RGPD cabinet podologie : la check-list complète en 12 points
RGPD cabinet podologie : la check-list en 12 points pour mettre votre cabinet en conformité en une journée, sans jargon juridique.
Un cabinet de podologie traite des données de santé, il est donc pleinement soumis au RGPD, même en exercice solo et sans salarié. La mise en conformité repose sur trois piliers concrets : tenir un registre des traitements, informer clairement vos patients, et sécuriser vos outils (poste de travail, sauvegardes et logiciel hébergé chez un prestataire de santé). Bonne nouvelle : pour un cabinet individuel, l'essentiel se boucle en une seule journée de travail, sans avocat et sans jargon. La check-list en 12 points ci-dessous vous accompagne étape par étape.
Nous voyons ci-dessous ce que le RGPD impose réellement à un pédicure-podologue libéral, la check-list des 12 actions à mener, puis le détail de chaque chantier : registre, information des patients, sécurité, hébergement HDS, conservation et droits des patients. Le tout reste utile que vous utilisiez ou non un logiciel dédié.
RGPD et cabinet de podologie : ce que dit la loi, en clair
Le RGPD (Règlement général sur la protection des données) s'applique dès que vous collectez et conservez des informations sur des personnes physiques. Un cabinet de podologie en collecte en permanence : identité, coordonnées, mais aussi antécédents, pathologies, photos de pieds, moulages, prescriptions. Ces dernières sont des données de santé, considérées comme des données sensibles bénéficiant d'une protection renforcée.
En tant que professionnel de santé libéral, vous êtes le responsable de traitement de votre cabinet. Cela signifie que vous décidez pourquoi et comment ces données sont collectées, et que vous en répondez. La CNIL (Commission nationale de l'informatique et des libertés) est l'autorité de contrôle en France, et elle publie des guides gratuits dédiés aux professionnels de santé.
Faut-il un délégué à la protection des données (DPO) ?
Pour un cabinet solo ou à quelques praticiens, la désignation d'un DPO n'est en général pas obligatoire : elle vise surtout les structures qui traitent des données de santé à grande échelle. Un cabinet individuel n'entre pas dans ce cas. Vérifiez tout de même votre situation sur le site de la CNIL, qui précise les seuils.
Trois idées reçues à écarter
- "Je suis tout seul, je ne suis pas concerné." Faux : le RGPD s'applique quel que soit l'effectif.
- "Mon dossier est en papier, donc pas de RGPD." Faux : le papier est aussi couvert dès qu'il est structuré.
- "Il faut déclarer mon fichier à la CNIL." Non : la déclaration préalable a disparu, au profit d'une logique de responsabilité et de documentation interne (le registre).
La check-list RGPD en 12 points
Voici la feuille de route. Chaque ligne est une action concrète, avec une estimation de temps pour un cabinet individuel. L'ensemble tient dans une journée, sauf le choix d'un nouveau logiciel.
| # | Action | Priorité | Temps estimé |
|---|---|---|---|
| 1 | Lister tous vos traitements de données | Élevée | 45 min |
| 2 | Rédiger votre registre des traitements | Élevée | 1 h |
| 3 | Rédiger une mention d'information patients | Élevée | 30 min |
| 4 | Afficher l'information en salle d'attente | Élevée | 15 min |
| 5 | Recueillir le consentement quand il le faut | Moyenne | 30 min |
| 6 | Verrouiller le poste (mot de passe, session) | Élevée | 20 min |
| 7 | Chiffrer le disque de l'ordinateur | Élevée | 30 min |
| 8 | Mettre en place une sauvegarde régulière | Élevée | 45 min |
| 9 | Vérifier l'hébergement HDS du logiciel | Élevée | 30 min |
| 10 | Signer les contrats de sous-traitance | Moyenne | 30 min |
| 11 | Définir les durées de conservation | Moyenne | 30 min |
| 12 | Préparer la réponse aux droits des patients | Moyenne | 30 min |
Imprimez ce tableau, cochez au fur et à mesure, et conservez-le dans le dossier RGPD de votre cabinet.
Points 1 et 2 : le registre des traitements du cabinet
Le registre des traitements est la pièce maîtresse. C'est un document interne (papier ou tableur) qui recense tout ce que vous faites avec des données personnelles. En cas de contrôle, c'est la première chose que la CNIL demande.
