Dossier patient ostéopathe RGPD : conservation et obligations
Dossier patient ostéopathe et RGPD : conservation, droit d'accès, registre, hébergement des données de santé. Checklist de conformité en 10 points.
Oui, le RGPD s'applique pleinement à votre cabinet d'ostéopathie. Dès que vous notez un motif de consultation, des antécédents ou l'état de santé d'une personne, vous traitez des données de santé, la catégorie la plus sensible du règlement. Concrètement, vous devez conserver chaque dossier patient sur une durée longue (l'usage retenu est de l'ordre de 20 ans après le dernier contact), permettre au patient d'accéder à son dossier sous un mois, tenir un registre de vos traitements et garantir un hébergement sécurisé de ces informations. Cet article passe tout cela en revue sans jargon juridique : durée de conservation, droit d'accès, registre de traitement, hébergement des données de santé, puis une checklist de mise en conformité en 10 points que vous pouvez appliquer dès cette semaine.
Pourquoi le RGPD concerne tous les cabinets d'ostéopathie
Beaucoup d'ostéopathes pensent que le RGPD vise surtout les grandes structures ou les plateformes numériques. C'est faux : le règlement s'applique dès que vous traitez des données personnelles dans un cadre professionnel, quelle que soit la taille du cabinet, y compris si vous exercez seul avec un simple carnet papier.
Or, un dossier d'ostéopathie contient par nature des données de santé : motif de consultation, douleurs décrites, antécédents, tests réalisés, comptes rendus de séance. Ces données bénéficient d'une protection renforcée. Vous en êtes le responsable de traitement, celui qui décide pourquoi et comment elles sont collectées et conservées.
Ce que le RGPD impose en pratique
Quatre grands principes structurent vos obligations :
- Minimisation : ne collectez que ce qui est utile au suivi.
- Finalité : les données servent au suivi ostéopathique, pas à autre chose.
- Sécurité : l'accès aux dossiers doit être protégé, sur papier comme sur ordinateur.
- Droits des personnes : le patient peut accéder à son dossier, le rectifier et s'y opposer dans certaines limites.
La bonne nouvelle : la mise en conformité relève surtout du bon sens et de l'organisation, pas d'un dossier juridique.
Combien de temps conserver un dossier patient en ostéopathie
C'est la question qui revient le plus souvent. Le RGPD interdit de conserver des données « pour toujours, au cas où ». Vous devez fixer une durée de conservation cohérente avec la finalité de suivi.
La durée de conservation recommandée
L'ostéopathie n'est pas organisée autour d'un ordre professionnel doté d'un code de déontologie contraignant, contrairement aux médecins. Il n'existe donc pas de texte unique fixant une durée universelle et opposable pour vos dossiers. Dans la pratique, la référence la plus souvent retenue pour un dossier de santé est de l'ordre de 20 ans à compter du dernier contact avec le patient. Cette durée longue se justifie par le suivi possible sur plusieurs années et par la nécessité de pouvoir se défendre en cas de mise en cause de votre responsabilité.
Retenez le principe : mieux vaut une durée longue et justifiée qu'une conservation illimitée jamais réexaminée. Vérifiez toujours la durée applicable à votre situation auprès des sources officielles (CNIL, votre assureur en responsabilité civile professionnelle, votre syndicat).
Que faire au bout de la durée prévue
Une fois la durée atteinte, vous avez deux options : supprimer définitivement le dossier, ou l'anonymiser si vous souhaitez conserver des statistiques (nombre de séances par motif, par exemple) sans garder d'information identifiante.
Petit calcul concret : un cabinet qui reçoit 25 patients par semaine génère environ 1 000 nouveaux dossiers par an. Sans règle de tri, vous accumulez des milliers de dossiers dormants. Prévoir une purge annuelle, notée dans votre agenda, évite le stockage sans fin et réduit votre exposition en cas d'incident.
Le droit d'accès du patient à son dossier
Le patient est propriétaire des informations qui le concernent. Il peut, à tout moment, demander l'accès à son dossier. Savoir répondre calmement à cette demande fait partie de votre conformité.
Ce que le patient peut demander
- Une copie de son dossier (comptes rendus de séances, observations, tests).
- La rectification d'une information inexacte (une date de naissance erronée, par exemple).
- Des informations sur l'usage que vous faites de ses données.
Comment répondre correctement
Vous disposez en principe d'un délai d'un mois pour répondre. La communication du dossier est gratuite pour le patient (vous ne pouvez pas facturer l'accès en tant que tel). Vérifiez l'identité du demandeur avant de transmettre quoi que ce soit, et privilégiez un canal sécurisé plutôt qu'un e-mail ordinaire pour envoyer des données de santé.
