RGPD cabinet médical : le guide complet de conformité pour les médecins en 2026
Le Règlement Général sur la Protection des Données ne fait pas d'exception pour les professionnels de santé. Bien au contraire. En manipulant quotidiennement des données de santé — la catégorie la plus sensible définie par le RGPD — les cabinets médicaux portent une responsabilité particulièrement lourde. En 2026, la CNIL intensifie ses contrôles dans le secteur de la santé, et les sanctions tombent désormais aussi sur les médecins libéraux. Ce guide pratique vous accompagne pas à pas vers une conformité solide et durable.
Pourquoi le RGPD impose des obligations renforcées aux cabinets médicaux
Les données de santé bénéficient d'un statut juridique à part dans le RGPD. L'article 9 du règlement pose le principe de l'interdiction du traitement des données de santé, avec des exceptions strictement encadrées. Pour les cabinets médicaux, c'est l'article 9, paragraphe 2, point h) qui fonde la licéité du traitement : les données sont nécessaires aux fins de la médecine préventive, des diagnostics médicaux, de la prise en charge sanitaire ou de la gestion des systèmes de santé.
Cette exception n'est pas un chèque en blanc. Elle s'accompagne d'une obligation de secret professionnel renforcée et d'exigences de sécurité bien supérieures à celles qui pèsent sur un commerce ou un prestataire de services classique. Un cabinet médical traite des antécédents médicaux, des résultats d'analyses, des imageries, des prescriptions et des informations sur la vie privée de ses patients. La fuite ou la consultation non autorisée de ces données peut avoir des conséquences dramatiques, tant pour le patient que pour le praticien.
Quelles sont les bases légales du traitement des données dans un cabinet médical ?
Le traitement des données patients dans le cadre du soin ne repose pas sur le consentement du patient — contrairement à une idée reçue tenace. La base légale principale est l'obligation légale à laquelle le professionnel de santé est soumis, combinée à l'exception de l'article 9(2)(h) pour les données de santé. Le Code de la santé publique, notamment l'article R. 4127-45, impose au médecin de tenir un dossier médical pour chaque patient.
Le consentement au sens du RGPD (article 6, paragraphe 1, point a)) n'intervient que pour les traitements qui ne relèvent pas directement du soin : l'envoi d'une newsletter santé, la communication commerciale autour de nouveaux services du cabinet, ou la participation à un programme de recherche clinique. Cette distinction est fondamentale, car confondre les bases légales expose le cabinet à un risque de non-conformité structurelle.
Le registre des traitements : la pièce maîtresse de votre conformité
Comment établir le registre des traitements de son cabinet médical ?
L'article 30 du RGPD impose à tout responsable de traitement de tenir un registre de ses activités de traitement. Pour un cabinet médical, ce registre doit documenter chaque catégorie de traitement effectuée au quotidien. La gestion des dossiers médicaux des patients constitue le traitement central, mais il ne faut pas oublier la gestion de la facturation et de la télétransmission, la prise de rendez-vous en ligne, la vidéosurveillance éventuelle du cabinet, la gestion du personnel si le cabinet emploie des secrétaires ou des infirmiers, et les échanges avec les confrères et les laboratoires.
Pour chaque traitement, le registre doit indiquer la finalité poursuivie, les catégories de données traitées, les destinataires des données, les durées de conservation prévues et les mesures de sécurité mises en œuvre. Le guide conjoint CNIL-CNOM (Conseil National de l'Ordre des Médecins) fournit un modèle adapté aux cabinets médicaux qui facilite considérablement cette tâche. Ce registre n'est pas un document figé : il doit être mis à jour à chaque fois qu'un nouveau traitement est mis en place ou qu'un traitement existant est modifié, par exemple lors de l'adoption d'un nouveau logiciel de gestion de cabinet ou d'un outil de téléconsultation.
Le délégué à la protection des données : une obligation souvent méconnue
Un médecin libéral doit-il nommer un DPO ?
