Registre des traitements : obligatoire pour un praticien ?
Le registre des traitements est-il obligatoire pour un praticien libéral ? Ce qu'il contient, comment le remplir et un exemple pré-rempli à valider.
Oui, dans la quasi-totalité des cas. Dès qu'un cabinet traite des données personnelles, et à plus forte raison des données de santé, il doit tenir un registre des activités de traitement. Cette obligation découle du RGPD et concerne aussi le praticien qui exerce seul, sans secrétaire ni salarié. Le fameux seuil des 250 salariés, souvent cité pour s'en dispenser, ne s'applique pas aux traitements de données sensibles comme celles d'un cabinet de santé.
Dans cet article, vous verrez ce qu'est concrètement ce registre, pourquoi vous êtes concerné, ce qu'il doit contenir, et surtout comment le remplir ligne par ligne. Vous trouverez aussi un exemple de registre pré-rempli pour un cabinet type, à adapter et à valider avec les modèles officiels de la CNIL.
Le registre des traitements, c'est quoi ?
Le registre des activités de traitement est un document qui recense tous les usages que vous faites des données personnelles dans votre cabinet. Il répond à une question simple pour chaque type de donnée : quoi, pourquoi, pour qui, combien de temps et comment c'est protégé.
Concrètement, un cabinet manipule plusieurs traitements sans toujours s'en rendre compte :
- la gestion des rendez-vous et de l'agenda,
- le dossier patient et les notes de suivi,
- la facturation et la comptabilité,
- les rappels de rendez-vous par SMS ou e-mail,
- la gestion des impayés et des relances,
- parfois une liste de diffusion ou des demandes d'avis.
Chacun de ces usages est un traitement. Le registre les liste, un par un, sur une même feuille ou un même fichier.
Ce que le registre n'est pas
Le registre n'est pas une déclaration à envoyer à la CNIL. Depuis le RGPD, il n'y a plus de déclaration préalable à faire avant de traiter des données. Vous tenez le registre en interne et vous devez pouvoir le présenter en cas de contrôle. Ce n'est pas non plus votre logiciel ni votre base de données : c'est le document qui décrit ce que vous faites avec ces données, indépendamment de l'outil utilisé.
Un praticien libéral est-il vraiment concerné ?
Oui. Beaucoup de praticiens pensent être exemptés parce qu'ils exercent seuls. C'est une confusion fréquente, et elle peut coûter cher en cas de contrôle.
Le seuil des 250 salariés ne vous protège pas
Le RGPD prévoit bien un allègement pour les structures de moins de 250 salariés. Mais cet allègement tombe dès que les traitements portent sur des données sensibles, ce qui est précisément le cas des données de santé. Un ostéopathe, un psychologue ou un podologue qui exerce seul reste donc pleinement soumis à l'obligation de tenir un registre.
Les données de santé sont une catégorie particulière
Les informations que vous notez au quotidien (motif de consultation, antécédents, douleurs, traitements en cours) sont des données de santé. Elles bénéficient d'une protection renforcée dans le RGPD. C'est ce niveau de sensibilité qui rend le registre incontournable, même pour un cabinet d'une seule personne recevant quelques patients par jour.
Ce que contient un registre des traitements
Pour chaque traitement, le registre décrit un petit nombre d'informations. Voici les colonnes à prévoir dans votre document.
| Colonne | Ce qu'elle décrit | Exemple court |
|---|---|---|
| Nom du traitement | L'activité concernée | Gestion des rendez-vous |
| Finalité | Pourquoi vous traitez la donnée | Planifier et rappeler les consultations |
| Base légale | Le fondement juridique | Contrat de soins |
| Personnes concernées | Qui est enregistré | Patients, prospects |
| Catégories de données | Quelles informations | Identité, coordonnées, santé |
| Destinataires | Qui y accède ou les reçoit | Praticien, comptable, hébergeur |
| Durée de conservation | Combien de temps vous les gardez | Selon la règle applicable |
| Mesures de sécurité | Comment c'est protégé | Mot de passe, sauvegardes |
Ces huit colonnes suffisent pour un cabinet libéral standard. La version simplifiée du modèle CNIL reprend cette logique.
