RGPD cabinet libéral : les obligations expliquées simplement

Le RGPD impose à tout cabinet libéral de santé de protéger les données de ses patients, qui sont considérées comme des données sensibles. En pratique, tout repose sur cinq obligations : disposer d'une base légale pour traiter les données, informer les patients, sécuriser leurs dossiers, tenir un registre des traitements et encadrer vos sous-traitants (hébergeur, logiciel, secrétariat). Pour un praticien seul, cette mise en conformité est réalisable en quelques heures étalées sur quelques semaines, sans juriste, à condition d'avancer par étapes. Cet article détaille chaque obligation avec des exemples concrets, un tableau récapitulatif et un plan d'action, en renvoyant systématiquement vers les guides officiels de la CNIL dédiés à la santé.

Le RGPD au cabinet, en clair

Ce que le règlement change pour un professionnel de santé libéral

Le RGPD (Règlement général sur la protection des données) s'applique dès que vous collectez et utilisez des informations sur des personnes identifiables. Un cabinet, même à une seule personne, est concerné : dès que vous notez le nom, le numéro de téléphone, l'adresse ou l'historique de soins d'un patient, vous réalisez un traitement de données au sens du règlement.

L'idée centrale n'est pas de vous interdire de travailler, mais de vous demander d'être responsable : ne collecter que ce qui est utile, protéger ce que vous détenez, et pouvoir expliquer ce que vous faites des données si un patient ou la CNIL vous le demande.

Données de santé : une catégorie particulièrement protégée

Les données de santé (motif de consultation, antécédents, diagnostics, comptes rendus) font partie des catégories les plus sensibles du RGPD. Elles bénéficient d'une protection renforcée, au même titre que les données relatives à la vie sexuelle, aux opinions ou à l'origine.

Concrètement, cela veut dire deux choses. D'abord, vous devez justifier plus solidement pourquoi vous les traitez. Ensuite, vous devez les sécuriser avec un niveau d'exigence supérieur à celui d'un simple carnet d'adresses. La CNIL met à disposition un espace dédié aux professionnels de santé, qui reste votre première source de référence en cas de doute.

Les grandes obligations RGPD d'un cabinet libéral

Voici une vue d'ensemble des cinq obligations à couvrir. Le reste de l'article reprend chacune d'elles en détail.

Obligation	Ce que cela signifie concrètement	Effort initial estimé
Base légale	Pouvoir dire pourquoi vous avez le droit de traiter chaque type de donnée	1 h de réflexion
Information des patients	Afficher et remettre une note d'information claire	1 à 2 h de rédaction
Sécurité	Mots de passe, sauvegardes, verrouillage, accès limité	2 à 3 h de réglages
Registre des traitements	Lister par écrit tous vos traitements de données	2 h de mise en forme
Sous-traitants	Vérifier les contrats de vos prestataires (logiciel, hébergeur)	1 h de vérification

Ces durées sont des ordres de grandeur pour un cabinet solo qui part de zéro. Une fois la base posée, l'entretien annuel est rapide.

Obligation 1 : justifier d'une base légale

Le soin, votre fondement principal

Pour traiter des données de santé, vous devez vous appuyer sur une base légale, c'est-à-dire une raison reconnue. Pour un cabinet libéral, la prise en charge du patient (le soin, le suivi, la gestion administrative des rendez-vous et de la facturation) constitue le socle principal. Vous n'avez pas besoin de faire signer un consentement séparé pour tenir le dossier d'un patient que vous suivez : c'est inhérent à votre mission.

En revanche, le principe de minimisation s'applique. Vous ne collectez que ce qui sert réellement au suivi. Un ostéopathe n'a pas besoin du numéro de sécurité sociale pour un premier rendez-vous s'il ne fait pas de télétransmission, par exemple.

Le cas des rappels, avis et prospection

Certains usages sortent du soin strict et méritent votre attention :

• Les rappels de rendez-vous par SMS ou e-mail sont généralement admis dans le cadre de la relation de soin, à condition d'informer le patient. Nous détaillons ce point dans notre article sur les rappels de rendez-vous par SMS et le RGPD.
• Les demandes d'avis Google adressées après une consultation supposent une information du patient et une possibilité de refuser.
• Toute newsletter ou communication commerciale (offres, ateliers payants) relève de règles plus strictes et repose souvent sur le consentement.

L'important est de savoir distinguer ce qui relève du soin de ce qui relève de la communication, car les règles ne sont pas identiques.

Obligation 2 : informer vos patients

Quoi indiquer et où

La transparence est au coeur du RGPD. Vos patients doivent pouvoir savoir, sans effort, qui traite leurs données, pourquoi, combien de temps elles sont conservées et quels sont leurs droits. Vous n'avez pas besoin d'un document juridique de dix pages : une note d'information claire suffit.