L'article 37 du RGPD impose la désignation d'un délégué à la protection des données (DPO) lorsque les activités de base du responsable de traitement consistent en un traitement à grande échelle de données de santé. La CNIL considère qu'un cabinet médical qui traite régulièrement et systématiquement des données de patients entre dans cette catégorie, même pour un praticien exerçant seul.
En pratique, la plupart des cabinets n'ont pas les moyens d'embaucher un DPO à temps plein. Plusieurs solutions existent. Le DPO peut être mutualisé entre plusieurs praticiens regroupés dans un même cabinet ou une même maison de santé pluriprofessionnelle. Les Unions Régionales des Professionnels de Santé (URPS) proposent parfois un service de DPO mutualisé. Des prestataires spécialisés offrent également des services de DPO externalisé à des tarifs adaptés aux professions libérales, généralement entre 100 et 300 euros par mois.
Le DPO désigné doit être déclaré auprès de la CNIL, et ses coordonnées doivent figurer dans les informations communiquées aux patients. Son rôle consiste à conseiller le praticien sur ses obligations, à contrôler la conformité des traitements et à servir de point de contact avec la CNIL en cas de contrôle.
Hébergement des données de santé : l'exigence HDS
Qu'est-ce que la certification HDS et pourquoi est-elle obligatoire ?
L'article L. 1111-8 du Code de la santé publique impose que toute personne hébergeant des données de santé à caractère personnel pour le compte d'un tiers soit certifiée Hébergeur de Données de Santé (HDS). Cette obligation ne concerne pas uniquement les grandes plateformes cloud. Elle s'applique à chaque prestataire externe qui stocke ou manipule les données de vos patients : l'éditeur de votre logiciel de gestion de cabinet en mode SaaS, le service de sauvegarde en ligne, la plateforme de téléconsultation, le service de prise de rendez-vous en ligne et même le prestataire qui assure la maintenance informatique de votre cabinet s'il a accès aux données patients.
Le référentiel de certification HDS a été révisé en version 2 (HDS v2), dont l'application est entrée en vigueur le 16 mai 2026. Cette nouvelle version renforce les exigences en matière de souveraineté des données. Le décret n° 2026-209 impose désormais que les données de santé soient hébergées au sein de l'Union européenne ou de l'Espace économique européen. La certification HDS seule ne garantit pas cette localisation géographique, ce qui signifie que les praticiens doivent vérifier auprès de leurs prestataires que le stockage effectif se fait bien sur le territoire européen.
Pour vérifier qu'un prestataire est certifié HDS, l'Agence du Numérique en Santé (ANS) tient à jour une liste des hébergeurs certifiés consultable sur le site esante.gouv.fr. Ce contrôle est indispensable avant de signer tout contrat avec un prestataire qui aura accès aux données de vos patients.
Durées de conservation : combien de temps garder les données patients ?
Quelle est la durée légale de conservation d'un dossier médical ?
Les durées de conservation des données médicales ne dépendent pas du RGPD seul. Elles sont principalement fixées par le Code de la santé publique et le Code de la sécurité sociale, et le RGPD impose simplement que ces durées soient respectées — ni plus courtes, ni plus longues que ce que la loi prévoit.
Le dossier médical d'un patient adulte doit être conservé pendant vingt ans à compter de la date de la dernière consultation ou du dernier séjour. Pour un patient mineur, cette durée est de vingt-huit ans, le point de départ étant le dernier contact, avec un minimum de conservation jusqu'aux vingt-huit ans du patient. Pour les dossiers liés à un acte transfusionnel, la durée est portée à trente ans.
Les documents de facturation et de remboursement sont soumis à une durée de conservation de dix ans, conformément aux obligations comptables et fiscales. Les données liées à la prospection ou à la communication non médicale du cabinet doivent être supprimées trois ans après le dernier contact actif du patient.
