RGPD au cabinet médical : les 5 obligations qu'on oublie

Les données de santé comptent parmi les plus protégées du RGPD, et un cabinet médical en traite du matin au soir. La conformité ne se limite pas au secret médical : elle impose des obligations documentées et vérifiables, souvent négligées faute de temps. Cinq d'entre elles reviennent systématiquement dans les contrôles.

Registre des traitements et information des patients

Première obligation oubliée : le registre des activités de traitement. Même un cabinet individuel doit décrire, par écrit, quelles données il collecte, pour quelles finalités, avec quels destinataires et quelles durées de conservation. Le document tient en quelques pages et la CNIL publie des modèles adaptés aux professionnels de santé ; l'absence totale de registre, elle, se constate en trente secondes lors d'un contrôle. Deuxième obligation : l'information des patients. Un affichage en salle d'attente et une mention sur les documents du cabinet doivent indiquer qui traite les données, pourquoi, et comment exercer ses droits d'accès et de rectification. Le consentement n'est pas le sujet ici : le soin justifie le traitement, mais l'information reste due.

Durées de conservation et minimisation des données

Troisième oubli fréquent : la durée de conservation. Conserver « pour toujours » n'est pas une politique. Les référentiels du secteur recommandent de s'aligner sur les durées applicables aux établissements de santé, avec un point de départ à la dernière prise en charge ; l'essentiel est d'avoir une règle écrite et de l'appliquer, y compris aux archives papier héritées d'un prédécesseur. Quatrième obligation, la minimisation : ne collecter que le nécessaire au soin et à la gestion du cabinet. Les pratiques quotidiennes trahissent souvent le principe :

• une messagerie standard utilisée pour échanger des comptes rendus médicaux ;
• des comptes partagés entre praticiens et secrétariat, sans traçabilité individuelle ;
• des sauvegardes dont personne n'a jamais testé la restauration ;
• des exports de patientèle qui circulent sur des clés USB non chiffrées.

Chacun de ces points se corrige en quelques heures, avec une messagerie sécurisée de santé, des comptes nominatifs et une politique de sauvegarde réellement testée.

Sous-traitants, hébergement et violations de données

Cinquième obligation, la plus structurante : encadrer ceux qui touchent aux données pour votre compte. L'éditeur du logiciel, l'hébergeur, le prestataire informatique sont des sous-traitants au sens du RGPD, et un contrat doit préciser leurs engagements. Pour les données de santé stockées à l'extérieur du cabinet, l'hébergement doit être certifié pour les données de santé : la question mérite d'être posée par écrit à chaque prestataire. Restent les violations de données : un ordinateur volé, une messagerie compromise, un rançongiciel. La règle prévoit une notification à la CNIL sous soixante-douze heures lorsque la violation présente un risque pour les patients, ce qui suppose d'avoir défini à l'avance qui constate, qui décide et qui notifie.

Le RGPD ne demande pas la perfection : il demande de savoir quelles données vous détenez, pourquoi, et de pouvoir le prouver.

Une demi-journée suffit pour poser le registre, la règle de conservation et la liste des sous-traitants. C'est peu, comparé au coût d'un contrôle qui démarre sans aucun document à présenter.