Exemple de registre pré-rempli pour un cabinet type
Voici un exemple simplifié pour un cabinet libéral de santé. Il sert de point de départ, pas de vérité absolue. Adaptez-le à votre réalité et vérifiez les durées et les mentions avec les modèles officiels de la CNIL, qui propose des gabarits gratuits, dont une version dédiée aux professionnels et petites structures.
| Traitement | Finalité | Base légale | Données | Destinataires | Durée (indicative) | Sécurité |
|---|---|---|---|---|---|---|
| Gestion des rendez-vous | Planifier les consultations, envoyer des rappels | Contrat de soins | Identité, coordonnées, motif | Praticien, outil d'agenda | Le temps de la relation de soins | Compte protégé par mot de passe |
| Dossier patient | Assurer le suivi et la continuité des soins | Contrat de soins, obligation légale | Identité, données de santé, comptes rendus | Praticien, remplaçant éventuel | Durée légale propre à la profession | Accès restreint, sauvegardes |
| Facturation et comptabilité | Éditer les factures, tenir la comptabilité | Obligation légale | Identité, coordonnées, actes | Praticien, expert-comptable | Durée comptable en vigueur | Accès restreint, archivage |
| Rappels SMS et e-mail | Réduire les rendez-vous manqués | Contrat de soins, intérêt légitime | Coordonnées | Praticien, prestataire d'envoi | Le temps du suivi | Prestataire sous contrat |
| Demandes d'avis | Recueillir des avis patients | Consentement | Coordonnées | Praticien, plateforme d'avis | Jusqu'au retrait du consentement | Consentement tracé |
| Relances d'impayés | Recouvrer les sommes dues | Intérêt légitime | Identité, montants | Praticien, comptable | Le temps du recouvrement | Accès restreint |
Un mot sur les chiffres du quotidien : un cabinet qui reçoit 15 à 20 patients par jour alimente chaque semaine des dizaines de nouvelles fiches, mais le nombre de traitements, lui, reste stable (ici, six lignes). Vous ne réécrivez pas votre registre à chaque patient : vous décrivez des catégories d'usages, pas des personnes.
Ces durées de conservation sont volontairement indicatives. La conservation du dossier patient, en particulier, suit des règles précises : renseignez-vous auprès de votre ordre professionnel et de la CNIL pour la durée applicable à votre profession, plutôt que de recopier une valeur trouvée au hasard.
Comment remplir votre registre ligne par ligne
Reprenons chaque colonne. L'objectif est de rester factuel et court : une ou deux lignes par case suffisent.
Nom du traitement
Un intitulé clair : "Gestion des rendez-vous", "Dossier patient", "Facturation". Un ou deux mots suffisent pour vous y retrouver.
Finalité
Pourquoi vous traitez ces données. Exemple : "Organiser les consultations et envoyer des rappels". Évitez les formulations trop vagues comme "gestion du cabinet", qui n'expliquent rien.
Base légale
Le fondement juridique du traitement. Pour un cabinet de santé, on retrouve souvent l'exécution du contrat de soins, le respect d'une obligation légale (comptabilité) et parfois le consentement (avis en ligne, newsletter). En cas de doute, la CNIL détaille les bases possibles sur son site.
Catégories de personnes et de données
Qui est concerné (patients, prospects, éventuellement fournisseurs) et quelles informations vous utilisez (identité, coordonnées, données de santé). Ne notez que ce que vous collectez réellement.
Destinataires
Qui accède aux données ou les reçoit : vous, votre remplaçant, votre expert-comptable, votre outil de prise de rendez-vous, votre hébergeur. Ces prestataires sont vos sous-traitants et doivent être encadrés par un contrat.
Durée de conservation
Combien de temps vous gardez la donnée avant de la supprimer ou de l'archiver. Une durée floue ("le temps nécessaire") est acceptable pour démarrer, mais mieux vaut viser une durée précise dès que vous la connaissez.
Mesures de sécurité
Comment vous protégez concrètement les données : mot de passe solide, poste et session verrouillés, sauvegardes régulières, chiffrement, accès limité aux seules personnes utiles.
Combien de temps pour le créer et le mettre à jour ?
Bonne nouvelle : un premier registre pour un cabinet standard se rédige en une à deux heures, et pour un coût de 0 euro puisque le modèle CNIL est gratuit. Vous listez vos traitements (souvent cinq à huit), vous remplissez chaque ligne, vous datez le document et vous le rangez à un endroit où vous le retrouverez.
Ensuite, il vit avec votre cabinet. Mettez-le à jour à chaque changement notable :
- un nouvel outil (logiciel de prise de rendez-vous, service d'e-mailing),
- un nouveau prestataire (comptable, hébergeur, plateforme d'avis),
- une nouvelle activité (téléconsultation, vente de produits, atelier de groupe).