Le respect de ces durées implique de mettre en place un processus de purge régulière des données arrivées à échéance. Un outil de gestion de cabinet bien paramétré permet d'automatiser cette surveillance et d'alerter le praticien lorsque des dossiers doivent être archivés ou supprimés.
Sécurité informatique : les mesures indispensables
Quelles mesures de sécurité la CNIL exige-t-elle des cabinets médicaux ?
L'article 32 du RGPD impose la mise en œuvre de mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque. Pour les données de santé, le niveau d'exigence est particulièrement élevé. La Politique Générale de Sécurité des Systèmes d'Information de Santé (PGSSI-S), élaborée par l'ANS avec le soutien de l'ANSSI, constitue le référentiel à suivre.
Parmi les mesures incontournables, l'authentification à double facteur pour tout accès distant au système d'information du cabinet est désormais considérée comme une obligation légale dans le cadre de la PGSSI-S. Le chiffrement systématique des données stockées, que ce soit sur les disques durs du cabinet, les supports amovibles ou les sauvegardes externes, est également impératif. La CNIL a sanctionné des médecins libéraux qui stockaient des images médicales sur des disques durs non chiffrés connectés à des box internet mal configurées, exposant ainsi des milliers d'images de patients sur internet. Dans cette affaire, les ports de la box restaient ouverts en permanence tandis qu'un disque dur amovible non chiffré contenant les images était connecté en continu, rendant les noms, prénoms, dates de naissance et examens des patients lisibles par quiconque sur internet.
La gestion des mots de passe, la mise à jour régulière des logiciels, la segmentation du réseau entre usage professionnel et personnel, et la formation du personnel à la cybersécurité complètent le dispositif minimal attendu. L'envoi de résultats d'examens ou de comptes rendus par e-mail non sécurisé constitue également une violation du RGPD : les échanges de données de santé entre professionnels doivent transiter par des messageries sécurisées de santé conformes aux exigences de l'ANS, comme la MSSanté. Pour les cabinets qui souhaitent structurer leur démarche, l'ANSSI propose des guides de bonnes pratiques adaptés aux petites structures de santé, et l'Ordre des Médecins a publié un vade-mecum spécifique à la sécurité informatique en exercice libéral.
Violations de données : réagir vite et bien
Que faire en cas de violation de données dans un cabinet médical ?
L'article 33 du RGPD impose de notifier toute violation de données personnelles à la CNIL dans un délai de 72 heures à compter de sa découverte, lorsque cette violation est susceptible d'engendrer un risque pour les droits et libertés des personnes concernées. Compte tenu de la nature hautement sensible des données de santé, la quasi-totalité des violations dans un cabinet médical atteint ce seuil de risque.
Une violation de données ne se résume pas au piratage informatique. Un dossier patient envoyé par erreur au mauvais destinataire, un ordinateur portable volé contenant des données non chiffrées, un accès non autorisé au logiciel de gestion du cabinet par un ancien employé, ou encore la perte d'un support de sauvegarde constituent autant de violations à notifier. L'article 34 du RGPD impose en outre d'informer directement les patients concernés lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits.
La CNIL a rappelé, dans ses décisions de sanction contre deux médecins libéraux, que l'obligation de notification s'applique « en toute circonstance », y compris lorsque c'est la CNIL elle-même qui découvre et signale la violation au praticien. Ne pas notifier une violation dont on a connaissance constitue une infraction distincte au titre de l'article 33, qui s'ajoute au manquement initial de sécurité.
Les sanctions : un risque réel pour les praticiens libéraux
Quelles amendes CNIL risque un médecin non conforme au RGPD ?
Les sanctions de la CNIL ne visent plus uniquement les grands établissements hospitaliers ou les éditeurs de logiciels. En décembre 2020, deux médecins libéraux ont été sanctionnés d'amendes de 3 000 et 6 000 euros pour avoir exposé des milliers d'images médicales de patients sur internet, via des serveurs mal configurés et des disques durs non chiffrés. Ces praticiens avaient également manqué à leur obligation de notification de violation de données prévue par l'article 33 du RGPD. L'un d'eux avait configuré lui-même son système sans pouvoir prouver un recours à un professionnel de l'informatique.
