RGPD et cabinet médical : guide pratique du praticien

Un cabinet médical manipule chaque jour des données parmi les plus sensibles du RGPD : diagnostics, antécédents, traitements, données génétiques, parfois éléments de vie privée ou psychiatrique. Les manquements les plus fréquents dans le secteur — registre absent ou incomplet, hébergement non certifié HDS, durées de conservation floues, sous-traitance non encadrée, accès distants sans authentification renforcée — sont précisément ceux que la CNIL vient de sanctionner sévèrement dans un établissement de santé. Voici ce qu’il faut mettre en place, quelle que soit la taille de la structure.

Mise à jour du 26 septembre 2026 : ajout de la sanction SAN-2026-009 (Hôpital privé de la Loire, 500 000 €, gestion des accès et défaut d’information) et de ses conséquences pour un cabinet hébergé en mode SaaS ; intégration du décret n° 2026-209 du 24 mars 2026 sur l’hébergement des données de santé (stockage UE/EEE) ; exigences d’authentification de la PGSSI-S précisées ; retrait des affirmations d’expérience professionnelle non documentées et de la statistique non sourcée de la FAQ ; sources primaires ajoutées.

Ce qui rend le cabinet médical particulier

Trois spécificités justifient un régime RGPD renforcé pour la médecine libérale.

La nature des données. Presque tout ce qu’un médecin traite relève de l’Art. 9(1) du RGPD : données concernant la santé, données génétiques parfois, données biométriques, données sur la vie sexuelle. Ce sont des données sensibles au sens RGPD, interdites de traitement par principe, sauf à démontrer une exception de l’Art. 9(2). Le niveau de protection exigé est donc maximal.

La superposition du secret médical. L’article L. 1110-4 du Code de la santé publique impose un secret absolu, plus large que le secret professionnel classique : il couvre tout ce qui est venu à la connaissance du professionnel de santé. Le secret médical et le RGPD se complètent : le premier protège la relation soignant-patient contre la divulgation, le second encadre la collecte, l’usage et la conservation. Respecter l’un ne dispense pas de respecter l’autre.

Le volume et la régularité. Même un cabinet individuel traite des données de santé « à grande échelle » au sens des lignes directrices du CEPD (Guidelines WP 243 rev.01). Cela déclenche plusieurs obligations que beaucoup de praticiens ignorent encore, à commencer par la désignation d’un DPO.

Le statut RGPD du praticien : responsable de traitement

Le praticien en exercice libéral est responsable de traitement au sens de l’Art. 4(7) du RGPD. Il détermine les finalités (soigner, facturer, gérer le cabinet) et les moyens (dossier patient papier ou électronique, logiciel métier, télétransmission). En SELARL ou SCP, c’est la structure juridique qui est responsable de traitement, les associés étant ses représentants légaux.

Ce statut n’est pas anodin. Le cabinet répond directement devant la CNIL et les patients des éventuels manquements. Il doit en particulier :

• Délivrer l’information prévue à l’Art. 13 du RGPD (souvent via une affichette en salle d’attente + une notice remise au patient).
• Tenir le registre des activités de traitement (Art. 30).
• Garantir les droits des patients (accès, rectification, limitation, opposition dans certaines conditions).
• Notifier à la CNIL toute violation de données dans les 72 heures quand elle présente un risque pour les droits des patients.

En revanche, vis-à-vis du logiciel métier, de l’hébergeur du dossier patient, du prestataire de télétransmission SESAM-Vitale ou du secrétariat téléphonique externalisé, le cabinet est responsable de traitement et ces prestataires sont ses sous-traitants. Un contrat conforme à l’Art. 28 du RGPD est obligatoire avec chacun d’eux.

Les bases légales à mobiliser

La base légale d’un traitement dans un cabinet médical se construit à deux étages : il faut une base de l’Art. 6 et une exception de l’Art. 9 pour les données de santé.

Pour les soins et la tenue du dossier médical, la combinaison habituelle est Art. 6(1)(b) (exécution du contrat de soins avec le patient) ou Art. 6(1)(c) (obligation légale de tenir un dossier médical), couplée à l’Art. 9(2)(h) : traitement nécessaire aux finalités de médecine préventive, de diagnostic médical, de prise en charge sanitaire ou sociale. C’est le fondement central de l’activité.