Un point de contrôle une à deux fois par an suffit généralement. Notez la date de dernière révision en haut du document : cela montre qu'il est tenu à jour et vivant, et non rédigé une fois puis oublié.
Registre et outils du cabinet : le rôle des logiciels
Le registre décrit vos traitements, mais ce sont vos outils qui les exécutent. Plus vos outils sont clairs sur ce qu'ils font des données, plus votre registre est simple à remplir.
Un logiciel de cabinet comme Komper regroupe plusieurs de ces traitements au même endroit : agenda et rappels de rendez-vous automatiques, dossier patient, facturation et relances d'impayés, demandes d'avis Google. Pour votre registre, cela veut dire des lignes plus faciles à documenter, avec un destinataire identifié et des mesures de sécurité connues (accès par mot de passe, sauvegardes). L'assistant IA qui rédige les comptes rendus doit lui aussi figurer dans votre registre, rattaché au traitement "Dossier patient".
Attention : aucun logiciel ne remplit le registre à votre place, et aucun éditeur ne peut se prévaloir d'une certification qui vous dispenserait de cette obligation. Le registre reste votre document, sous votre responsabilité de praticien.
La sécurité, elle, ne s'arrête pas au registre. Pour aller plus loin, voyez nos guides sur la cybersécurité du cabinet libéral et la sauvegarde des données du cabinet.
Les erreurs fréquentes à éviter
- Croire qu'exercer seul dispense de registre. C'est faux dès qu'il y a des données de santé.
- Confondre le registre et le logiciel. Le registre décrit, le logiciel exécute.
- Oublier les traitements "invisibles" : e-mails de rappel, liste de diffusion, demandes d'avis, vidéosurveillance de la salle d'attente.
- Indiquer des durées de conservation au hasard. Vérifiez-les auprès de sources officielles.
- Ne jamais mettre à jour le document après l'avoir créé.
Si malgré tout un incident survient (perte, vol, accès non autorisé aux dossiers), il faut savoir réagir vite : notre article sur la violation de données au cabinet détaille la marche à suivre et les délais à respecter.
FAQ
Le registre des traitements est-il obligatoire pour un cabinet sans salarié ?
Oui. L'exercice en solo ne dispense pas de l'obligation, car un cabinet de santé traite des données sensibles. Le seuil des 250 salariés, qui allège certaines obligations, ne s'applique pas dans ce cas.
Faut-il envoyer le registre à la CNIL ?
Non. Le registre se tient en interne et n'a pas à être transmis à l'avance. Vous devez seulement pouvoir le présenter en cas de contrôle ou de demande de la CNIL.
Existe-t-il un modèle officiel de registre ?
Oui. La CNIL met à disposition un modèle de registre gratuit, avec une version simplifiée adaptée aux petites structures et aux professionnels. C'est la référence à utiliser pour construire et valider votre document.
Combien de temps faut-il pour créer un registre ?
Comptez une à deux heures pour un premier registre de cabinet standard, puis une révision une à deux fois par an ou à chaque changement d'outil ou de prestataire. Le modèle officiel étant gratuit, le seul coût est votre temps.
Un logiciel de gestion remplit-il le registre à ma place ?
Non. Un logiciel facilite la description de certains traitements, mais le registre reste votre responsabilité. Aucune certification revendiquée par un éditeur ne vous en dispense.
Quelle durée de conservation pour le dossier patient ?
Elle suit des règles précises selon la profession. Renseignez-vous auprès de votre ordre professionnel et de la CNIL pour connaître la durée applicable, plutôt que de fixer un délai au hasard.
En résumé
Le registre des traitements est une obligation concrète et accessible pour tout praticien libéral qui manipule des données de santé, y compris lorsqu'il exerce seul. En listant vos traitements, en documentant chaque ligne et en gardant le document à jour, vous êtes prêt en cas de contrôle et, surtout, vous y voyez plus clair sur la circulation des données dans votre cabinet. Partez du modèle officiel et gratuit de la CNIL, puis adaptez l'exemple pré-rempli ci-dessus à votre activité.
Komper regroupe agenda, dossier patient, facturation et demandes d'avis dans un seul outil, ce qui simplifie la description de vos traitements et la sécurité au quotidien. Pour voir comment cela s'organise dans votre cabinet, découvrez Komper.