En 2026, la CNIL a prononcé une amende de 500 000 euros (décision SAN-2026-009) contre un établissement hospitalier privé pour défaut d'authentification multifacteur sur les comptes d'accès aux dossiers patients — en violation de l'article 32 — et pour absence d'information aux patients concernés par une violation, en infraction à l'article 34. L'éditeur de logiciels Dedalus Biologie avait quant à lui écopé d'une amende de 1,5 million d'euros (décision SAN-2022-009) pour des contrats de sous-traitance ne comportant pas les clauses obligatoires de l'article 28, paragraphe 3, du RGPD.
Pour un médecin libéral, les amendes restent généralement modérées au regard du chiffre d'affaires, mais l'impact réputationnel est considérable. La publicité des décisions de la CNIL, même anonymisées, génère une couverture médiatique importante dans la presse professionnelle médicale. Au-delà de la sanction financière, un manquement grave à la protection des données peut entraîner des poursuites ordinales devant le Conseil de l'Ordre des Médecins et compromettre durablement la relation de confiance avec les patients.
Télémédecine et intelligence artificielle : les enjeux de 2026
Comment assurer la conformité RGPD en téléconsultation ?
L'essor de la téléconsultation, devenu un pilier de l'offre de soins en 2026, soulève des enjeux spécifiques en matière de protection des données. Les plateformes de télémédecine doivent être hébergées par des hébergeurs certifiés HDS et garantir le chiffrement de bout en bout des échanges audio et vidéo. Le praticien reste responsable du choix de la plateforme et doit s'assurer que celle-ci respecte l'ensemble des exigences du RGPD avant de l'utiliser.
La conservation des enregistrements de téléconsultation, lorsqu'elle est pratiquée, doit être encadrée par une information préalable du patient et un consentement explicite. L'utilisation d'outils d'intelligence artificielle pour l'aide au diagnostic en téléconsultation ajoute une couche supplémentaire de complexité, car ces outils impliquent souvent un transfert de données vers des serveurs tiers qui doivent eux aussi être certifiés HDS et héberger les données dans l'EEE conformément au décret n° 2026-209. Une analyse d'impact (AIPD) est requise avant toute mise en œuvre d'un outil d'IA traitant des données de santé.
Plan d'action : les étapes prioritaires pour se mettre en conformité
Par où commencer la mise en conformité RGPD de son cabinet ?
La mise en conformité d'un cabinet médical ne nécessite pas de tout révolutionner du jour au lendemain. Une approche progressive et méthodique permet d'atteindre un niveau de conformité satisfaisant en quelques semaines.
La première priorité est de vérifier que tous les prestataires ayant accès aux données patients disposent bien de la certification HDS — en s'assurant qu'il s'agit de la version v2 en vigueur depuis mai 2026 — et d'un contrat de sous-traitance conforme à l'article 28. Cette vérification peut se faire en une journée et élimine l'un des risques les plus importants. La deuxième étape consiste à établir le registre des traitements en s'appuyant sur le modèle CNIL-CNOM, ce qui demande quelques heures de travail méthodique. La troisième priorité est la sécurisation technique : activation du chiffrement des disques, mise en place de l'authentification à deux facteurs, vérification de la configuration réseau et des ports de la box internet.
L'affichage en salle d'attente d'une notice d'information conforme à l'article 13, la désignation d'un DPO et la mise en place d'une procédure de gestion des violations complètent le dispositif. Des outils de gestion de projet et de suivi de conformité peuvent faciliter considérablement la coordination de ces différentes actions, en particulier dans les cabinets de groupe ou les maisons de santé pluriprofessionnelles. ToolCraftKit propose des ressources de productivité adaptées aux professionnels qui souhaitent structurer ce type de démarche de manière efficace.
À lire aussi :