Pour la facturation et la comptabilité, on utilise Art. 6(1)(c) (obligations fiscales et de conservation comptable). Si les données de santé doivent apparaître dans la facturation (acte, cotation), Art. 9(2)(h) ou Art. 9(2)(b) (droit de la sécurité sociale) s’ajoutent.

Pour les études internes, la statistique ou l’amélioration de la qualité, Art. 9(2)(j) ou Art. 9(2)(i) peuvent s’appliquer, sous conditions strictes. Un traitement de recherche en santé nécessite en général une autorisation CNIL préalable ou l’application d’une méthodologie de référence (MR-001, MR-003, MR-004).

Pour la communication du cabinet (newsletter, site web, prospection confrères), on reste dans Art. 6(1)(a) (consentement) ou Art. 6(1)(f) (intérêt légitime) — sans traiter de données de santé.

L’hébergement : HDS obligatoire pour le dossier patient

C’est le point le plus mal compris. Dès qu’un prestataire externe héberge des données de santé pour le compte d’un professionnel de santé (y compris par simple stockage), il doit être certifié « Hébergeur de Données de Santé » (HDS) au titre de l’article L. 1111-8 du Code de la santé publique.

Cela concerne en pratique :

• Le logiciel de gestion de cabinet et de dossier patient quand il est en mode SaaS.
• L’hébergeur du serveur de sauvegarde si les données y transitent.
• Les solutions de téléconsultation.
• Le cloud utilisé pour stocker des comptes-rendus, imageries, lettres de confrères.
• Les solutions de dictée numérique intégrant une intelligence artificielle quand elles traitent un contenu médical.

Stocker ses dossiers sur un Google Drive ou un Dropbox standard, ou utiliser une messagerie grand public pour échanger des documents médicaux identifiants, est une violation caractérisée de l’obligation HDS — et ce indépendamment du RGPD. Pour sortir de cette zone grise, il faut soit passer à un éditeur métier dont l’hébergement est HDS, soit utiliser une messagerie sécurisée de santé (MSSanté).

L’hébergement chez un acteur soumis à une législation extra-européenne (Cloud Act américain notamment) reste possible mais impose une analyse des transferts hors UE et, généralement, des mesures supplémentaires. Une solution française ou européenne reste plus simple à sécuriser juridiquement. Pour les structures sensibles à la souveraineté, la qualification SecNumCloud est la référence.

Le décret n° 2026-209 du 24 mars 2026 renforce ce cadre : ses dispositions de fond deviennent applicables fin septembre 2026 et imposent, pour l’essentiel des activités d’hébergement, un stockage des données de santé exclusivement dans l’Union européenne ou l’Espace économique européen (nouvel article R. 1111-9-1 du CSP). Les accès distants et les éventuels transferts hors UE/EEE doivent désormais s’appuyer sur les mécanismes des articles 45 ou 46 du RGPD, avec des clauses contractuelles élargies (art. R. 1111-11 du CSP). Un cabinet qui utilise un logiciel métier en mode SaaS doit vérifier, dans son contrat avec l’éditeur, que cette localisation et ces clauses sont respectées — le certificat HDS ne suffit plus à lui seul à le garantir. Le référentiel technique de certification (v2) est par ailleurs obligatoire pour tout certificat HDS en cours de validité depuis le 16 mai 2026 ; l’ancienne exigence de « deux certificats » a été supprimée par cette version. Le détail complet de ces obligations figure dans notre guide sur l’hébergement de données de santé.

Durées de conservation : la règle des 20 ans

Les durées de conservation du dossier médical sont fixées principalement par le Code de la santé publique, pas par le RGPD. La règle de base (article R. 1112-7 pour les établissements, pratique transposée en ville) : 20 ans à compter du dernier passage du patient dans le cabinet, étendu à 28 ans pour les mineurs et à 30 ans pour les soins en lien avec une transfusion.

