RGPD cabinet kiné : mise en conformité pas à pas

Tu traites des données de santé tous les jours : bilans, dossiers patients, ordonnances, coordonnées. Ces données sont parmi les plus sensibles au sens du RGPD. Depuis mai 2018, le cadre est clair et les sanctions sont réelles. Pourtant, la majorité des cabinets libéraux n’ont pas encore fait le minimum. On te guide étape par étape.

Ce que le RGPD impose concrètement à un cabinet de kiné

Le Règlement Général sur la Protection des Données (RGPD) s’applique à toute personne ou structure qui traite des données personnelles de manière systématique. En tant que kiné libéral, tu es un « responsable de traitement » au sens du règlement. Tu dois respecter six principes fondamentaux :

• Licéité : collecter les données pour une raison légitime et documentée
• Limitation de la finalité : ne pas utiliser les données pour autre chose que le soin
• Minimisation : ne collecter que ce qui est strictement nécessaire
• Exactitude : tenir les dossiers patients à jour
• Limitation de conservation : ne pas garder les données au-delà de la durée nécessaire
• Sécurité : protéger les données contre tout accès non autorisé

Étape 1 : recenser tous tes traitements de données

La première action concrète est de dresser un registre des activités de traitement. Ce document liste toutes les situations où tu collectes et utilises des données personnelles. Pour un cabinet de kiné, cela comprend typiquement :

Traitement	Données concernées	Base légale
Dossier patient	Identité, données de santé, antécédents	Soins de santé (art. 9.2.h RGPD)
Agenda et rendez-vous	Nom, téléphone, email	Intérêt légitime ou consentement
Facturation	Coordonnées, actes réalisés	Obligation légale
Newsletter patients	Email, prénom	Consentement explicite obligatoire
Surveillance vidéo du cabinet	Images des visiteurs	Intérêt légitime, déclaration obligatoire

Étape 2 : sécuriser tes outils numériques

Les failles les plus fréquentes dans les cabinets libéraux concernent la sécurité informatique. Le minimum attendu par la CNIL pour un cabinet de santé :

• Logiciel métier certifié Hébergement de Données de Santé (HDS), c’est l’exigence spécifique aux données de santé, au-delà du RGPD général
• Mot de passe fort et unique sur chaque poste de travail
• Pas de stockage de dossiers patients sur le bureau Windows ou dans Gmail
• Chiffrement du disque dur si tu travailles sur un ordinateur portable
• Sauvegarde régulière des données sur un support chiffré

La certification HDS : obligatoire pour les données de santé Tout hébergement de données de santé à caractère personnel doit être réalisé sur un système certifié HDS (Hébergeur de Données de Santé), conformément à l’article L.1111-8 du Code de la santé publique. C’est une obligation supplémentaire au RGPD, spécifique aux professionnels de santé. Dropbox, Google Drive ou OneDrive ne sont pas des solutions certifiées HDS.

Étape 3 : informer tes patients

Le RGPD impose d’informer les personnes dont tu traites les données. Pour un cabinet de kiné, cette information prend généralement la forme d’une affichette en salle d’attente et d’une mention dans le dossier patient ou le formulaire d’accueil. Ce document doit mentionner au minimum :

• L’identité du responsable de traitement (toi)
• La finalité du traitement (soins, facturation)
• La durée de conservation des données
• Les droits du patient : accès, rectification, suppression, opposition
• La possibilité de saisir la CNIL en cas de litige

Étape 4 : définir les durées de conservation

Les dossiers médicaux doivent être conservés 20 ans à compter de la dernière consultation, ou jusqu’aux 28 ans du patient s’il est mineur (article R.1112-7 du Code de la santé publique). Au-delà, les données doivent être détruites de manière sécurisée. Les données comptables suivent le délai de prescription fiscal de 6 à 10 ans.

Les sanctions en cas de non-conformité

La CNIL peut prononcer des sanctions administratives pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial pour les infractions les plus graves. Pour un cabinet libéral, les sanctions réelles sont bien sûr proportionnées, mais une violation de données de santé peut aussi engager ta responsabilité civile envers tes patients.

FAQ : RGPD cabinet kiné

Dois-je désigner un Délégué à la Protection des Données (DPO) ?

Non, pas obligatoirement pour un cabinet libéral individuel. La désignation d’un DPO est obligatoire pour les structures traitant des données de santé à grande échelle. Pour un cabinet individuel, tenir un registre de traitement à jour et respecter les principes de base suffit.

Que faire si je subis une violation de données (ordinateur volé, piratage) ?

Tu dois notifier la CNIL dans les 72 heures via le portail notifications.cnil.fr si la violation présente un risque pour les droits et libertés des personnes concernées. Si le risque est élevé, tu dois également en informer les patients concernés directement.

Ce qu’il faut retenir La mise en conformité RGPD d’un cabinet de kiné repose sur quatre actions : répertorier ses traitements, sécuriser ses outils (logiciel certifié HDS obligatoire), informer ses patients, et définir les durées de conservation. La CNIL publie des guides sectoriels pour les professions de santé libérales, consultables gratuitement sur cnil.fr.

Sources

• Règlement (UE) 2016/679 du Parlement européen – RGPD
• Article L.1111-8 du Code de la santé publique – Hébergement de données de santé
• Article R.1112-7 du Code de la santé publique – Durée de conservation des dossiers médicaux
• CNIL – Guide pratique RGPD pour les professions de santé, cnil.fr