Concrètement, vous pouvez :

• Afficher une note en salle d'attente ou la remettre lors du premier rendez-vous.
• Ajouter une section "Protection des données" sur votre site ou votre page de prise de rendez-vous en ligne.
• Mentionner l'essentiel dans votre logiciel de rendez-vous, au moment où le patient saisit ses coordonnées.

La CNIL propose des modèles de mentions d'information adaptées au secteur de la santé, que vous pouvez reprendre et adapter à votre activité.

Les droits que vous devez garantir

Vos patients disposent de plusieurs droits que vous devez pouvoir honorer : accéder à leur dossier, demander une rectification d'une erreur, ou récupérer certaines informations. Le droit à l'effacement est plus nuancé en santé, car vous êtes aussi tenu de conserver le dossier médical pendant une durée définie par la réglementation.

En pratique, prévoyez une réponse type et un délai raisonnable (l'usage retenu par la CNIL est d'un mois) pour traiter ces demandes. Un patient qui demande une copie de son dossier doit pouvoir l'obtenir sans difficulté.

Obligation 3 : sécuriser les données

Des mesures de base à la portée d'un cabinet

La sécurité est souvent perçue comme un sujet technique réservé aux grandes structures. En réalité, l'essentiel repose sur des gestes simples et peu coûteux :

• Un mot de passe solide et unique pour votre ordinateur, votre messagerie et votre logiciel métier.
• Le verrouillage automatique de la session quand vous quittez votre bureau, même deux minutes.
• Le chiffrement du disque de votre ordinateur portable, activable gratuitement sur les systèmes récents.
• Des sauvegardes régulières et testées, pour ne pas tout perdre en cas de panne ou de rançongiciel.
• Une messagerie sécurisée pour échanger des données de santé avec des confrères, plutôt qu'un e-mail classique.

Ces réflexes réduisent fortement le risque de fuite. Pour aller plus loin, consultez notre guide sur la cybersécurité au cabinet libéral, qui décrit les protections adaptées à une petite structure.

L'hébergement des données de santé

Lorsque vos données de santé sont stockées en ligne (dans un logiciel de gestion, un agenda, un espace patient), la réglementation prévoit un cadre spécifique d'hébergement de données de santé. Ce cadre encadre la manière dont votre prestataire conserve les informations.

Vous n'avez pas à devenir expert du sujet, mais vous devez pouvoir vérifier que votre solution s'appuie sur un hébergement conforme. C'est un point à demander clairement à chaque éditeur avant de vous engager, et à vérifier auprès des sources officielles comme l'Agence du numérique en santé (ANS).

Obligation 4 : tenir un registre des traitements

Le registre des traitements est un document interne qui liste, noir sur blanc, tout ce que vous faites des données. C'est souvent l'obligation la plus oubliée par les cabinets solo, alors qu'elle est simple à remplir.

Pour chaque traitement, vous notez quelques éléments : sa finalité (gérer les rendez-vous, facturer, tenir le dossier de soin), les catégories de données concernées, qui y a accès, la durée de conservation et les mesures de sécurité associées.

Un cabinet libéral a en général peu de traitements : gestion des rendez-vous, dossier patient, facturation et comptabilité, éventuellement rappels et avis. La CNIL propose un modèle de registre simplifié, particulièrement adapté aux petites structures, que vous pouvez remplir en une fois puis mettre à jour une fois par an.

Obligation 5 : encadrer vos sous-traitants

Dès que vous confiez des données à un prestataire, il devient votre sous-traitant au sens du RGPD, et vous restez responsable. Cela concerne beaucoup de monde dans un cabinet :

• Votre logiciel de rendez-vous et de dossier patient.
• Votre hébergeur ou votre solution de sauvegarde.
• Votre secrétariat téléphonique externalisé, s'il accède à votre agenda.
• Votre outil d'envoi de SMS ou d'e-mails.

Pour chacun, vous devez vous assurer qu'un contrat ou des conditions encadrent le traitement des données, et que le prestataire présente des garanties suffisantes. Les plateformes connues du secteur, comme certaines solutions de prise de rendez-vous en ligne, publient ces informations (les tarifs annoncés sont des tarifs constatés, à vérifier sur le site officiel de chaque éditeur). Au moment de choisir un outil, demandez systématiquement où sont hébergées les données et quel cadre contractuel s'applique.

Votre plan d'action RGPD en 6 étapes

Voici une feuille de route réaliste pour un praticien seul. L'objectif n'est pas la perfection immédiate, mais un cabinet en bonne conformité, étape par étape.

