« Le RGPD, c’est pour les grandes entreprises. » Cette idée reçue met régulièrement en difficulté des cabinets médicaux lors de contrôles de la CNIL ou en cas de plainte d’un patient. Le règlement général sur la protection des données s’applique dès le premier traitement de donnée personnelle, quelle que soit la taille de la structure. La page sur l’hébergement conforme d’un site médical pose le cadre global ; voici les obligations RGPD à maîtriser pour votre cabinet.
Données de santé : un régime d’exception renforcé
L’article 9 du RGPD interdit en principe le traitement des données de santé, sauf si l’une des dix exceptions prévues s’applique. Pour un professionnel de santé, les exceptions pertinentes sont : le consentement explicite de la personne concernée (paragraphe a), la nécessité pour des raisons de médecine préventive ou curative (paragraphe h), ou la mise en œuvre d’obligations légales (paragraphe b). En pratique, un médecin libéral traite les données de santé de ses patients dans le cadre de l’exécution du contrat de soins : c’est la base légale de l’article 6(1)(b) du RGPD qui s’applique pour les données ordinaires, complétée par l’exception de l’article 9(2)(h) pour les données de santé. La certification HDS, détaillée dans notre page sur la certification HDS obligatoire, s’articule avec ces bases légales : elle garantit que l’infrastructure hébergeant les données respecte des standards de sécurité adaptés.
Les dix obligations RGPD incontournables pour un cabinet
Voici les dix points de conformité à vérifier pour tout cabinet médical disposant d’un site web ou d’outils numériques : (1) tenir un registre des activités de traitement (article 30) ; (2) définir une base légale pour chaque traitement ; (3) informer les patients de leurs droits lors de la collecte (article 13) ; (4) répondre aux demandes d’exercice des droits dans un délai d’un mois (articles 15 à 22) ; (5) encadrer chaque sous-traitant par un contrat DPA (article 28) ; (6) ne pas transférer de données hors UE sans garanties adéquates (articles 44 et suivants) ; (7) mettre en place des mesures de sécurité proportionnées (article 32) ; (8) notifier la CNIL de toute violation de données dans les 72 heures (article 33) ; (9) réaliser une analyse d’impact (AIPD/DPIA) pour les traitements à risque élevé (article 35) ; (10) désigner un délégué à la protection des données si les conditions de l’article 37 sont réunies. Pour le site web spécifiquement, les mentions légales du site de santé doivent intégrer les informations sur le traitement des données et les droits des utilisateurs.
Ce qui est interdit ou insuffisant en matière de RGPD santé
- Conserver les données patients « pour toujours » : l’article 5(1)(e) du RGPD impose une limitation de la durée de conservation. Pour les données médicales, l’article R.1112-7 du code de la santé publique fixe des durées minimales de conservation du dossier médical (20 ans à compter de la dernière consultation en règle générale), mais la durée maximale doit aussi être définie et documentée.
- Faire signer une case à cocher vague lors de la prise de rendez-vous : le consentement au sens du RGPD doit être libre, spécifique, éclairé et univoque (article 4(11)). Un consentement global et indifférencié ne vaut pas. Il faut distinguer le consentement au traitement nécessaire aux soins (pas un consentement RGPD car autre base légale) du consentement à des usages optionnels (newsletter, etc.).
DPO : qui doit en désigner un ?
L’article 37 du RGPD impose la désignation d’un délégué à la protection des données (DPO) dans trois cas : autorité publique, traitements à grande échelle de données sensibles, surveillance systématique à grande échelle. Un cabinet libéral de quelques praticiens n’est généralement pas tenu de désigner un DPO obligatoire. En revanche, une clinique, un hôpital ou un groupe médical de taille significative peut être concerné. La CNIL recommande à toute structure traitant des données de santé de désigner un DPO même facultatif pour disposer d’un interlocuteur interne identifié. Cette désignation doit être notifiée à la CNIL via son téléservice. En cas de violation de données, le DPO joue un rôle central dans la notification à la CNIL et aux personnes concernées.
Ce qu’il faut faire concrètement
Commencez par l’inventaire : listez tous les outils numériques utilisés dans votre cabinet (logiciel métier, site web, agenda en ligne, messagerie sécurisée, etc.) et identifiez les données personnelles que chacun traite. Créez ou mettez à jour votre registre de traitements avec, pour chaque traitement : la finalité, la base légale, les catégories de données, les destinataires, la durée de conservation et les mesures de sécurité. Vérifiez ensuite que chaque prestataire numérique dispose d’un contrat DPA signé. Publiez une politique de confidentialité à jour sur votre site, accessible depuis toutes les pages. Si vous proposez une prise de rendez-vous en ligne, les implications sont détaillées dans notre page dédiée.
Questions fréquentes
Un cabinet médical doit-il publier une politique de confidentialité sur son site ?
Oui. L’article 13 du RGPD impose d’informer les personnes concernées lors de la collecte de leurs données. Sur un site web, cette information prend la forme d’une politique de confidentialité ou de mentions sur la protection des données, accessibles depuis chaque page où des données sont collectées (formulaire de contact, prise de rendez-vous, etc.).
Combien de temps peut-on conserver les données d’un formulaire de contact ?
La durée doit être proportionnée à la finalité. Pour un formulaire de contact simple, la CNIL recommande généralement une durée de trois ans à compter du dernier contact. Les données doivent ensuite être supprimées ou archivées avec des accès restreints si elles présentent un intérêt probatoire.
La CNIL contrôle-t-elle vraiment les petits cabinets ?
Oui, la CNIL peut contrôler toute structure, quelle que soit sa taille, notamment sur signalement d’un patient ou d’un concurrent. Les contrôles en ligne (vérification des mentions légales, des bandeaux cookies, etc.) sont croissants. Une plainte d’un patient peut suffire à déclencher un contrôle.
Sources
- Règlement (UE) 2016/679 (RGPD), articles 4, 5, 6, 9, 13, 28, 30, 32, 33, 35, 37, 44 et 83.
- Article R.1112-7 du code de la santé publique — durée de conservation du dossier médical.
- CNIL — Guide pratique RGPD pour les professionnels de santé, disponible sur cnil.fr.
Digital-Sante.fr réalise un audit RGPD de votre site et de vos outils et vous livre un plan d’action. Demander un devis.
Article informatif. Il ne constitue pas un conseil juridique : en cas de doute, rapprochez-vous de votre conseil de l’ordre.