Le nom d'un patient, sa date de naissance, son motif de consultation, le bilan que tu notes après la séance : tout cela forme un dossier de santé. Et un dossier de santé est, au sens du RGPD, une donnée sensible. Depuis 2018, cela vaut pour un hôpital comme pour un cabinet d'ostéopathie tenu par une seule personne.

La bonne nouvelle, c'est que la conformité d'un cabinet individuel tient en quelques règles simples. La mauvaise, c'est que la plupart des articles sur le sujet les déforment. Trois idées reçues circulent partout, et chacune conduit à faire exactement l'inverse de ce que demande la réglementation.

On les démonte une par une, puis on déroule ce qui reste vraiment à faire.

Pourquoi tu es concerné, même seul dans ton cabinet

Dès que tu enregistres des informations sur une personne identifiable, tu traites des données personnelles. Quand ces informations touchent à la santé, elles relèvent de l'article 9 du RGPD, celui des données dites sensibles, dont le traitement est interdit par principe et autorisé par exception.

Dans ce cadre, tu es le responsable de traitement : c'est toi qui décides pourquoi et comment les données sont collectées. Ton logiciel de gestion, lui, est un sous-traitant. Il agit pour ton compte, il a des obligations propres, mais il ne te décharge de rien. Un éditeur sérieux te fournit d'ailleurs un contrat de sous-traitance, prévu par l'article 28 du RGPD, qui décrit ce qu'il fait de tes données et ce qu'il s'interdit d'en faire.

Les données concernées dans un cabinet d'ostéopathie :

Le plafond des sanctions est connu : 20 millions d'euros ou 4 % du chiffre d'affaires mondial. Pour un cabinet libéral, le risque réel est ailleurs : une mise en demeure publique, ou un patient qui découvre que son dossier se promenait dans un tableur partagé.

Idée reçue n°1 : « il me faut le consentement signé du patient »

C'est l'erreur la plus répandue, et elle figure en tête de la plupart des guides. Elle est fausse.

Le dossier patient ne repose pas sur le consentement. Il repose sur l'article 9, paragraphe 2, point h du RGPD : le traitement est autorisé parce qu'il est nécessaire aux soins et à la prise en charge. Tu n'as pas à demander la permission de tenir le dossier d'une personne que tu soignes, pas plus qu'un médecin ou un kiné.

Le consentement serait même un mauvais fondement. Un consentement se retire à tout moment : si ton dossier reposait dessus, un patient qui le retire t'obligerait à effacer un dossier que tu es par ailleurs tenu de conserver. Les deux obligations se contrediraient.

Ce que le RGPD exige, c'est autre chose : l'information du patient, prévue par l'article 13. Il doit savoir qui traite ses données, pourquoi, combien de temps, et quels sont ses droits. En pratique, une note d'information affichée dans la salle d'attente et reprise sur ton site suffit.

Ce que doit contenir ta note d'information

Le consentement, lui, reste nécessaire pour ce qui sort du soin : une newsletter, une offre commerciale, la publication d'une photo ou d'un témoignage sur tes réseaux. Là, oui, il te faut un accord explicite, et tu dois pouvoir le prouver.

Idée reçue n°2 : « les rappels de rendez-vous exigent un consentement »

Non plus. Rappeler à un patient le rendez-vous qu'il a lui-même pris relève de l'exécution du contrat de soins. Tu n'as pas à recueillir d'accord particulier pour lui envoyer un SMS la veille. Il doit simplement pouvoir te dire qu'il n'en veut pas, et tu dois en tenir compte.

La frontière se situe entre ce qui sert la prestation et ce qui sert ta prospection. Un rappel de rendez-vous sert la prestation. Une demande d'avis après la consultation reste liée à la prestation, à condition de rester ponctuelle et de laisser au patient un moyen simple de refuser. Une campagne de promotion, elle, relève de la prospection : consentement préalable, sans exception.

Idée reçue n°3 : « au bout de 5 ans, on supprime »

C'est la plus dangereuse des trois, parce qu'elle pousse à détruire des dossiers que tu dois conserver.

La CNIL a publié en 2020 un référentiel consacré à la gestion des cabinets médicaux et paramédicaux, qui vise expressément les ostéopathes. Sa règle pour le dossier patient est alignée sur celle du Code de la santé publique : 20 ans à compter de la dernière consultation. Pour un patient mineur, le dossier se conserve au moins jusqu'à son 28e anniversaire. En cas de décès, 10 ans après.

Pourquoi si long ? Parce que le dossier est aussi ta protection. La responsabilité d'un praticien peut être recherchée pendant dix ans à compter de la consolidation d'un dommage, et un dommage peut se consolider longtemps après la séance. Un dossier détruit à cinq ans, c'est un praticien sans défense.