Ce que doit contenir chaque fiche
Pour un cabinet de podologie, un registre tient sur trois à cinq fiches. Chaque fiche décrit un traitement et précise :
- L'objectif (par exemple : gérer les dossiers patients, facturer, prendre les rendez-vous)
- Les catégories de données (identité, coordonnées, données de santé)
- Qui y a accès (vous, un remplaçant, un secrétariat)
- La durée de conservation
- Les mesures de sécurité (mot de passe, chiffrement, hébergement)
- Les éventuels destinataires (assurance maladie, mutuelles, prestataire logiciel)
Les traitements typiques d'un cabinet
Un cabinet individuel en gère généralement quatre :
- Gestion des dossiers patients et des soins
- Prise de rendez-vous et rappels
- Facturation et télétransmission
- Comptabilité et relations avec les organismes
La CNIL propose un modèle de registre simplifié pour les petites structures : partez-en plutôt que d'une page blanche. Un logiciel de gestion comme Komper regroupe déjà plusieurs de ces traitements (dossier patient, agenda, facturation), ce qui simplifie la description de vos flux.
Points 3, 4 et 5 : informer vos patients
Le RGPD impose la transparence. Vos patients doivent savoir quelles données vous collectez, pourquoi, combien de temps vous les gardez, et quels sont leurs droits.
La mention d'information
Rédigez un court texte (une demi-page suffit) qui indique votre identité, la finalité (assurer votre suivi de soins), la durée de conservation et le moyen d'exercer ses droits (une adresse e-mail ou postale). Diffusez-le à trois endroits : une affiche discrète en salle d'attente (un format A5 suffit), une mention sur vos documents (devis, feuille de soins), et une page dédiée sur votre site ou votre fiche de prise de rendez-vous en ligne.
Consentement : quand est-il nécessaire ?
Pour les soins eux-mêmes, votre base légale n'est pas le consentement mais la prise en charge du patient et vos obligations professionnelles. Le consentement explicite s'impose surtout pour les usages non indispensables au soin : envoi d'une newsletter, publication de photos avant/après, ou sollicitation d'un avis en ligne. Une demande d'avis Google, par exemple, doit reposer sur une démarche claire et non trompeuse.
Points 6, 7 et 8 : sécuriser le poste et les sauvegardes
La sécurité technique est le chapitre où les cabinets pèchent le plus. Trois gestes couvrent l'essentiel.
Verrouiller le poste
- Un mot de passe robuste sur la session Windows ou macOS
- Le verrouillage automatique de l'écran après quelques minutes d'inactivité
- Un compte par utilisateur si un remplaçant ou un associé partage l'ordinateur
- Jamais de mot de passe collé sous le clavier ou sur l'écran
Chiffrer le disque
Si votre ordinateur portable est volé, le chiffrement empêche la lecture des dossiers. C'est gratuit et intégré : BitLocker sous Windows Pro, FileVault sous macOS. L'activer prend une dizaine de minutes.
Sauvegarder, vraiment
Une sauvegarde n'est utile que si elle est testée. La règle simple dite 3-2-1 : trois copies, sur deux supports différents, dont une hors du cabinet. Concrètement, pour un cabinet de podologie :
- Une copie sur le poste de travail
- Une copie sur un disque externe chiffré, rangé ailleurs
- Une copie chez un hébergeur de santé (via votre logiciel)
Testez une restauration une fois par an : une sauvegarde jamais vérifiée donne une fausse sécurité. Un logiciel hébergé présente ici un avantage, les sauvegardes étant gérées par l'hébergeur, chiffrées et redondées.
Points 9 et 10 : choisir un logiciel hébergé HDS
Dès qu'un logiciel héberge des données de santé en ligne, il doit s'appuyer sur un hébergement certifié HDS (Hébergeur de Données de Santé). C'est une exigence forte, propre au secteur de la santé en France, encadrée par l'Agence du numérique en santé (ANS).
Ce qu'il faut vérifier
- L'éditeur précise-t-il que les données sont hébergées chez un hébergeur certifié HDS ?
- Les données sont-elles hébergées en France ou en Union européenne ?
- Les échanges sont-ils chiffrés (adresse commençant par https) ?
- Un contrat de sous-traitance est-il proposé ?
La certification HDS concerne l'hébergeur, pas forcément l'éditeur. Demandez à votre fournisseur le nom de son hébergeur et conservez sa réponse écrite dans votre dossier RGPD.
Le contrat de sous-traitance
Votre éditeur de logiciel traite des données pour votre compte : c'est un sous-traitant au sens du RGPD. Un contrat (souvent appelé accord de traitement des données ou DPA) doit encadrer cette relation. Les éditeurs sérieux le proposent à l'abonnement ; vérifiez sa présence pour chaque outil qui manipule des données patients.
Notre comparatif des logiciels de gestion de cabinet de podologie détaille les points à contrôler avant de signer. Un outil comme Komper centralise le dossier patient, l'agenda avec rappels automatiques et la facturation avec relance des impayés, ce qui réduit le nombre de prestataires à qui vous confiez des données.
