Dossiers patients et RGPD : structurer traitements, durées et information des patients

Lecture rapide

Ce guide pratique s’adresse aux médecins libéraux pour les aider à appliquer le RGPD dans la gestion des dossiers patients, la prise de rendez-vous, la messagerie électronique, l’usage des téléphones et tablettes, la recherche et la télémédecine. Il détaille les obligations : limiter les données collectées, sécuriser les systèmes, informer les patients, respecter leurs droits, tenir un registre des traitements, encadrer les sous-traitants et gérer les violations de données.

Analyse juridique

Dossiers patients et RGPD : structurer traitements, durées et information des patients

1. Le Règlement Général sur la Protection des Données (RGPD) et la loi française Informatique et Libertés constituent le socle de la nouvelle réglementation sur la protection des données personnelles dans le secteur de la santé. Entré en application le 25 mai 2018, le RGPD (Règlement (UE) 2016/679) et la loi n°78-17 du 6 janvier 1978 modifiée imposent aux médecins en exercice libéral de revoir l’ensemble de leurs pratiques relatives aux dossiers patients, à la prise de rendez-vous, à l’utilisation de la messagerie électronique, aux téléphones portables et tablettes, aux recherches et à la télémédecine. Le médecin est, dans la plupart des situations décrites, qualifié de responsable de traitement et doit démontrer la conformité de ses traitements de données aux principes fondamentaux de la protection des données.

2. Le RGPD définit la donnée personnelle comme « toute information se rapportant à une personne physique identifiée ou identifiable », c’est-à-dire une personne pouvant être identifiée directement ou indirectement (art. 4.1 RGPD). Dans le cadre de l’exercice libéral, cela recouvre les données d’identification (nom, prénom, adresse, numéro de téléphone), les informations relatives à la vie personnelle (par exemple nombre d’enfants), à la couverture sociale (assurance maladie obligatoire, complémentaire), mais surtout les données de santé (pathologie, diagnostic, prescriptions, soins, résultats d’examens, professionnels intervenant dans la prise en charge). Le numéro de sécurité sociale (NIR) est également traité pour la facturation des actes. Dès lors que le médecin collecte, enregistre, conserve ou transmet ces informations pour le suivi des patients ou la gestion du cabinet, il est pleinement concerné par le RGPD.

3. Les dossiers patients, qu’ils soient tenus sur support papier ou via un logiciel médico-administratif fourni par un prestataire, contiennent nécessairement des données personnelles. Le médecin est donc responsable de traitement et doit s’assurer que l’usage de ces dossiers respecte les principes fondamentaux de la protection des données (art. 5 RGPD et art. 6 loi Informatique et Libertés). Ces principes se déclinent en obligations concrètes : définir des finalités déterminées, explicites et légitimes, limiter les données au nécessaire, respecter des durées de conservation adaptées, informer les patients et garantir leurs droits, sécuriser l’accès et le stockage, encadrer les sous-traitants et documenter la conformité (registre des activités de traitement, traçabilité des incidents, engagements de confidentialité).

4. La première exigence porte sur les finalités des traitements. Les dossiers patients doivent répondre à des finalités « déterminées, explicites et légitimes ». Les informations collectées sont utilisées pour l’activité de prévention, diagnostic et soins et pour la gestion du cabinet. Les finalités typiques sont la gestion des rendez-vous, la gestion des dossiers médicaux, l’édition des ordonnances, l’envoi de courriers aux confrères, l’établissement et la télétransmission des feuilles de soins. Toute autre utilisation, notamment personnelle ou commerciale, est prohibée. Les réutilisations ultérieures (par exemple à des fins de recherche) doivent être encadrées, justifiées et faire l’objet d’une information spécifique.

