RGPD au cabinet de santé : registre des traitements et DPO, l'essentiel sans jargon

"Faut-il un DPO dans mon cabinet ?" C'est la question RGPD la plus posée par les professionnels de santé — et la réponse officielle de la CNIL n'est pas tout à fait celle que certains prestataires vous vendent.

Ce qui a changé depuis 2018 : plus de déclaration, mais un registre obligatoire

Depuis l'entrée en application du RGPD, vous n'avez plus de formalité à accomplir auprès de la CNIL pour les traitements nécessaires à la gestion de votre cabinet. En contrepartie, vous devez être en mesure de démontrer à tout moment votre conformité, notamment via un registre des activités de traitement — obligatoire pour tous les professionnels de santé, y compris ceux exerçant seuls.

Ce que doit contenir votre registre

Pour chaque traitement (dossier patient, messagerie sécurisée, prise de rendez-vous, télétransmission, comptabilité...), le registre doit préciser : la finalité, les catégories de données traitées, les destinataires, la durée de conservation, et les mesures de sécurité mises en œuvre. La CNIL met à disposition un modèle de registre de base, pensé spécifiquement pour les petites structures.

Le DPO : une obligation à géométrie variable

C'est le point le plus source de confusion. La position officielle de la CNIL est la suivante : un professionnel exerçant à titre individuel n'est pas soumis à l'obligation de désigner un Délégué à la Protection des Données (DPO), sauf s'il estime traiter des données de santé à grande échelle (exercice en réseau, maison de santé, centre de santé, dossiers partagés entre plusieurs professionnels).

Un point de vigilance cependant : certains juristes et consultants spécialisés considèrent aujourd'hui, en s'appuyant sur les lignes directrices européennes sur le traitement à grande échelle, qu'un cabinet individuel qui traite régulièrement des données de patients peut également entrer dans ce cadre. Cette lecture n'est pas la position officielle affichée par la CNIL sur son site, mais elle circule de plus en plus dans les recommandations pratiques. En cas de doute, la désignation d'un DPO mutualisé (via votre URPS, votre Ordre professionnel, ou un prestataire externe) reste une option peu coûteuse qui sécurise votre position sans attendre qu'un texte tranche définitivement la question.

Situation	Obligation DPO selon la position officielle CNIL
Professionnel exerçant seul, sans réseau ni dossier partagé	Non obligatoire
Professionnel exerçant seul, mais estimant traiter à grande échelle	Recommandé de désigner un DPO
Maison de santé pluriprofessionnelle, centre de santé	DPO à évaluer systématiquement, souvent nécessaire
Structure de groupe avec dossiers partagés entre plusieurs professionnels	DPO généralement requis

Ce que le DPO ne remplace pas

Que vous désigniez ou non un DPO, le registre des traitements reste obligatoire dans tous les cas — ce n'est pas une alternative au DPO, mais un document distinct exigé de tous.

Les contrats à signer avec vos prestataires

Tout tiers qui traite des données pour votre compte (éditeur de logiciel, hébergeur, comptable, prestataire de maintenance) est un sous-traitant au sens du RGPD. Vous devez signer avec chacun un contrat conforme à l'article 28 du RGPD, précisant l'objet du traitement, les obligations de sécurité, et les modalités de restitution ou de suppression des données en fin de contrat.

Ce qu'il faut faire en cas de violation de données

• Notifier la CNIL sous 72 heures si la violation présente un risque pour les droits des patients (formulaire en ligne sur cnil.fr) ;
• Informer les patients concernés sans délai si le risque est élevé ;
• Consigner l'incident dans votre registre interne des violations, même si la notification à la CNIL n'était pas requise.

Ce que votre logiciel doit garantir

• Gestion des droits d'accès différenciés (praticien, secrétariat, remplaçant), avec traçabilité des accès aux dossiers patients ;
• Hébergement certifié HDS dès lors que vos données sont stockées dans le cloud ;
• Contrat article 28 RGPD clair avec l'éditeur, précisant les conditions de sécurité et de restitution des données ;
• Export des données dans un format interopérable, pour ne pas être captif d'un éditeur en cas de changement.

C'est cette base contractuelle et technique que MetaConnect Studio formalise dès l'entrée en relation, plutôt que de la laisser à la charge du praticien. Retrouvez le détail sur notre page conformité.

Envie de faire un point sur votre propre conformité RGPD avant un éventuel contrôle ? Configurez votre plateforme MetaConnect Studio en 5 minutes, sans engagement.

FAQ

Dois-je déclarer mon fichier patients à la CNIL ?

Non, cette obligation a disparu avec l'entrée en application du RGPD en 2018. Vous devez en revanche tenir un registre des traitements, consultable en interne en cas de contrôle.

Un cabinet individuel doit-il obligatoirement désigner un DPO ?

Selon la position officielle de la CNIL, non, sauf si le professionnel estime traiter des données de santé à grande échelle. Certains praticiens choisissent néanmoins d'en désigner un par précaution, notamment via une solution mutualisée.

Que risque un cabinet en cas de manquement RGPD ?

Le plafond légal atteint 20 millions d'euros ou 4 % du chiffre d'affaires mondial, mais les sanctions effectivement prononcées contre des professionnels de santé se situent en pratique plutôt entre 5 000 et 50 000 € pour défaut de sécurité ou absence de registre.

Mon éditeur de logiciel est-il un sous-traitant RGPD ?

Oui, tout éditeur qui traite des données pour votre compte est un sous-traitant au sens de l'article 28 du RGPD, avec lequel un contrat encadrant les obligations de sécurité doit être signé.

Puis-je effacer le dossier d'un patient qui le demande ?

Non, tant que la durée légale de conservation n'est pas atteinte : l'obligation légale de conservation du dossier patient neutralise le droit à l'effacement prévu par le RGPD. Voir notre article sur les durées de conservation.