Étape	Action	Temps indicatif	Ressource officielle
1	Lister vos traitements dans un registre simplifié	2 h	Modèle de registre CNIL
2	Rédiger et afficher une note d'information patients	1 à 2 h	Modèles de mentions CNIL santé
3	Renforcer mots de passe, sauvegardes et verrouillage	2 à 3 h	Guides sécurité CNIL et ANS
4	Vérifier les contrats de vos prestataires	1 h	Fiches sous-traitance CNIL
5	Vérifier l'hébergement de vos données de santé	1 h	Site de l'ANS
6	Prévoir une procédure en cas de violation de données	1 h	Guide notification CNIL

Bloquez une demi-journée pour les étapes 1 et 2, puis avancez au rythme d'une étape par semaine. En un mois, votre cabinet aura franchi l'essentiel du chemin.

Un point pratique : le choix de vos outils fait une grande partie du travail. Un logiciel de gestion qui regroupe l'agenda et les rappels de rendez-vous automatiques, le dossier patient, la facturation avec relances d'impayés et les demandes d'avis Google, comme Komper, centralise les données au même endroit, ce qui simplifie à la fois la sécurité et le suivi de qui accède à quoi. Cela ne vous dispense pas de vos obligations, mais cela réduit le nombre de fichiers dispersés à protéger.

Que faire en cas de violation de données ?

Malgré les précautions, un incident peut survenir : ordinateur volé, boîte mail piratée, dossier envoyé au mauvais destinataire, rançongiciel. Le RGPD prévoit une conduite à tenir.

En cas de violation susceptible d'engendrer un risque pour vos patients, vous devez en principe notifier la CNIL, en pratique dans un délai de 72 heures après en avoir pris connaissance, et parfois informer les personnes concernées. Documenter l'incident (ce qui s'est passé, quelles données, quelles mesures prises) fait partie de vos obligations.

Anticiper vaut mieux que subir : gardez sous la main la marche à suivre et les coordonnées utiles. Nous détaillons la procédure complète dans notre article sur la violation de données au cabinet.

FAQ

Un cabinet libéral avec un seul praticien est-il vraiment concerné par le RGPD ?

Oui. Le RGPD s'applique dès qu'un professionnel traite des données personnelles, quelle que soit la taille de la structure. Un praticien seul qui tient des dossiers patients est concerné par les mêmes principes, même si les démarches sont allégées pour les petites structures.

Faut-il un délégué à la protection des données (DPO) dans un petit cabinet ?

Dans la majorité des cas, un cabinet libéral individuel n'est pas tenu de désigner un DPO. Vous restez néanmoins responsable de la conformité. En cas de doute sur votre situation, la CNIL précise les cas où la désignation devient obligatoire.

Dois-je faire signer un consentement RGPD à chaque patient ?

Non, pas pour le soin. La prise en charge du patient sert de base légale au dossier et à la gestion des rendez-vous, sans consentement séparé. Le consentement devient utile pour des usages hors soin, comme une newsletter commerciale ou certaines communications marketing.

Combien de temps dois-je conserver les dossiers patients ?

La réglementation prévoit des durées de conservation spécifiques pour les dossiers de santé, en général longues. Vous ne pouvez pas les effacer sur simple demande pendant cette période. Renseignez-vous auprès de votre ordre professionnel et de la CNIL pour la durée applicable à votre profession.

Mon logiciel de rendez-vous doit-il héberger les données en France ?

Ce n'est pas une obligation de localisation stricte en soi, mais les données de santé doivent être hébergées dans un cadre conforme. Demandez à votre éditeur où sont stockées les données et quelles garanties s'appliquent, et vérifiez ces informations auprès de l'ANS.

Que risque un cabinet qui ne respecte pas le RGPD ?

Au-delà des sanctions financières possibles, le principal risque est la perte de confiance des patients et l'atteinte à votre réputation après une fuite. La CNIL privilégie souvent l'accompagnement et la mise en conformité avant la sanction, surtout pour les petites structures de bonne foi.

Conclusion

La conformité RGPD d'un cabinet libéral n'a rien d'insurmontable : cinq obligations, un registre à tenir, une note d'information à afficher, quelques réglages de sécurité et une vérification de vos prestataires. En avançant étape par étape et en vous appuyant sur les guides officiels de la CNIL et de l'ANS, vous couvrez l'essentiel en quelques heures réparties sur un mois.

Le bon outil vous fait gagner du temps sur la partie organisation. Komper regroupe l'agenda et les rappels automatiques, le dossier patient, la facturation avec relances et un assistant qui rédige les comptes rendus, pour garder vos données centralisées et votre cabinet mieux tenu. Pour voir comment cela s'articule au quotidien, découvrez Komper.