Un dossier bien tenu se communique en quelques minutes. Un dossier éparpillé entre des notes papier, un carnet et un tableur non protégé transforme la demande en après-midi perdu. C'est l'un des intérêts d'un dossier patient structuré comme celui de Komper : retrouver l'historique complet d'une personne en une recherche, et en exporter une copie propre.
Le registre des activités de traitement
Le registre de traitement fait peur à cause de son nom. En réalité, pour un cabinet d'ostéopathie, c'est un document simple, souvent d'une à deux pages, que vous tenez et mettez à jour vous-même. Il n'est pas à envoyer à une administration, mais à présenter en cas de contrôle.
Ce que doit contenir votre registre
Le registre décrit, pour chaque traitement de données, quelques informations de base :
| Rubrique | Ce que vous indiquez | Exemple pour un cabinet |
|---|---|---|
| Finalité | À quoi servent les données | Suivi des patients, prise de rendez-vous |
| Catégories de données | Ce que vous collectez | Identité, coordonnées, données de santé |
| Personnes concernées | Qui est fiché | Patients du cabinet |
| Destinataires | Qui y a accès | Vous, votre remplaçant, votre logiciel |
| Durée de conservation | Combien de temps | Environ 20 ans après le dernier contact |
| Sécurité | Comment c'est protégé | Mot de passe, sauvegarde, local fermé à clé |
La CNIL met à disposition un modèle de registre simplifié adapté aux petites structures. Partez de ce modèle plutôt que d'une feuille blanche : vous gagnez un temps précieux et vous êtes certain de n'oublier aucune rubrique.
L'hébergement des données de santé
C'est le point le plus technique, mais il se résume à une question simple : où sont physiquement stockées vos données, et qui les protège ?
Papier, ordinateur, logiciel : trois cas de figure
- Dossiers papier : à conserver sous clé, dans un meuble ou une pièce non accessible aux patients. Le carnet laissé sur le bureau d'accueil est un risque classique.
- Fichiers sur votre ordinateur (tableur, documents) : à protéger par un mot de passe de session, avec une sauvegarde chiffrée. Un ordinateur volé sans mot de passe, c'est une fuite de données de santé.
- Logiciel de gestion de cabinet : vos données sont alors hébergées chez un prestataire, qui devient un maillon de votre conformité.
La question de l'hébergement certifié HDS
Lorsque des données de santé sont hébergées par un prestataire pour le compte d'un professionnel, la réglementation prévoit un cadre spécifique d'hébergement des données de santé (certification dite HDS). Si vous utilisez un logiciel en ligne pour gérer vos dossiers, la bonne pratique est de vous assurer que l'éditeur héberge ces données chez un hébergeur certifié, et de le faire figurer dans votre registre.
Ne vous fiez pas à une simple mention marketing : demandez la confirmation écrite à votre prestataire et vérifiez les informations auprès des sources officielles (CNIL, Agence du Numérique en Santé). C'est une question légitime à poser avant de choisir un outil. Si vous créez votre cabinet, intégrez ce critère dès le départ dans votre installation d'ostéopathe.
Sécuriser concrètement l'accès aux dossiers
La sécurité n'est pas un logiciel magique, c'est une série de petits réflexes. Les incidents les plus fréquents dans un cabinet sont simples : un mot de passe partagé, un écran laissé ouvert en salle d'attente, une clé USB perdue.
Quelques mesures de base qui règlent l'essentiel du risque :
- Un mot de passe solide et personnel pour chaque outil, jamais partagé sur un post-it.
- Le verrouillage automatique de l'écran dès que vous quittez le poste.
- Une sauvegarde régulière et chiffrée, testée au moins une fois pour vérifier qu'elle se restaure.
- Un local et des meubles à dossiers qui ferment à clé.
- La prudence avec l'e-mail : on n'envoie pas un compte rendu de santé en pièce jointe non protégée.
Si vous travaillez avec un remplaçant ou un collaborateur, tracez qui a accès à quoi et donnez à chacun son propre accès, plutôt qu'un mot de passe unique partagé par tout le cabinet.
Consentement, information et communication des patients
Le RGPD ne vous oblige pas à faire signer un formulaire pour chaque geste. Le suivi ostéopathique repose sur une base légale qui ne nécessite pas un consentement écrit systématique pour la tenue du dossier lui-même. En revanche, deux points demandent votre attention.
L'information du patient
Vous devez informer vos patients, de façon claire, que vous collectez leurs données, pourquoi, combien de temps vous les gardez et quels sont leurs droits. Une mention affichée en salle d'attente et une courte page « Données personnelles » sur votre site suffisent souvent à couvrir cette obligation d'information.