5. Le principe de minimisation des données impose que les données collectées soient « adéquates, pertinentes et limitées à ce qui est nécessaire » à la prise en charge du patient. Toutes les informations confiées par le patient ne doivent pas automatiquement figurer dans le dossier : seules celles utiles au suivi médical peuvent être enregistrées. La CNIL considère comme légitime la collecte de certaines catégories : données d’identification (nom, prénom, date de naissance, adresse, téléphone), NIR (uniquement pour l’édition et la télétransmission des feuilles de soins), situation familiale (situation matrimoniale, nombre d’enfants) et vie professionnelle (profession, conditions de travail) selon le contexte, données de santé (historique médical, historique des soins, diagnostics, traitements, actes, résultats d’examens, éléments pertinents pour la santé), habitudes de vie (avec accord du patient et dans la stricte mesure de la nécessité médicale). D’autres informations peuvent être collectées si elles sont objectivement pertinentes (par exemple origine ethnique influant sur une pathologie ou un traitement, habitudes alimentaires). En revanche, les données sans lien avec l’objet de la consultation ou non indispensables au diagnostic et aux soins (par exemple religion, orientation sexuelle, éléments de vie privée non médicaux) doivent être exclues.

6. La durée de conservation des données ne doit pas excéder ce qui est nécessaire au regard des finalités. En l’absence de texte spécifique pour les libéraux, le Conseil national de l’Ordre des médecins recommande de s’aligner sur l’article R.1112-7 du Code de la santé publique applicable aux établissements de santé : conservation des dossiers pendant 20 ans à compter de la dernière consultation ; si le patient est mineur et que ce délai expire avant son 28e anniversaire, prolongation jusqu’à cette date ; si le patient décède moins de 10 ans après la dernière consultation, conservation pendant 10 ans à compter du décès ; suspension des délais en cas d’action en responsabilité. Les doubles des feuilles de soins doivent être conservés 3 mois. Au-delà, les dossiers et informations doivent être supprimés ou anonymisés, en tenant compte des prescriptions légales et des besoins de preuve.

7. L’information des patients est une obligation centrale (art. 13 RGPD). Le médecin doit informer de l’existence des dossiers et des droits associés, par exemple via un affichage en salle d’attente ou une notice d’information (modèle en annexe n°1 du guide). Cette information doit mentionner au minimum : l’identité et les coordonnées du médecin, les finalités et la base juridique du traitement (y compris les finalités ultérieures), les destinataires des données, la durée de conservation, les droits des personnes (accès, rectification, effacement dans certains cas, limitation, opposition, réclamation auprès de la CNIL), le caractère obligatoire ou facultatif des données et les conséquences d’un refus, ainsi que, le cas échéant, l’utilisation ultérieure des données pour une autre finalité (par exemple recherche). Cette transparence conditionne la confiance et la licéité des traitements.

8. Les patients disposent de droits qu’il appartient au médecin de respecter et d’organiser. Ils peuvent accéder à leurs données, rectifier les informations inexactes, s’opposer au traitement pour des raisons tenant à leur situation particulière, et demander l’effacement dans certaines situations (par exemple conservation excessive, données non adéquates). Les demandes doivent être traitées dans un délai raisonnable. Pour l’accès au dossier patient, le Code de la santé publique (art. L.1111-7) impose un délai de 8 jours, porté à 2 mois si les informations datent de plus de 5 ans. Le médecin doit être en mesure de tracer les demandes et les réponses, et d’articuler ces droits avec ses propres obligations légales de conservation.

9. La sécurité des données de santé est un axe majeur. Seules les personnes habilitées par la loi et par leurs missions peuvent accéder aux données (par exemple l’équipe de soins intervenant dans la prise en charge). Les règles d’échange et de partage d’informations entre professionnels doivent être respectées, en limitant l’accès aux seules informations nécessaires. Le personnel administratif ne doit pas disposer d’un accès global aux dossiers : il peut traiter des données strictement nécessaires (nom, prénom, code acte, NIR, date de consultation) pour la télétransmission ou la gestion administrative. En cas de recours à un prestataire de maintenance, celui-ci ne doit pas accéder aux données de santé ; les données doivent être chiffrées pour lui permettre d’intervenir sans lecture possible. Si le stockage est confié à un tiers, celui-ci doit être hébergeur de données de santé agréé ou certifié (art. L.1111-8 CSP). Dans tous les cas, la relation doit être formalisée par un contrat de sous-traitance conforme à l’article 28 RGPD.

