Vous notez le motif de consultation, les antécédents, parfois des pathologies. Vous gardez un téléphone, une adresse, une date de naissance.
Tout cela, le règlement européen l'appelle des données de santé, et les range dans la catégorie la plus protégée qui soit.
Pourquoi vos dossiers sont des données sensibles
Le RGPD distingue les données ordinaires et les catégories particulières, énumérées à son article 9 : origine, opinions, orientation sexuelle, données biométriques, et données de santé.
Leur traitement est interdit par principe, sauf exception. La vôtre est prévue par le texte : les soins.
Cette qualification a une conséquence pratique immédiate, et c'est elle qui fait tomber la plupart des exemptions dont bénéficient les petites structures.
Le consentement du patient
On lit partout qu'il faudrait faire signer un formulaire de consentement RGPD à chaque patient.
Non. La CNIL est explicite : le recueil du consentement n'est pas nécessaire, parce que le traitement des données est indispensable à la prise en charge.
Le consentement n'est d'ailleurs pas une bonne base légale ici. Un patient qui pourrait retirer son consentement à tout moment pourrait exiger l'effacement d'un dossier que vous avez de bonnes raisons de conserver.
Ce que vous devez, c'est informer.
Le registre des traitements
C'est l'obligation la plus souvent ignorée, et la plus simple à remplir.
Le RGPD dispense en principe les organismes de moins de 250 salariés de tenir un registre. Mais l'exemption tombe dès que le traitement porte sur des données sensibles.
Vous traitez des données de santé : vous n'êtes pas dispensé. Un cabinet d'un praticien doit tenir son registre comme un CHU.
Concrètement, c'est un document, tenu par vos soins, qui recense chaque traitement avec :
- Sa finalité : gestion des dossiers patients, prise de rendez-vous, facturation, comptabilité
- Les catégories de données concernées
- Les personnes qui y ont accès, vous compris
- Les destinataires : votre logiciel, votre comptable, votre plateforme de rendez-vous
- La durée de conservation retenue
- Les mesures de sécurité en place
La CNIL publie un modèle. Deux heures un dimanche suffisent à le remplir, et il vous sera demandé en premier en cas de contrôle.
Vous n'avez besoin ni d'un DPO ni d'une AIPD
Deux acronymes qui font peur, et deux obligations qui ne vous concernent pas en exercice individuel.
Le délégué à la protection des données s'impose quand le traitement de données sensibles à grande échelle constitue le cœur de l'activité. La CNIL considère que le praticien libéral seul n'y est pas soumis.
L'obligation apparaît avec les réseaux de soins et les systèmes d'information partagés, pas avec un cabinet.
Même logique pour l'analyse d'impact, l'AIPD. Elle vise le traitement à grande échelle. Dans son référentiel pour les cabinets, la CNIL situe le seuil de déclenchement autour de 10 000 patients par an pour des praticiens en cabinet de groupe partageant le même système d'information.
Vous en êtes probablement loin. Ce qui ne vous dispense pas de savoir pourquoi vous en êtes dispensé, c'est exactement le genre de raisonnement qu'un contrôle attend de vous.
Combien de temps garder un dossier patient
Aucun texte n'impose de durée au praticien libéral. C'est à vous de la fixer, et de pouvoir la justifier.
La référence la plus solide est le référentiel de la CNIL sur la gestion des cabinets médicaux et paramédicaux, qui recommande vingt ans à compter de la dernière prise en charge, découpés ainsi :
- Cinq ans en base active, à compter de la dernière intervention sur le dossier
- Quinze ans en archive, sur un support distinct et dans des conditions de sécurité équivalentes
Une précision honnête s'impose ici. Ce référentiel vise les professionnels de santé libéraux, et l'ostéopathe n'en est pas un au sens du code de la santé publique, il exerce sous un titre protégé, pas sous une profession réglementée de santé.
Vous n'êtes donc pas formellement dans son champ. Mais vous traitez exactement les mêmes données, et à défaut de texte propre à l'ostéopathie, c'est la meilleure référence disponible. Un contrôle vous demandera pourquoi vous avez retenu telle durée, pas de citer un article qui n'existe pas.