Cela dit, le cabinet traite bien d’autres données. Le tableau des durées de conservation à construire pour un cabinet type inclut :

• Dossier médical : 20 ans après le dernier passage (28 ans pour mineurs).
• Facturation et feuilles de soins électroniques : 10 ans (obligations comptables et contrôle CPAM).
• Données de prospection non-patient : 3 ans à compter du dernier contact.
• Vidéosurveillance des locaux (si présente) : 30 jours maximum sauf incident.
• Données RH et paie (si salariés) : 5 ans (bulletins) / selon les durées légales RH.

Le cabinet doit documenter la politique d’archivage intermédiaire (dossiers non actifs isolés, accès restreint) et la politique de destruction (broyage sécurisé pour le papier, effacement certifié pour le numérique).

Le DPO : souvent obligatoire

La désignation d’un DPO est rendue obligatoire par l’Art. 37(1)(c) quand le traitement à grande échelle de données sensibles constitue le coeur de l’activité. La CNIL a clarifié sa position : un cabinet médical individuel qui traite régulièrement des données de patients doit désigner un DPO, sauf exception dûment justifiée. Pour les structures pluridisciplinaires, les MSP, les centres de santé, la question ne se pose plus — le DPO est systématiquement requis.

Le DPO peut être interne (un associé, un collaborateur formé) ou externe (mutualisé entre plusieurs cabinets, ou délégué à un prestataire). Les Unions régionales des professionnels de santé (URPS) et certains ordres proposent des DPO mutualisés à tarif accessible. Pour bien cerner les hypothèses d’obligation, consultez le guide complet sur les cas où le DPO est obligatoire.

Le DPO a trois missions centrales : informer et conseiller, contrôler la conformité, coopérer avec la CNIL. Il doit être déclaré en ligne auprès de la CNIL et ses coordonnées doivent apparaître sur les supports d’information du patient.

Les droits du patient : particularités

Les patients disposent de tous les droits RGPD, avec quelques particularités de régime pour la santé.

Le droit d’accès (Art. 15 RGPD) se combine avec le droit d’accès au dossier médical prévu à l’article L. 1111-7 du CSP. Le délai de droit commun (1 mois RGPD) est plus court que le délai santé (8 jours ou 2 mois si le dossier a plus de 5 ans), mais c’est généralement le délai RGPD qu’il faut appliquer en pratique car il est plus protecteur. La communication peut se faire directement au patient, par l’intermédiaire d’un médecin désigné, ou à ses ayants droit dans les conditions de l’article L. 1110-4 CSP.

Le droit à l’effacement (Art. 17) est largement neutralisé par l’obligation légale de conservation des données de santé. On ne peut pas effacer un dossier médical pendant la durée légale de conservation.

Le droit d’opposition (Art. 21) est possible pour certains traitements (études, statistiques, communication du cabinet) mais pas pour la tenue du dossier médical dans le cadre du soin.

Le droit à la portabilité (Art. 20) ne s’applique pas aux dossiers tenus pour motif d’intérêt public ou mission de service public, mais s’applique généralement en médecine libérale au titre du contrat de soins.

Sous-traitance : le gros point aveugle

Un cabinet moderne s’appuie sur une dizaine de sous-traitants au sens RGPD : éditeur du logiciel métier, hébergeur HDS, prestataire de télétransmission, secrétariat téléphonique, service de télémédecine, éventuellement un prestataire de dictée numérique ou d’intelligence artificielle d’aide au diagnostic.

Chacun de ces prestataires doit signer un contrat conforme à l’Art. 28(3) avec des clauses précises : objet du traitement, durée, nature des opérations, catégories de données, obligations de sécurité, interdiction de sous-sous-traitance sans autorisation, obligation d’assister le cabinet dans ses obligations de sécurité et de notification. C’est un chapitre où les manquements restent fréquents dans le secteur de la santé, comme le montre la délibération SAN-2022-009 du 15 avril 2022 : la CNIL y a sanctionné de 1,5 million d’euros la société Dedalus Biologie, éditeur de logiciels pour laboratoires, pour des contrats dépourvus des mentions de l’Art. 28(3) et une extraction de données dépassant les instructions reçues lors d’une migration logicielle — la même logique de contrôle contractuel s’applique à un cabinet vis-à-vis de son éditeur de logiciel métier.