10. Le contrat de sous-traitance doit préciser que le prestataire : ne traite les données que sur instruction du médecin, fait signer des engagements de confidentialité à son personnel, met en œuvre des mesures de sécurité appropriées, ne recrute pas de sous-traitant ultérieur sans autorisation écrite préalable, coopère avec le médecin pour le respect des droits des patients, supprime ou restitue les données à l’issue de la prestation, et accepte d’être audité. Cette structuration contractuelle est indispensable pour démontrer la maîtrise de la chaîne de traitement et la conformité globale.

11. Sur le plan technique, le médecin doit appliquer des mesures de sécurité conformes aux référentiels d’interopérabilité et de sécurité des données de santé (art. L.1110-4-1 CSP) et aux recommandations de la CNIL. Cela inclut l’utilisation de mots de passe robustes (12 caractères, chiffres, lettres majuscules et minuscules, caractères spéciaux, renouvelés régulièrement), le verrouillage automatique de la session après 30 minutes d’inactivité maximum, la présence d’un antivirus à jour, d’un pare-feu et l’application des correctifs de sécurité, des sauvegardes régulières (au minimum hebdomadaires, avec conservation de sauvegardes mensuelles sur 12 mois glissants dans un lieu distinct du cabinet), le chiffrement des données, la limitation des connexions d’appareils non professionnels au réseau, et l’authentification forte via la Carte de professionnel de santé (CPS) ou un dispositif équivalent. La CPS est strictement personnelle et ne doit pas être partagée ; pour le personnel (par exemple secrétaire médicale), une authentification forte dédiée (mot de passe à usage unique, Carte de personnel d’établissement) doit être mise en place.

12. En cas de violation de données (destruction, perte, altération, divulgation non autorisée, accès non autorisé), le médecin doit analyser l’étendue de l’incident (origine, personnes ayant eu accès, nature des données, mesures préventives ou correctrices possibles), puis, s’il existe un risque pour les droits et libertés des personnes, notifier la CNIL (art. 33 RGPD) via le formulaire dédié. La notification doit décrire la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les coordonnées du contact, les conséquences probables et les mesures prises ou envisagées. Si le risque est élevé, le médecin doit également informer individuellement les personnes concernées (sauf si les données étaient chiffrées ou si des mesures ultérieures suppriment le risque), en précisant les coordonnées du contact, les conséquences probables et les mesures prises (art. 34 RGPD). Chaque incident doit être inscrit dans un registre ou un tableau récapitulatif, ou dans le registre des activités de traitement. Le médecin doit aussi prévenir son assurance de responsabilité professionnelle. Dans certains établissements (établissements de santé, hôpitaux des armées, laboratoires de biologie médicale, centres de radiothérapie), une notification à l’Agence régionale de santé est également requise.

13. Depuis le 25 mai 2018, les formalités préalables auprès de la CNIL (comme l’engagement de conformité à la norme simplifiée 50 pour la gestion des cabinets médicaux) ne sont plus requises. En contrepartie, le médecin doit tenir un registre des activités de traitement recensant tous les traitements mis en œuvre : dossiers patients, messagerie électronique sécurisée, télémédecine, prise de rendez-vous, recherches, etc. Ce registre doit mentionner les coordonnées du responsable, les finalités, les catégories de personnes concernées, les destinataires, les éventuels transferts, les durées de conservation et les mesures de sécurité. Un modèle pré-rempli est proposé en annexe n°2 du guide, à adapter à la situation du cabinet. Ce registre est un outil central de documentation de la conformité.

14. La désignation d’un délégué à la protection des données (DPO) n’est pas obligatoire pour le médecin exerçant à titre individuel. Toutefois, si l’activité implique un traitement de données de santé à grande échelle (par exemple exercice au sein d’un réseau de professionnels, maison de santé, centre de santé, dossiers partagés entre plusieurs professionnels), la désignation d’un DPO devient nécessaire, soit en interne, soit via un DPO externe (consultant, cabinet d’avocats). Le DPO est alors l’interlocuteur privilégié pour l’analyse de conformité, la gestion des risques, les relations avec la CNIL et l’accompagnement des professionnels.