Points 11 et 12 : durées de conservation et droits des patients
Combien de temps conserver les dossiers
Vous ne devez pas conserver les données indéfiniment. Le dossier patient obéit à des durées de conservation précises, distinctes selon la nature des documents (dossier de soins, pièces comptables). Nous détaillons ces délais dans notre article dédié à la durée de conservation du dossier patient. Au-delà, les données doivent être archivées de façon sécurisée puis supprimées.
Répondre aux droits des patients
Vos patients disposent de droits que vous devez pouvoir honorer, généralement sous un mois :
- Droit d'accès : obtenir une copie de son dossier
- Droit de rectification : corriger une information erronée
- Droit à l'effacement, dans les limites de vos obligations de conservation
Préparez une procédure simple : une adresse de contact, un modèle de réponse, et la capacité d'extraire un dossier depuis votre logiciel. Un logiciel de podologue bien conçu permet d'exporter un dossier complet en quelques clics, ce qui rend ces demandes rapides à traiter plutôt que redoutées.
En pratique : combien de temps, combien ça coûte
La mise en conformité de base ne coûte presque rien en argent : l'essentiel est du temps. Voici un ordre de grandeur réaliste.
| Poste | Coût indicatif | Remarque |
|---|---|---|
| Registre et mentions | 0 € | Modèles CNIL gratuits |
| Chiffrement du disque | 0 € | Intégré au système |
| Disque dur externe chiffré | quelques dizaines d'euros | Achat unique |
| Logiciel hébergé HDS | abonnement mensuel | Tarifs constatés, à vérifier sur le site officiel de chaque éditeur |
| Votre temps | environ 1 journée | Une fois, puis mises à jour ponctuelles |
Comptez une journée pour la première mise en place, puis une à deux heures de maintenance par an. La conformité n'est pas un projet ponctuel mais une habitude légère.
FAQ
Un podologue seul est-il vraiment concerné par le RGPD ?
Oui. Le RGPD s'applique dès que vous traitez des données personnelles, quel que soit votre effectif. Un cabinet individuel qui tient des dossiers patients est donc concerné, y compris s'il travaille encore beaucoup sur papier.
Dois-je déclarer mon fichier patients à la CNIL ?
Non. La déclaration préalable a été supprimée avec le RGPD. Vous devez en revanche documenter vos traitements dans un registre interne et être en mesure de le présenter en cas de contrôle. C'est une logique de responsabilité, pas de déclaration.
Qu'est-ce qu'un hébergement HDS et pourquoi est-ce important ?
HDS signifie Hébergeur de Données de Santé. C'est une certification française encadrée par l'Agence du numérique en santé qui garantit un niveau de sécurité renforcé pour héberger des données de santé. Tout logiciel en ligne qui stocke vos dossiers patients doit s'appuyer sur un hébergeur certifié HDS.
Mon dossier patient papier est-il conforme au RGPD ?
Il peut l'être. Le RGPD couvre aussi le papier dès lors que les données sont organisées. Vous devez alors sécuriser l'accès physique (armoire fermant à clé), limiter qui consulte les dossiers et respecter les durées de conservation, comme pour un dossier informatisé.
Combien de temps faut-il pour mettre son cabinet en conformité ?
Pour un cabinet solo, comptez environ une journée en suivant une check-list structurée : lister les traitements, rédiger le registre et les mentions, sécuriser le poste, vérifier l'hébergement du logiciel. Le choix d'un nouveau logiciel peut demander un délai supplémentaire.
Que risque-t-on en cas de non-conformité ?
La CNIL peut prononcer des sanctions, mais elle privilégie d'abord l'accompagnement et la mise en demeure pour les petites structures de bonne foi. Le risque le plus concret au quotidien reste la fuite ou la perte de données (vol de l'ordinateur, sauvegarde inexistante), avec ses conséquences sur la confiance de vos patients.
Conclusion
La conformité RGPD d'un cabinet de podologie n'a rien d'un labyrinthe juridique. Elle tient en une démarche claire : savoir quelles données vous traitez, l'écrire dans un registre, informer vos patients, et sécuriser vos outils. Les 12 points de cette check-list vous permettent de boucler l'essentiel en une journée, puis de maintenir le tout avec quelques heures par an.
Le bon logiciel fait une grande partie du travail à votre place : hébergement chez un prestataire de santé, sauvegardes automatiques, export rapide d'un dossier, traçabilité des accès. Komper réunit le dossier patient, l'agenda avec rappels automatiques, la facturation avec relance des impayés, les demandes d'avis Google et un assistant IA qui rédige vos comptes rendus, dans un outil pensé pour le cabinet libéral. Pour voir comment il allège votre gestion quotidienne, découvrez Komper.