Autre point critique : la localisation des données. Si un sous-traitant héberge ou accède aux données depuis un pays hors UE, il faut analyser le mécanisme de transfert (Clauses Contractuelles Types, Décision d’adéquation, mesures supplémentaires). L’analyse des transferts est rarement faite sérieusement dans les cabinets. Elle devrait l’être pour chaque solution, et documentée.

Sécurité : le minimum technique

Les mesures de sécurité exigées par l’Art. 32 du RGPD s’apprécient au regard des risques et de la nature des données. Pour un cabinet médical, le référentiel implicite est élevé. À minima :

• Postes de travail à jour, antivirus actif, pare-feu, chiffrement des disques (BitLocker, FileVault activés).
• Sauvegardes régulières, chiffrées, hors site, testées au moins une fois par an.
• Gestion des comptes : pas de compte partagé, suppression des accès au départ d’un collaborateur ou d’un remplaçant.
• Verrouillage automatique de session après 10-15 minutes.
• Politique de mot de passe (minimum 12 caractères, complexe).
• Mise en conformité de la messagerie (MSSanté ou messagerie chiffrée pour les échanges médicaux).
• Plan de réaction en cas d’incident, y compris ransomware — les cabinets médicaux sont des cibles privilégiées.

L’authentification des accès distants mérite une attention particulière. Le référentiel d’identification électronique de la politique générale de sécurité des systèmes d’information de santé (PGSSI-S) impose, depuis le 1er juin 2022, une authentification à deux facteurs pour l’accès aux services numériques en santé, en particulier les accès distants (OTP par SMS, TOTP, carte CPS avec code porteur, sans obligation de smartphone) ; depuis le 1er janvier 2026, le palier applicable exige un niveau de garantie substantiel, atteignable avec des dispositifs FIDO2 certifiés (ANS, FAQ PGSSI-S). Ce n’est pas une simple bonne pratique : le non-respect de ce référentiel sectoriel caractérise un manquement à l’Art. 32 du RGPD en cas de contrôle. C’est exactement ce que la CNIL a sanctionné le 21 juillet 2026 : par la délibération SAN-2026-009, rendue publique le 3 septembre 2026, elle a infligé 500 000 € d’amende à l’Hôpital privé de la Loire après qu’un attaquant s’est connecté sans authentification multifacteur au dossier patient informatisé et a accédé, pendant plusieurs jours sans être détecté, aux données de 524 867 patients et de 202 246 tiers de confiance — lesquels n’avaient reçu aucune information directe, ce qui a également caractérisé un manquement à l’Art. 34. Un cabinet qui autorise des accès externes (remplaçant, secrétariat à domicile, télé-expertise, éditeur en télémaintenance) doit appliquer le même couplage VPN + MFA à ces accès, pas seulement aux postes internes : c’est le point faible que la décision met en évidence. Le sujet est traité en détail dans notre guide sur l’authentification forte et, pour le contexte hospitalier complet, dans RGPD à l’hôpital.

L’analyse d’impact (AIPD) est obligatoire pour tout nouveau système traitant massivement des données de santé. La CNIL considère que la mise en oeuvre d’un nouveau dossier patient informatisé, d’une solution de télémédecine, ou d’un outil d’intelligence artificielle relève de l’AIPD obligatoire.

Les sanctions récentes dans le secteur santé

Deux délibérations récentes de la CNIL donnent la mesure des enjeux pour le secteur. La sanction de 500 000 € contre l’Hôpital privé de la Loire (SAN-2026-009, détaillée plus haut) porte exclusivement sur des manquements de paramétrage — accès externes sans MFA, habilitations trop larges, absence de détection, défaut d’information des tiers de confiance — reproductibles dans n’importe quelle structure, quelle que soit sa taille. La sanction de 1,5 million d’euros contre Dedalus Biologie (SAN-2022-009) montre, elle, que l’éditeur du logiciel métier répond directement de ses propres manquements — ce qui n’exonère pas le cabinet de vérifier son contrat de sous-traitance.