15. En cas de non-respect des obligations, le médecin s’expose à des sanctions administratives de la CNIL et à des sanctions pénales. Les amendes administratives peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel, tandis que les peines pénales maximales sont, pour une personne physique, de 5 ans d’emprisonnement et 300 000 euros d’amende, et pour une personne morale, 1,5 million d’euros. La CNIL a indiqué que, dans les premiers mois d’application du RGPD, les contrôles seraient à visée pédagogique, mais il reste impératif de pouvoir démontrer une démarche de mise en conformité (registre, procédures, contrats, traçabilité des violations, engagements de confidentialité).

Prise de rendez-vous : responsabilités, minimisation et sous-traitance

16. La prise de rendez-vous, qu’elle soit assurée directement par le cabinet, par une plateforme en ligne ou par un prestataire de permanence téléphonique, implique la collecte et l’utilisation de données personnelles (identité, coordonnées, parfois motifs de consultation). Ces informations peuvent révéler l’état de santé (par exemple consultation régulière d’un cardiologue). Le médecin demeure responsable de traitement des données d’identification et des données de santé collectées lors de la prise de rendez-vous, même lorsque l’opération est externalisée. Il doit donc appliquer les mêmes principes que pour les dossiers patients : enregistrement des données strictement nécessaires, utilisation légitime, inscription dans le registre des activités de traitement, limitation des accès, sécurisation du planning, notification des violations à la CNIL si nécessaire.

17. La minimisation s’applique également à la prise de rendez-vous. Si la consultation ne nécessite pas de préparation préalable ou la réservation d’outils spécifiques, les motifs de consultation n’ont pas à être renseignés. Les données relatives aux rendez-vous peuvent être supprimées lorsqu’elles ne sont plus nécessaires, en tenant compte du fait que les dates d’examens et de consultations sont déjà consignées dans les dossiers patients. La durée de conservation doit être définie en fonction de l’activité du cabinet. Par ailleurs, le prestataire de prise de rendez-vous est également responsable de traitement pour les données relatives aux comptes utilisateurs (patients et professionnels) qu’il gère pour son propre compte.

18. Le prestataire tiers (plateforme ou permanence téléphonique) agit comme sous-traitant pour les données traitées pour le compte du médecin. Il doit mettre en place des mesures techniques et organisationnelles pour assurer la sécurité et la confidentialité : accès sécurisés, politique d’habilitation (accès réservés aux personnes autorisées), chiffrement des données, protection contre les attaques informatiques (antivirus, etc.). La relation doit être encadrée par un contrat de sous-traitance reprenant les exigences de l’article 28 RGPD : traitement sur instruction, engagements de confidentialité, mesures de sécurité, encadrement des sous-traitants ultérieurs, coopération pour l’exercice des droits, suppression ou restitution des données en fin de contrat, participation aux audits. En cas d’incident (faille, piratage, perte), le prestataire doit informer le médecin dans les meilleurs délais afin que celui-ci puisse remplir ses obligations de notification. Si le prestataire héberge des données de santé issues de la prise de rendez-vous, il doit recourir à un hébergeur de données de santé agréé ou certifié (art. L.1111-8 CSP) et tenir son propre registre des activités de traitement.

Messagerie électronique : messagerie sécurisée de santé et chiffrement

19. L’utilisation de la messagerie électronique dans l’exercice professionnel implique des échanges de données de santé avec d’autres professionnels ou avec les patients. En tant que responsable de traitement et personne soumise au secret professionnel, le médecin doit assurer la protection des données échangées. Le système de messagerie sécurisée de santé est un espace dématérialisé permettant l’échange de données de santé en toute confiance entre professionnels des secteurs sanitaire, social et médico-social, avec un annuaire certifié des professionnels et structures. Depuis l’entrée en application du RGPD, l’utilisation de cette messagerie ne nécessite plus de formalité auprès de la CNIL, mais le traitement correspondant doit être inscrit dans le registre des activités de traitement et, à terme, se conformer à un référentiel CNIL.