Durées de conservation à retenir

Conséquence sur les droits du patient : le droit à l'effacement existe, mais il ne joue pas contre une obligation légale de conservation. Un patient peut te demander de corriger une erreur ou d'obtenir une copie de son dossier ; il ne peut pas exiger que tu détruises un dossier que la loi t'impose de garder. Tu dois lui répondre, en expliquant pourquoi, dans le délai d'un mois.

Ce qui reste vraiment à faire

Une fois les trois idées reçues écartées, les obligations réelles tiennent sur une page.

Tenir un registre des traitements. L'article 30 du RGPD l'impose. La dispense prévue pour les structures de moins de 250 salariés ne s'applique pas dès lors que tu traites des données de santé de façon régulière, ce qui est ton cas. Pour un cabinet, c'est un document de deux ou trois pages : gestion des dossiers, agenda et rappels, facturation, site internet. La CNIL fournit un modèle.

Sécuriser. L'article 32 demande des mesures proportionnées au risque. Pour un cabinet : un mot de passe propre à chaque outil, une double authentification quand elle existe, un écran qu'un patient ne peut pas lire depuis la table, des dossiers papier sous clé, des sauvegardes régulières et chiffrées. Le tableur Excel ou le fichier Word sur le bureau de l'ordinateur ne remplit aucune de ces conditions.

Encadrer tes sous-traitants. Ton logiciel de gestion, ton service de SMS, ton hébergeur de site : chacun doit être lié par un contrat conforme à l'article 28. Si un fournisseur n'est pas capable de te le montrer, c'est un signal.

Savoir réagir à une fuite. Un ordinateur volé, une pièce jointe envoyée au mauvais patient, un compte piraté : tu as 72 heures pour notifier la CNIL, et tu dois prévenir les patients concernés si le risque pour eux est élevé. Un dossier chiffré sur un ordinateur volé change complètement l'analyse : c'est à cela que sert le chiffrement.

Répondre aux demandes. Accès, rectification, copie du dossier : un mois pour répondre, gratuitement. Prévois dès maintenant comment tu remettras une copie complète et lisible, plutôt que de le découvrir le jour de la demande.

L'hébergement : le critère que les guides oublient

Beaucoup d'articles résument la question du logiciel à « hébergé en Europe ». C'est insuffisant. En France, les données de santé conservées par un prestataire pour le compte d'un professionnel doivent l'être chez un Hébergeur de Données de Santé certifié, dit HDS, en application de l'article L.1111-8 du Code de la santé publique. La certification impose des exigences de sécurité, de traçabilité et d'audit qu'un hébergement généraliste n'offre pas.

Autrement dit : un dossier patient sur Google Drive, Dropbox ou un tableur en ligne n'est pas conforme, même si les serveurs sont à Paris. C'est le point que nous détaillons dans notre guide du logiciel de gestion pour ostéopathe, et c'est la première question à poser à un éditeur avant même de regarder ses fonctionnalités.

Ce que ClicPratic prend en charge, et ce qui reste à toi

Soyons précis, parce que le sujet s'y prête mal aux promesses vagues.

ClicPratic héberge tes dossiers patients sur des serveurs certifiés HDS, chiffrés, en France. Le contrat de sous-traitance de l'article 28 figure dans nos conditions de traitement des données. Tu peux exporter l'intégralité de tes données en un clic, dans une archive lisible, ce qui règle à la fois le droit d'accès de tes patients et ta propre liberté de partir. Les rappels de rendez-vous partent par SMS, et le patient peut demander à ne plus en recevoir.

Ce que le logiciel ne fait pas à ta place : rédiger ta note d'information, tenir ton registre, ranger tes dossiers papier, choisir un bon mot de passe. Ce sont des obligations du responsable de traitement, et le responsable, c'est toi.

Le sujet des avis Google illustre bien cette répartition. Axel, ostéopathe installé en Vendée depuis 2023, a obtenu 356 avis Google en 17 mois avec une demande envoyée par SMS après la consultation. L'outil envoie le message ; le cadre, lui, tient à la façon de le faire : une seule demande, liée à la séance qui vient d'avoir lieu, sans relance.

Check-list RGPD du cabinet d'ostéopathie

À cocher avant la fin de l'année

En résumé

Le RGPD ne te demande pas de faire signer un formulaire à chaque patient, ni de détruire ses dossiers au bout de cinq ans. Il te demande d'informer, de sécuriser, de conserver le temps qu'il faut, et de savoir répondre. Le reste tient dans le choix de l'endroit où vivent tes données.

Un patient qui te confie son corps te confie aussi son histoire. La traiter avec le même soin n'est pas une contrainte administrative : c'est la même pratique.

Cet article donne des repères généraux et ne constitue pas un conseil juridique. Pour une situation particulière, rapproche-toi de la CNIL ou d'un professionnel du droit.

À lire aussi : Choisir un logiciel de gestion pour ostéopathe et Obtenir des avis Google quand on est ostéopathe.