Ce que ces décisions montrent, c’est que la CNIL cible en priorité les acteurs à fort impact (éditeurs de logiciels, plateformes, laboratoires, hôpitaux) plutôt que le cabinet isolé. Mais la jurisprudence produite s’impose à tous : les manquements retenus (authentification, habilitations, journalisation, information des personnes) sont des exigences génériques de l’Art. 32 du RGPD, pas des obligations propres aux grands établissements. Le cabinet qui aurait un incident de sécurité significatif et ne pourrait démontrer sa conformité sur ces mêmes points s’expose à une sanction sévère.

Ce qu’il faut retenir

• Le cabinet médical est responsable de traitement et doit se conformer pleinement au RGPD, en plus du secret médical.
• Presque toutes les données du cabinet relèvent de l’Art. 9 (données de santé) : régime renforcé, base légale Art. 9(2)(h) dans la plupart des cas.
• L’hébergement des données patient (logiciel métier SaaS, cloud, sauvegardes) doit être chez un prestataire certifié HDS.
• Le DPO est en pratique obligatoire pour les cabinets traitant régulièrement des patients (solution mutualisée possible).
• Les durées de conservation du dossier médical sont de 20 ans après le dernier passage (28 ans pour les mineurs).
• La sous-traitance (éditeur, hébergeur, télétransmission, IA, secrétariat) impose des contrats Art. 28 précis et une cartographie à jour.

FAQ

Un médecin libéral doit-il vraiment désigner un DPO ?

Oui, dans la très grande majorité des cas. La CNIL considère que le traitement régulier de données de santé par un professionnel de santé en exercice libéral déclenche l’obligation de l’Art. 37(1)(c). Des solutions mutualisées existent via les URPS ou des prestataires spécialisés pour en limiter le coût.

Peut-on utiliser Gmail ou WhatsApp pour échanger avec un confrère sur un patient ?

Non. Ces outils ne sont pas conformes pour échanger des données de santé identifiantes : absence de chiffrement adéquat, hébergement non HDS, localisation des données hors UE. Il faut utiliser MSSanté (messagerie sécurisée de santé) ou une messagerie chiffrée dont l’hébergement est HDS.

Le patient peut-il exiger la suppression de son dossier ?

Non, tant que la durée légale de conservation (20 ans après le dernier passage) n’est pas atteinte. Le droit à l’effacement de l’Art. 17 du RGPD est neutralisé par l’obligation légale de conservation du dossier médical. Le patient peut en revanche demander la rectification d’une donnée erronée.

Quelle est la première chose à faire pour mettre un cabinet en conformité ?

Commencer par trois actions : désigner un DPO (interne ou mutualisé), tenir le registre des activités de traitement, vérifier que le logiciel métier et l’hébergement du dossier patient sont certifiés HDS (référentiel v2, et conformité au décret n° 2026-209 sur la localisation UE/EEE). Ces trois briques couvrent les manquements les plus fréquemment relevés en contrôle et permettent ensuite de structurer le reste (authentification des accès distants, contrats sous-traitants, durées, information des patients).

---

Sources : CNIL, « Violation de données en matière de santé : sanction de 500 000 euros à l’encontre de l’HÔPITAL PRIVÉ DE LA LOIRE », 3 septembre 2026 — Délibération SAN-2026-009 du 21 juillet 2026 (Légifrance) — Délibération SAN-2022-009 du 15 avril 2022, Dedalus Biologie (Légifrance) — Décret n° 2026-209 du 24 mars 2026 relatif à l’hébergement de données de santé (Légifrance) — Article L. 1111-8 du code de la santé publique (Légifrance) — Article L. 1115-1 du code de la santé publique (Légifrance) — ANS, FAQ PGSSI-S : obligation de double authentification pour l’accès aux données de santé — Règlement (UE) 2016/679 (EUR-Lex)

Thiébaut Devergranne est docteur en droit (Paris II), titulaire du CAPA, et travaille depuis plus de vingt ans sur le droit des technologies, dont six années au sein des services du Premier ministre (SGDN/DCSSI). Il a fondé donneespersonnelles.fr et Legiscope. Cet article présente le cadre applicable au 26 septembre 2026 et ne constitue pas un conseil juridique individualisé ; la délibération SAN-2026-009 était susceptible de recours devant le Conseil d’État dans les deux mois de sa notification.