Le cas des rappels, avis et prospection
Envoyer un rappel de rendez-vous est directement lié au soin : cela ne pose pas de difficulté. En revanche, solliciter un avis Google ou envoyer une communication de réactivation relève d'une autre logique et doit rester mesuré, sans transmettre de donnée de santé. Les rappels de rendez-vous automatiques et les demandes d'avis Google de Komper sont conçus pour envoyer le bon message sans exposer le contenu médical du dossier. Pour aller plus loin, voyez comment remplir votre agenda de façon propre et conforme.
Checklist de mise en conformité RGPD en 10 points
Voici une checklist opérationnelle. Cochez-la une fois, puis relisez-la une fois par an.
| N° | Action | Fait |
|---|---|---|
| 1 | Je sais que mes dossiers contiennent des données de santé | ( ) |
| 2 | J'ai fixé une durée de conservation (ordre de 20 ans après le dernier contact) | ( ) |
| 3 | Je prévois une purge ou une anonymisation annuelle des dossiers anciens | ( ) |
| 4 | Je sais répondre à une demande d'accès sous un mois, gratuitement | ( ) |
| 5 | J'ai rédigé mon registre de traitement (modèle CNIL) | ( ) |
| 6 | Mes dossiers papier sont sous clé | ( ) |
| 7 | Mes fichiers numériques sont protégés par mot de passe et sauvegardés | ( ) |
| 8 | J'ai vérifié l'hébergement des données de mon logiciel | ( ) |
| 9 | J'informe mes patients (affichage, page site) | ( ) |
| 10 | Je limite et je trace les accès aux dossiers | ( ) |
Aucun de ces points ne demande un budget important. La plupart se règlent en quelques heures étalées sur une ou deux semaines, puis se maintiennent avec un simple rendez-vous annuel avec vous-même.
FAQ
Un ostéopathe est-il vraiment soumis au RGPD ?
Oui, sans exception. Dès lors que vous notez des informations sur la santé de vos patients, vous traitez des données sensibles et vous êtes responsable de leur protection. La taille du cabinet ou le fait d'exercer seul ne change rien à l'obligation.
Combien de temps dois-je garder un dossier patient en ostéopathie ?
L'usage courant pour un dossier de santé est une conservation de l'ordre de 20 ans à compter du dernier contact avec le patient. Il n'existe pas de texte unique et opposable spécifique aux ostéopathes : fixez une durée longue et justifiée, notez-la dans votre registre et vérifiez-la auprès de la CNIL et de votre assureur.
Le patient peut-il exiger une copie de son dossier ?
Oui. Le patient a un droit d'accès à ses données. Vous devez lui fournir une copie de son dossier, gratuitement et en principe sous un mois, après avoir vérifié son identité et en utilisant un canal sécurisé pour la transmission.
Ai-je besoin d'un hébergeur HDS pour mon logiciel ?
Si un prestataire héberge vos données de santé pour votre compte, ces données doivent relever du cadre d'hébergement dédié (certification HDS). Demandez à votre éditeur une confirmation écrite de son hébergement et vérifiez auprès des sources officielles. Ne vous contentez pas d'une affirmation commerciale.
Le registre de traitement est-il obligatoire pour un petit cabinet ?
Oui, le registre concerne aussi les petites structures. Bonne nouvelle : la CNIL propose un modèle simplifié qui tient sur une à deux pages. Vous le tenez vous-même, vous le mettez à jour quand vos outils changent, et vous le présentez uniquement en cas de contrôle.
Puis-je demander des avis Google à mes patients sans enfreindre le RGPD ?
Oui, à condition de séparer clairement cette démarche du contenu médical. Une invitation à laisser un avis ne doit jamais mentionner l'état de santé ni le motif de consultation. Utilisez un message neutre et un envoi maîtrisé, distinct du dossier de soin.
En résumé : de l'inquiétude à la routine
La conformité RGPD d'un cabinet d'ostéopathie ne repose pas sur un empilement de documents juridiques, mais sur quelques décisions durables : une durée de conservation claire, un registre à jour, des accès protégés, un hébergement vérifié et des patients informés. Une fois ces réflexes en place, la conformité devient une routine annuelle de quelques heures. Elle renforce aussi la confiance de vos patients, un atout concret pour vous démarquer de la concurrence.
Un dossier patient bien structuré est le point de départ de tout le reste. Komper réunit le dossier patient, l'agenda et les rappels de rendez-vous, ainsi qu'un assistant IA qui rédige vos comptes rendus de séance, pour vous aider à tenir des dossiers propres et faciles à retrouver. Découvrez Komper et testez la gestion de votre cabinet sur des bases saines.