Prise de rendez-vous en ligne cabinet : obligations légales

La prise de rendez-vous en ligne est devenue incontournable pour les structures de santé : elle réduit la charge administrative, améliore l’accès aux soins et répond aux attentes des patients. Mais avant d’intégrer un widget d’agenda sur votre site, avez-vous vérifié que la solution retenue respecte toutes les obligations légales du secteur ? La page sur l’hébergement conforme d’un site médical pose le cadre général ; voici ce que la prise de rendez-vous en ligne implique spécifiquement.

Pourquoi la prise de rendez-vous en ligne déclenche l’obligation HDS

La prise de rendez-vous en ligne collecte au minimum un nom, un numéro de téléphone ou une adresse email. Dès lors que le patient peut également indiquer un motif de consultation, une spécialité ou un praticien spécialisé dans une pathologie particulière, ces informations constituent des données de santé à caractère personnel au sens de l’article 4(15) du RGPD. Or, l’article L.1111-8 du code de la santé publique impose que toute donnée de santé à caractère personnel soit hébergée par un prestataire titulaire d’une certification HDS. L’éditeur de la solution de prise de rendez-vous est donc tenu d’être certifié HDS pour les activités d’hébergement couvertes par sa plateforme. La structure de santé doit vérifier cette certification avant de signer tout contrat. Pour comprendre quand cette obligation s’applique dans le détail, consultez notre page sur la certification HDS obligatoire qui détaille les cas pratiques par type de structure.

Les obligations contractuelles avec l’éditeur de la solution

L’éditeur de la solution de prise de rendez-vous est un sous-traitant au sens de l’article 28 du RGPD. Un contrat de traitement de données (DPA) doit être signé entre la structure de santé (responsable de traitement) et l’éditeur (sous-traitant). Ce DPA doit préciser les données traitées (identité du patient, coordonnées, motif de rendez-vous), leur finalité (gestion de l’agenda), leur durée de conservation, les mesures de sécurité mises en place et les modalités de suppression en fin de contrat. Si l’éditeur sous-traite lui-même l’hébergement à un tiers, ce sous-traitant ultérieur doit également être identifié, certifié HDS et accepté par la structure de santé. Le détail des rôles de responsable et de sous-traitant est expliqué dans notre page dédiée à la qualification de sous-traitant RGPD en santé.

Ce qui est interdit ou insuffisant

• Intégrer un agenda généraliste non certifié HDS : des outils comme Google Agenda, Calendly ou des formulaires de type Typeform ne sont pas certifiés HDS et ne conviennent pas dès lors que des données de santé sont collectées. Utiliser ces outils pour gérer les rendez-vous médicaux constitue une violation de l’article L.1111-8 du code de la santé publique.
• Ne pas informer les patients de l’utilisation de leurs données : lors de la prise de rendez-vous en ligne, l’article 13 du RGPD impose d’informer la personne concernée sur la finalité du traitement, la base légale, la durée de conservation et ses droits. Cette information doit figurer dans l’interface de prise de rendez-vous ou être accessible via un lien vers la politique de confidentialité.

Cas particulier : la prise de rendez-vous partagée entre praticiens

Dans une maison de santé ou un cabinet de groupe, la prise de rendez-vous en ligne peut couvrir plusieurs praticiens de spécialités différentes. Cette situation peut créer une responsabilité conjointe de traitement entre les praticiens (article 26 du RGPD) si chacun a accès aux données des patients des autres. Un accord de responsabilité conjointe doit alors être formalisé. Il doit préciser qui est le point de contact principal pour les patients, comment les droits d’accès aux données sont gérés, et comment les incidents sont traités. La disponibilité de la solution de prise de rendez-vous doit également faire l’objet d’engagements contractuels précis : un système en panne pendant les horaires de bureau impacte directement l’accès aux soins. Pour aller plus loin sur la mise en conformité globale, nous accompagnons les structures souhaitant choisir une solution de prise de rendez-vous certifiée HDS adaptée à leur taille et leur spécialité.

Ce qu’il faut faire concrètement

Avant de choisir une solution de prise de rendez-vous en ligne, posez systématiquement les questions suivantes à l’éditeur : dispose-t-il d’une certification HDS en cours de validité, et pour quelle(s) activité(s) ? Propose-t-il un DPA standard ou personnalisé ? Qui héberge les données et ce sous-traitant est-il lui aussi certifié HDS ? Quel est son SLA de disponibilité ? Comment les données sont-elles supprimées en fin de contrat ? Les réponses à ces questions déterminent si la solution est légalement utilisable dans votre cabinet. Une solution qui ne peut pas répondre à ces questions ne devrait pas héberger les données de rendez-vous de vos patients.

Questions fréquentes

Toutes les solutions de prise de rendez-vous du marché santé sont-elles certifiées HDS ?

Non. Il existe des solutions spécialisées en santé qui sont certifiées HDS, mais aussi des outils généralistes utilisés par des professionnels de santé sans cette certification. Vérifiez toujours la certification HDS sur le site de l’ANS avant de choisir une solution, quelle que soit la notoriété de l’éditeur.

Un patient peut-il demander la suppression de ses données de rendez-vous ?

Oui. L’article 17 du RGPD reconnaît un droit à l’effacement des données personnelles. Toutefois, ce droit n’est pas absolu : si les données doivent être conservées pour respecter une obligation légale (par exemple, les durées minimales de conservation du dossier médical prévues par l’article R.1112-7 du code de la santé publique), la suppression peut être refusée ou limitée aux données non soumises à cette obligation.

La prise de rendez-vous par email est-elle plus simple à gérer ?

Non, elle est soumise aux mêmes obligations RGPD dès lors que des données de santé circulent. De plus, les emails circulent généralement en clair sur le réseau, sans chiffrement de bout en bout, ce qui constitue un risque de sécurité supplémentaire pour des données sensibles. Une messagerie sécurisée de santé (MSS) est recommandée pour les échanges comportant des données médicales.

Sources

• Article L.1111-8 du code de la santé publique — hébergement certifié HDS.
• Règlement (UE) 2016/679 (RGPD), articles 4(15), 13, 17, 26 et 28.
• Article R.1112-7 du code de la santé publique — durées de conservation du dossier médical.
• Référentiel de certification HDS, ANS, liste des hébergeurs certifiés disponible sur esante.gouv.fr.

Article informatif. Il ne constitue pas un conseil juridique : en cas de doute, rapprochez-vous de votre conseil de l’ordre.