Tu traites des données de santé tous les jours : bilans, dossiers patients, ordonnances, coordonnées. Ces données sont parmi les plus sensibles au sens du RGPD. Depuis mai 2018, le cadre est clair et les sanctions sont réelles. Pourtant, la majorité des cabinets libéraux n’ont pas encore fait le minimum. On te guide étape par étape.
Ce que le RGPD impose concrètement à un cabinet de kiné
Le Règlement Général sur la Protection des Données (RGPD) s’applique à toute personne ou structure qui traite des données personnelles de manière systématique. En tant que kiné libéral, tu es un « responsable de traitement » au sens du règlement. Tu dois respecter six principes fondamentaux :
- Licéité : collecter les données pour une raison légitime et documentée
- Limitation de la finalité : ne pas utiliser les données pour autre chose que le soin
- Minimisation : ne collecter que ce qui est strictement nécessaire
- Exactitude : tenir les dossiers patients à jour
- Limitation de conservation : ne pas garder les données au-delà de la durée nécessaire
- Sécurité : protéger les données contre tout accès non autorisé
Étape 1 : recenser tous tes traitements de données
La première action concrète est de dresser un registre des activités de traitement. Ce document liste toutes les situations où tu collectes et utilises des données personnelles. Pour un cabinet de kiné, cela comprend typiquement :
| Traitement | Données concernées | Base légale |
|---|---|---|
| Dossier patient | Identité, données de santé, antécédents | Soins de santé (art. 9.2.h RGPD) |
| Agenda et rendez-vous | Nom, téléphone, email | Intérêt légitime ou consentement |
| Facturation | Coordonnées, actes réalisés | Obligation légale |
| Newsletter patients | Email, prénom | Consentement explicite obligatoire |
| Surveillance vidéo du cabinet | Images des visiteurs | Intérêt légitime, déclaration obligatoire |
Étape 2 : sécuriser tes outils numériques
Les failles les plus fréquentes dans les cabinets libéraux concernent la sécurité informatique. Le minimum attendu par la CNIL pour un cabinet de santé :
- Logiciel métier certifié Hébergement de Données de Santé (HDS), c’est l’exigence spécifique aux données de santé, au-delà du RGPD général
- Mot de passe fort et unique sur chaque poste de travail
- Pas de stockage de dossiers patients sur le bureau Windows ou dans Gmail
- Chiffrement du disque dur si tu travailles sur un ordinateur portable
- Sauvegarde régulière des données sur un support chiffré
| La certification HDS : obligatoire pour les données de santé Tout hébergement de données de santé à caractère personnel doit être réalisé sur un système certifié HDS (Hébergeur de Données de Santé), conformément à l’article L.1111-8 du Code de la santé publique. C’est une obligation supplémentaire au RGPD, spécifique aux professionnels de santé. Dropbox, Google Drive ou OneDrive ne sont pas des solutions certifiées HDS. |
Étape 3 : informer tes patients
Le RGPD impose d’informer les personnes dont tu traites les données. Pour un cabinet de kiné, cette information prend généralement la forme d’une affichette en salle d’attente et d’une mention dans le dossier patient ou le formulaire d’accueil. Ce document doit mentionner au minimum :
- L’identité du responsable de traitement (toi)
- La finalité du traitement (soins, facturation)
- La durée de conservation des données
- Les droits du patient : accès, rectification, suppression, opposition
- La possibilité de saisir la CNIL en cas de litige
Étape 4 : définir les durées de conservation
Les dossiers médicaux doivent être conservés 20 ans à compter de la dernière consultation, ou jusqu’aux 28 ans du patient s’il est mineur (article R.1112-7 du Code de la santé publique). Au-delà, les données doivent être détruites de manière sécurisée. Les données comptables suivent le délai de prescription fiscal de 6 à 10 ans.
Les sanctions en cas de non-conformité
La CNIL peut prononcer des sanctions administratives pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial pour les infractions les plus graves. Pour un cabinet libéral, les sanctions réelles sont bien sûr proportionnées, mais une violation de données de santé peut aussi engager ta responsabilité civile envers tes patients.
FAQ : RGPD cabinet kiné
Dois-je désigner un Délégué à la Protection des Données (DPO) ?
Non, pas obligatoirement pour un cabinet libéral individuel. La désignation d’un DPO est obligatoire pour les structures traitant des données de santé à grande échelle. Pour un cabinet individuel, tenir un registre de traitement à jour et respecter les principes de base suffit.
Que faire si je subis une violation de données (ordinateur volé, piratage) ?
Tu dois notifier la CNIL dans les 72 heures via le portail notifications.cnil.fr si la violation présente un risque pour les droits et libertés des personnes concernées. Si le risque est élevé, tu dois également en informer les patients concernés directement.
| Ce qu’il faut retenir La mise en conformité RGPD d’un cabinet de kiné repose sur quatre actions : répertorier ses traitements, sécuriser ses outils (logiciel certifié HDS obligatoire), informer ses patients, et définir les durées de conservation. La CNIL publie des guides sectoriels pour les professions de santé libérales, consultables gratuitement sur cnil.fr. |
Sources
- Règlement (UE) 2016/679 du Parlement européen – RGPD
- Article L.1111-8 du Code de la santé publique – Hébergement de données de santé
- Article R.1112-7 du Code de la santé publique – Durée de conservation des dossiers médicaux
- CNIL – Guide pratique RGPD pour les professions de santé, cnil.fr