20. L’obligation de sécuriser les échanges impose, pour les données de santé, de recourir à une messagerie électronique sécurisée (art. L.1110-4-1 et L.1111-8 CSP), utilisable entre professionnels de santé. Pour les échanges avec des professionnels non médecins (ostéopathes, psychologues, etc.) ou avec les patients, l’envoi de données de santé via une messagerie standard n’est envisageable qu’en respectant des conditions strictes : chiffrement des pièces sensibles (en suivant les préconisations de la CNIL sur l’usage de fonctions cryptographiques), utilisation de protocoles sécurisés (SFTP, HTTPS dans leurs versions récentes) garantissant la confidentialité et l’authentification du serveur destinataire, et transmission du secret de déchiffrement (mot de passe, clé) par un canal distinct (téléphone, SMS). Les messageries ne chiffrant pas les données ou hébergeant celles-ci dans des pays ou chez des prestataires ne garantissant pas un niveau de protection conforme aux règles européennes doivent être proscrites. Les messageries instantanées ou « chat » ne peuvent être utilisées qu’avec une grande prudence et uniquement si elles offrent des garanties de sécurité suffisantes. À défaut, aucune information relative à un patient ou à un professionnel intervenant dans sa prise en charge ne doit y transiter.

Téléphones portables, tablettes et supports mobiles : accès distant et précautions

21. L’usage des téléphones portables et tablettes dans l’exercice professionnel est possible à condition de respecter des règles de sécurité strictes. Il est fortement déconseillé de stocker des informations médicales dans la mémoire interne de ces appareils afin de limiter les conséquences d’un vol ou d’une perte. Si, en pratique, des données sont néanmoins conservées, elles doivent l’être avec un mot de passe robuste (conforme aux recommandations de la CNIL), un verrouillage automatique après un court délai et un chiffrement des données sensibles. Le médecin doit éviter de prêter ses appareils et de les laisser sans surveillance. L’accès à distance aux dossiers patients via ces supports doit respecter les référentiels d’interopérabilité et de sécurité élaborés par l’ASIP Santé et approuvés par arrêté, avec une authentification par CPS ou dispositif équivalent. Lors des déplacements, il convient de vérifier que l’écran n’est pas visible de tiers. L’usage de supports mobiles tels que clés USB ou disques durs externes est fortement déconseillé ; si leur utilisation est inévitable, les données sensibles doivent être chiffrées.

22. Les téléphones et tablettes peuvent être utilisés comme moyens de communication avec les patients, les autres professionnels de santé ou le personnel, sous réserve de préserver la confidentialité des conversations (éviter qu’elles soient entendues par des tiers). Les communications orales, messageries instantanées ou « chat » via des applications non sécurisées reliées à internet sont à proscrire pour les informations relatives aux patients ou aux professionnels intervenant dans leur prise en charge. Seules des applications présentant des garanties suffisantes de protection des données peuvent être utilisées. La messagerie électronique sécurisée peut être consultée sur ces appareils si les règles de sécurité décrites (mot de passe, chiffrement, verrouillage, CPS) sont respectées.

Recherches : études internes, recherches multicentriques et analyse d’impact

23. Le médecin peut mener des études internes sur les données de ses patients ou participer à des recherches médicales en partenariat (recherches multicentriques, collaborations avec CHU, instituts de recherche, etc.). Lorsque les études sont réalisées par le médecin pour son usage exclusif, aucune autorisation CNIL n’est nécessaire, mais un avis favorable du Comité de Protection des Personnes (CPP) doit être obtenu si la recherche implique la personne humaine. Le médecin doit alors réaliser, si le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés, une analyse d’impact relative à la protection des données (PIA), en évaluant les usages des données, les risques et les mesures de protection nécessaires. Il doit également renseigner le registre des activités de traitement pour indiquer la nouvelle utilisation et informer les patients (par exemple via une mention ajoutée à l’affichage en salle d’attente). Les règles de sécurité restent celles applicables aux dossiers patients et les droits des personnes doivent être respectés.

