprises, avant de résilier : la durée de 20 ans court toujours.

Cessation d’activité ou retraite. Nous n’avons trouvé aucun texte propre aux ostéopathes sur le sort des dossiers quand on cesse d’exercer. Les bonnes pratiques qui se dégagent des règles générales :

• vous restez responsable du traitement jusqu’à la fin des durées choisies : gardez les dossiers dans un lieu ou chez un prestataire sécurisé ;
• ne transmettez un dossier à un successeur qu’avec l’accord du patient, le secret professionnel s’appliquant (voir le guide sur le secret professionnel) ;
• informez vos patients de la manière d’obtenir une copie de leur dossier, puis tenez le registre des destructions.