Certains assureurs conseillent d'aller jusqu'à trente ans, en calant la conservation sur la prescription en responsabilité civile. Les deux raisonnements se défendent. Ce qui ne se défend pas, c'est de n'avoir jamais tranché.
Base active et archive
C'est le point qui échappe le plus souvent, parce qu'il ne se voit pas dans un logiciel.
La base active, c'est ce que vous consultez au quotidien. L'archive, c'est ce que vous ne consultez plus mais que vous ne pouvez pas encore détruire.
Les deux ne doivent pas être au même endroit. Un dossier archivé se range à part, avec un accès restreint et tracé.
En pratique, si votre logiciel gère ce basculement automatiquement, vous n'avez rien à faire. Sinon, c'est à vous d'organiser la séparation.
L'hébergement : ce que la certification HDS veut vraiment dire
Une confusion répandue mérite d'être levée.
La certification HDS, prévue par l'article L1111-8 du code de la santé publique, ne pèse pas sur vous. Elle pèse sur celui qui héberge des données de santé pour le compte d'un autre.
Si vous tenez vos dossiers sur votre propre ordinateur, vous êtes responsable de traitement et vous hébergez vos propres données : aucune certification n'est requise.
Si vous utilisez un logiciel en ligne, un agenda partagé ou une sauvegarde dans le cloud, alors votre prestataire doit être certifié HDS.
Informer vos patients : où et comment
L'information est la contrepartie du fait que vous n'avez pas à demander leur consentement.
La CNIL admet un affichage en salle d'attente. Une notice remise à la première consultation ou une page sur votre site font aussi l'affaire.
Elle doit dire :
- Qui vous êtes et comment vous joindre
- Pourquoi vous collectez ces données
- Combien de temps vous les gardez
- À qui elles peuvent être transmises
- Quels droits le patient a, et comment les exercer
Une demi-page suffit. Un document de six pages en petits caractères n'informe personne, et un contrôleur le sait aussi bien que vous.
Si vous utilisez Olnis comme logiciel, nous vous fournissions cette affiche.
Les droits de vos patients, et vos délais
Un patient peut demander l'accès à son dossier, sa rectification, parfois son effacement, et l'opposition à certains usages.
Vous avez un mois pour répondre, délai prolongeable de deux mois si la demande est complexe, à condition de le lui dire dans le premier mois.
Le droit à l'effacement n'est pas absolu. Un patient qui demande la suppression de son dossier alors que vous avez une raison légitime de le conserver n'obtient pas satisfaction automatiquement. Refusez par écrit, en expliquant pourquoi.
Vérifiez toujours l'identité du demandeur avant d'envoyer quoi que ce soit. Un dossier expédié à la mauvaise personne est une violation de données, et c'est un scénario nettement plus fréquent que le piratage.
En cas de fuite : 72 heures
Ordinateur volé, clé USB perdue, dossier envoyé au mauvais destinataire, boîte mail compromise, ce sont des violations de données.
Vous devez les notifier à la CNIL dans les 72 heures après en avoir pris connaissance, sauf si la violation ne risque pas de porter atteinte aux personnes.
Si le risque pour les patients est élevé, vous devez aussi les prévenir individuellement.
Toutes les violations, même celles que vous ne notifiez pas, doivent être consignées dans un registre interne. Trois lignes par incident suffisent, ce qui s'est passé, ce que vous avez fait, ce que vous en avez conclu.
Vos sous-traitants
Votre logiciel de gestion, votre plateforme de rendez-vous, votre service de secrétariat téléphonique, votre prestataire de sauvegarde, tous traitent des données pour votre compte.
Chacun doit être lié par un contrat qui encadre ce qu'il a le droit de faire. En pratique, cela figure dans les conditions du service, sous un intitulé du type « accord de sous-traitance » ou « DPA ».
S'il n'y en a pas, c'est déjà une réponse sur le sérieux du prestataire.
Regardez aussi où sont hébergées les données. Un hébergement dans l'Union européenne simplifie beaucoup de choses, un transfert hors Union en complique beaucoup d'autres.
