Check-list RGPD pour
cabinets et cliniques

Oui, presque toujours, même si le registre n'est pas une démarche auprès d'une administration mais un document interne. Le RGPD en dispense les plus petites organisations, mais cette exception ne s'applique pas lorsque le traitement n'est pas occasionnel ou qu'il porte sur des catégories particulières de données. Une clinique traite par définition des données de santé, et un cabinet traite de façon habituelle, et non occasionnelle, les données de ses clients : tous deux sortent donc de l'exception liée à la taille. En pratique, le registre doit indiquer quelles données sont traitées, dans quel but, sur quelle base juridique, à qui elles sont communiquées le cas échéant et combien de temps elles sont conservées. Il n'a pas à être présenté à qui que ce soit, sauf si l'autorité de contrôle le demande lors d'une inspection, mais sans lui, impossible de démontrer que le reste de la conformité repose sur une base ordonnée.

Pour les cliniques, souvent oui. La réglementation espagnole l'impose aux établissements de santé légalement tenus de conserver des dossiers médicaux, avec une exception expresse pour le professionnel de santé exerçant à titre individuel, sans structure derrière lui. Pour les cabinets d'avocats, de gestion ou de conseil, ce n'est en général pas obligatoire au titre d'une liste fermée, mais cela peut l'être si le volume ou le type de traitement le justifie : un cabinet d'une seule personne n'est pas une structure de gestion avec des dizaines de clients et plusieurs salariés qui accèdent à leurs données. C'est précisément la question à poser au conseiller juridique, et non au prestataire informatique : nous pouvons vous dire si vos systèmes remplissent les conditions techniques pour que quelqu'un exerce cette fonction, mais savoir si elle est obligatoire dans votre cas précis, et qui doit l'assumer, relève d'une appréciation juridique qui dépend de l'organisation de l'activité.

Oui : le contrat de sous-traitance qu'exige l'article 28 du RGPD, en plus du contrat de service habituel. Si quelqu'un accède à vos systèmes, et donc aux données de patients ou de clients, il faut encadrer ce qu'il peut faire de ces données, dans quel but, quelle confidentialité est exigée de son personnel et ce qui se passe à la fin de la relation. Cela ne concerne pas seulement le prestataire informatique : c'est aussi valable pour l'hébergeur du site ou de la messagerie, pour le logiciel de gestion en ligne que vous utilisez au quotidien, pour le cabinet comptable s'il gère aussi d'autres données, et pour l'entreprise qui détruit les documents papier. Chacun d'eux, dès lors qu'il touche à des données personnelles, a besoin de ce contrat signé. Il est courant de trouver des cabinets dont toute la partie juridique est en ordre, sans un seul contrat de ce type signé avec celui qui a le plus d'accès technique à leurs systèmes.

La réglementation espagnole fixe un minimum de cinq ans à compter de la fin de chaque épisode de soins, et les communautés autonomes peuvent allonger ce délai : en Catalogne, les durées de conservation sont plus longues, il convient donc de les confirmer avec votre conseiller juridique avant de détruire le moindre dossier médical, sans se fier à un chiffre générique trouvé sur internet. Mais côté informatique, le vrai problème est rarement celui que l'on craint : presque personne n'efface trop ni ne détruit trop tôt. Le cas habituel est l'inverse : tout garder indéfiniment parce que le disque a de la place et que personne n'a jamais fixé de délai ni de procédure pour l'appliquer. C'est aussi un manquement, même si cela n'en a pas l'air : conserver des données de santé plus longtemps que nécessaire augmente inutilement la quantité d'informations sensibles à protéger, et qui peuvent être perdues si quelque chose tourne mal dans le système.

Pour prévenir que le rendez-vous est à cinq heures, avec modération et sans mentionner le motif de la consultation, beaucoup l'utilisent sans grand problème. Pour envoyer des comptes rendus, des analyses, des actes ou toute pièce du dossier, ce n'est pas un canal adapté : tout finit sur un téléphone personnel, est copié automatiquement dans un cloud que l'entreprise ne contrôle pas, et reste dans l'historique d'un appareil qu'on prête, qu'on change ou qu'on perd sans que personne ne l'ait effacé. Si un patient ou un client demande l'envoi de documents, ils doivent passer par un canal que l'entreprise contrôle et qui garde la trace de qui les a envoyés et quand : une messagerie professionnelle, le logiciel de gestion lui-même s'il dispose d'une messagerie, ou un lien de téléchargement à durée limitée. Le confort d'un téléphone personnel ne compense pas la perte de contrôle sur le devenir de ces informations sensibles.

La documenter systématiquement, quelle que soit sa gravité, et la notifier à l'AEPD, l'autorité espagnole de protection des données, dans les 72 heures s'il est probable qu'elle présente un risque pour les droits des personnes concernées. Un e-mail envoyé avec trente patients en copie visible est une violation, même si personne n'a rien fait de ces données ensuite ; un ordinateur portable perdu sans chiffrement aussi, même s'il est retrouvé le lendemain sans avoir été ouvert. Ce qui met en difficulté la plupart des cabinets et des cliniques, ce n'est pas tant la violation elle-même que de découvrir, en pleine panique, que personne ne savait qui décide de la notification, qui rédige l'avis et qui prévenir en premier. Avoir tout cela écrit à l'avance, même sur une seule page, fait la différence entre régler l'affaire en une journée et passer une semaine sans même savoir s'il faut appeler quelqu'un.

Non, et s'appuyer uniquement sur le consentement est une erreur fréquente qui, en plus, complique les choses. Les soins de santé ont leur propre base juridique dans le RGPD, et une bonne partie du traitement des données dans un cabinet repose sur l'obligation légale ou sur la relation contractuelle avec le client, pas sur un consentement à recueillir. Le consentement est nécessaire précisément pour ce qui sort de ces bases : envoyer des communications commerciales, publier une photographie, communiquer des données à un tiers qui n'intervient pas dans la prestation elle-même. Le demander pour tout, y compris pour les soins, n'ajoute aucune protection : cela dilue le vrai consentement parmi des signatures de routine que personne ne lit, et rend plus difficile de prouver que le consentement qui compte, quand il est nécessaire, a été donné de manière libre et éclairée.

Non. L'obligation d'information — l'affiche dans la salle d'attente, la mention dans le formulaire, le paragraphe en bas des e-mails — est le point le plus visible et aussi le plus facile à respecter, justement parce qu'il n'exige de rien changer au fonctionnement quotidien. Ce n'est qu'une vérification parmi d'autres. Ce que l'AEPD examine lorsqu'une vraie réclamation arrive, ce sont les accès — qui a pu voir une donnée précise —, la traçabilité de ces accès, l'existence des contrats avec les prestataires qui touchent aux systèmes, et la réalité des sauvegardes et la possibilité de les restaurer. Une affiche impeccable à l'entrée, avec le mot de passe du logiciel de gestion collé sur un post-it sur l'écran de l'accueil, ne protège rien : elle remplit la partie visible et échoue sur celle qui compte vraiment quand quelque chose tourne mal.