24. Pour les recherches en partenariat avec un tiers ou nécessitant un recueil de données supplémentaires, un cadre spécifique s’applique (chapitre IX de la loi Informatique et Libertés). Le promoteur de la recherche (celui qui initie et porte le projet) est responsable de traitement et doit, si une méthodologie de référence existe, procéder à une déclaration de conformité à cette méthodologie ; à défaut, il doit obtenir une autorisation de la CNIL. Si la recherche implique la personne humaine, un avis favorable du CPP est requis. Si elle n’implique pas la personne humaine et relève d’une demande d’autorisation, un avis du CEREES est nécessaire, via l’INDS qui assure le guichet unique. Le promoteur doit également réaliser une analyse d’impact si le risque est élevé et renseigner son registre des activités de traitement. Les personnes concernées doivent être informées en amont de l’utilisation de leurs données, des finalités de la recherche et de leurs droits (accès, opposition). Une note d’information doit être fournie par le promoteur et remise aux patients.

Télémédecine : actes médicaux à distance et obligations partagées

25. La télémédecine est définie comme une forme de pratique médicale à distance utilisant les technologies de l’information et de la communication (art. L.6316-1 CSP). Les actes de téléconsultation et de téléexpertise sont des actes médicaux à part entière. Les obligations déontologiques habituelles du médecin s’appliquent, ainsi que les obligations relatives aux données personnelles des patients et des professionnels intervenant dans leur prise en charge. Les règles d’échange et de partage d’informations entre professionnels restent applicables, avec les mêmes exigences de confidentialité, de sécurité et de limitation des accès.

26. Lorsqu’il utilise une plateforme de télémédecine, le médecin doit s’assurer que le prestataire qui met cette plateforme à disposition, en tant que sous-traitant, respecte la réglementation. Le contrat de sous-traitance doit indiquer que le prestataire ne traite les données qu’sur instruction du médecin, fait signer des engagements de confidentialité à son personnel, met en œuvre des mesures de sécurité adaptées, n’a pas recours à d’autres sous-traitants sans autorisation, coopère pour l’exercice des droits des patients, supprime ou restitue les données à l’issue de la prestation et accepte les audits. Le médecin doit également vérifier que le patient a été informé de l’utilisation de la télémédecine, des modalités de traitement de ses données et de ses droits. La télémédecine ne modifie pas la nature des obligations en matière de protection des données, mais renforce la nécessité de sécuriser les flux et de structurer les relations contractuelles avec les prestataires.

Pour en savoir plus

27. Pour approfondir les aspects pratiques du RGPD pour les professionnels de santé libéraux, les référentiels de sécurité, la gestion des droits des patients, l’analyse d’impact et les règles d’échange d’informations, plusieurs ressources officielles sont disponibles :

28. RGPD et professionnels de santé libéraux : ce que vous devez savoir

29. Fiches thématiques CNIL dédiées aux problématiques de santé

30. Les droits pour maîtriser vos données personnelles

31. Fiche pratique CNOM « Échange et partage d’informations »

32. Guide de la sécurité des données personnelles (CNIL)

33. Mémento de sécurité informatique pour les professionnels de santé en exercice libéral (ASIP Santé)

34. Informations sur la Carte de professionnel de santé (CPS)

35. Notification d’une violation de données personnelles à la CNIL

36. Analyse d’impact relative à la protection des données (PIA) : fiches et guides CNIL

37. Logiciel CNIL pour réaliser une analyse d’impact (PIA)

Repères utiles

Les références essentielles de ce texte, en un coup d’œil.

Ce contenu constitue une information documentaire  juridique et ne remplace pas une consultation personnalisée. Pour une analyse appliquée à votre dossier, contactez un avocat partenaire LegalPlanet.