Le RGPD fait peur parce qu'on l'associe à des sanctions et à un vocabulaire abscons. En réalité, pour un praticien, il tient en une idée simple : vous êtes responsable des données que vos patients vous confient. Ce guide traduit cette responsabilité en gestes concrets.
1.Le RGPD en une minute
Le Règlement Général sur la Protection des Données (RGPD) est le texte européen qui encadre l'usage des données personnelles depuis 2018. Une « donnée personnelle », c'est toute information qui permet d'identifier quelqu'un : nom, adresse, numéro de téléphone, mais aussi un dossier, un diagnostic ou un acte.
Le principe directeur : vous ne collectez que ce qui est nécessaire, vous le conservez le temps utile, vous le protégez, et la personne concernée garde un droit de regard dessus.
2.Quelles données sont « sensibles » ?
Le RGPD distingue les données ordinaires des données dites sensibles, qui bénéficient d'une protection renforcée. En font partie :
- les données de santé (diagnostics, traitements, antécédents) ;
- les données révélant l'origine, les opinions, la vie sexuelle ;
- les données génétiques et biométriques lorsqu'elles servent à identifier une personne.
Si vous traitez des données de santé, vous êtes soumis à des exigences plus strictes — notamment sur l'hébergement et la sécurité.
3.Vos obligations concrètes
Concrètement, voici ce que vous devez pouvoir démontrer en cas de contrôle :
Tenir un registre des traitements
Un simple document qui liste : quelles données vous collectez, pourquoi, où elles sont stockées, et combien de temps vous les gardez. C'est la première chose que demande la CNIL.
Limiter la conservation
Une donnée ne se garde pas « pour toujours ». Chaque type de dossier a une durée légale ou recommandée. Au-delà, il faut archiver ou supprimer.
Sécuriser l'accès
Mot de passe, poste verrouillé, accès limité aux seules personnes habilitées. La sécurité « raisonnable » est une obligation, pas une option.
Informer les personnes
Vos clients doivent savoir que vous traitez leurs données et pourquoi. Une mention claire suffit dans la plupart des cas.
4.Le piège du cloud : où sont vraiment vos données ?
Beaucoup d'outils « pratiques » stockent vos données sur des serveurs distants, parfois hors d'Europe. Pour des données de santé, cela implique en principe un hébergeur certifié HDS (Hébergeur de Données de Santé) et des garanties contractuelles précises.
5.Consentement et cas des mineurs
Le consentement doit être libre, éclairé et traçable : vous devez pouvoir prouver que la personne a bien accepté. Pour un mineur, le consentement des deux parents (double signature) est généralement requis pour constituer un dossier conforme.
Conservez toujours une preuve horodatée de ce consentement : c'est votre meilleure protection en cas de litige.
6.En cas de fuite ou de réquisition
Si vous constatez une violation de données (perte, vol, accès non autorisé) susceptible de présenter un risque, vous devez la notifier à la CNIL sous 72 heures, et informer les personnes concernées si le risque est élevé. D'où l'importance de savoir, à tout moment, où sont vos données et qui y a accès.
7.Votre checklist de mise en conformité
À cocher pour être au clair
- J'ai un registre listant mes traitements de données.
- Je sais combien de temps je conserve chaque type de dossier.
- Mes postes et dossiers sont protégés par mot de passe.
- Je sais où sont stockées mes données (local ou cloud certifié).
- Je recueille et conserve une preuve de consentement.
- Je sais comment réagir en cas de violation de données.
8.Comment Fildary vous simplifie tout ça
Fildary a été pensé pour des praticiens exigeants sur la conformité. Concrètement :
- Données 100% locales : vos dossiers restent sur votre poste, en local.
- Traçabilité native : chaque envoi, signature et relance est horodaté et conservé.
- Consentement et double signature gérés, y compris pour les dossiers de mineurs.
- Conservation maîtrisée : le parcours documentaire suit la date clé de chaque dossier.
·Questions fréquentes
Un cabinet médical doit-il tenir un registre des traitements ?
Oui. La dispense prévue pour les petites structures ne s'applique pas dès lors que le traitement porte sur des données sensibles, ce qui est le cas des données de santé. Un cabinet doit donc tenir un registre, même de taille modeste : il suffit qu'il liste les traitements, leur finalité, les catégories de données, les destinataires et les durées de conservation.
Faut-il un hébergeur certifié HDS ?
La certification HDS s'impose à celui qui héberge des données de santé pour le compte d'un professionnel. Si les dossiers restent sur les postes du cabinet et sur ses propres comptes, il n'y a pas d'hébergement par un tiers éditeur à ce titre. Dès qu'un prestataire stocke les documents sur ses serveurs, la question se pose et doit être tranchée par écrit dans le contrat.
Combien de temps conserver un document patient ?
La durée est liée à celle du dossier médical concerné et à la prescription applicable à l'acte, pas au logiciel utilisé. La bonne pratique est de conserver le document signé et son journal de preuve ensemble, dans un format exportable qui survivra à un changement d'outil.
Peut-on envoyer un document médical par e-mail ?
Une pièce jointe non chiffrée circule sans contrôle, se retrouve dans des boîtes partagées et expose souvent la nature de l'acte dès l'objet du message. La pratique sûre consiste à envoyer un lien personnel vers un espace protégé, sans pièce jointe et sans nom de procédure dans l'objet.
Que faire en cas de violation de données ?
Une violation susceptible de présenter un risque pour les personnes doit être notifiée à la CNIL dans les 72 heures suivant sa découverte. Si le risque est élevé, les patients concernés doivent également en être informés. Toute violation, notifiée ou non, doit être consignée dans un registre interne.
Voir aussi : toutes les ressources sur le parcours documentaire.
Envie de voir Fildary sur vos cas ?
15 minutes en visio pour vous montrer comment sécuriser votre parcours documentaire, sans rien stocker dans le cloud.
Demander une démoCe guide a une vocation pédagogique et ne constitue pas un conseil juridique. Les obligations exactes varient selon votre profession et votre situation. Pour une mise en conformité formelle, rapprochez-vous d'un Délégué à la Protection des Données (DPO) ou d'un juriste, et consultez les ressources officielles de la CNIL.