La sécurité, en pratique
Le RGPD ne vous impose pas une liste de mesures, il vous impose un résultat proportionné au risque. Voici ce que cela signifie dans un cabinet :
- Un mot de passe long et unique pour votre session et pour votre logiciel, jamais le même que celui de votre boîte mail
- Un verrouillage automatique de l'écran, surtout si le poste est visible depuis la salle d'attente
- Le chiffrement du disque de l'ordinateur portable, qui rend un vol beaucoup moins grave
- Une sauvegarde régulière, testée au moins une fois, dont l'emplacement est aussi protégé que l'original
- Aucun dossier patient envoyé par messagerie personnelle, ni par SMS, ni par messagerie instantanée
- Des comptes distincts si un remplaçant ou un secrétariat accède au logiciel, pour savoir qui a consulté quoi
Le dernier point est celui qu'on néglige le plus, et c'est celui qui protège le mieux, la traçabilité des accès.
Les erreurs les plus fréquentes
- Faire signer un consentement RGPD, qui n'a pas lieu d'être et fragilise votre base légale
- Ne pas avoir de registre, en croyant l'exemption des petites structures applicable
- Garder les dossiers indéfiniment, sans durée écrite nulle part
- Utiliser un outil grand public non certifié HDS pour tenir des dossiers patients
- Envoyer un compte rendu par messagerie personnelle, « juste cette fois »
- Partager un même identifiant de logiciel avec un remplaçant
- Ne pas vérifier l'identité d'un patient qui réclame son dossier par mail
Questions fréquentes
Dois-je faire signer un formulaire RGPD à mes patients ?
Non. Le consentement n'est pas la base légale du traitement dans un contexte de soins. Vous devez informer, pas faire signer.
Dois-je déclarer mon cabinet à la CNIL ?
Non. Les déclarations préalables ont disparu avec l'entrée en application du RGPD en 2018, remplacées par la tenue d'un registre et la responsabilité du praticien.
Un carnet papier est-il concerné ?
Oui, dès lors que les informations sont structurées. Un fichier papier organisé relève du RGPD au même titre qu'un logiciel, avec les mêmes exigences de sécurité et de durée.
Puis-je garder les dossiers de patients que je ne vois plus ?
Oui, dans la limite de la durée que vous avez fixée, et en les basculant en archive plutôt qu'en les laissant dans votre base courante.
Que se passe-t-il si je cesse mon activité ?
Les dossiers ne disparaissent pas avec le cabinet. Ils doivent rester accessibles à vos anciens patients pendant la durée de conservation retenue, et leur sort doit être organisé avant la fermeture, pas après.
Sources et méthodologie
Les règles citées dans cet article proviennent des sources publiques suivantes, à vérifier pour votre situation personnelle :
- CNIL : fiche « RGPD et professionnels de santé libéraux » (consentement, registre, DPO, analyse d'impact, information des patients)
- CNIL : référentiel relatif aux traitements de données destinés à la gestion des cabinets médicaux et paramédicaux, délibération n° 2020-081 du 18 juin 2020 (durées de conservation, base active et archivage, seuil d'analyse d'impact)
- RGPD : article 9 (catégories particulières de données), article 12 (délais de réponse), article 15 (droit d'accès), article 30 (registre et exemption des moins de 250 salariés), articles 33 et 34 (violations de données), articles 35 et 37 (analyse d'impact et délégué)
- Légifrance : article L1111-8 du code de la santé publique (hébergement de données de santé) et article L1115-1 (sanctions applicables à l'hébergeur)
- Agence du numérique en santé : objectif et champ du régime d'hébergement des données de santé
- MACSF : pratiques de conservation des dossiers en exercice libéral
Article à jour en septembre 2026.
Le référentiel de la CNIL cité ici vise les professionnels de santé libéraux, l'ostéopathe, qui exerce sous un titre protégé sans être un professionnel de santé au sens du code de la santé publique, s'en inspire à défaut de texte propre à sa profession.
Ces repères ne remplacent pas l'avis d'un conseil sur votre situation.
Pour tenir ses dossiers patients avec des durées de conservation appliquées automatiquement, des accès tracés et un hébergement en France, un logiciel dédié comme Olnis est certifié HDS et fournit le registre des traitements prérempli. Les jeunes diplômés bénéficient de 30 % de remise sur leurs deux premiers mois.