Sector guide

GDPR for Médecins: complete guide and free audit 2026

Les médecins traitent des données de santé qualifiées de sensibles par l'article 9 du RGPD, ce qui impose un régime de protection renforcé. À cela s'ajoute le secret médical (Art. R.4127-4 Code de la Santé Publique) et le cadre spécifique des données de santé (Art. L.1110-4 CSP, hébergement HDS certifié). La CNIL contrôle particulièrement les cabinets médicaux depuis l'affaire Dedalus (491 000 dossiers fuités en 2021). Le référentiel CNIL pour la gestion des cabinets médicaux (2020, mis à jour 2023) fixe les obligations : hébergement HDS pour les logiciels métier, signature de conventions avec sous-traitants (DMP, télémédecine), information patient renforcée, registre des traitements et des violations, DPO obligatoire dans la plupart des cas (traitement à grande échelle de données sensibles). Doctolib, Maiia et autres plateformes de prise de rendez-vous sont hébergeurs HDS et sous-traitants : convention obligatoire. La télémédecine via Zoom ou Teams non HDS est interdite — utiliser Maiia Visio, Doctolib Téléconsultation ou solutions HDS.

5 GDPR obligations specific to Médecins

These points are systematically checked during a DPA audit in your sector.

1

Héberger les données patients chez un hébergeur HDS certifié

Tout stockage de données de santé (DPI, agenda, comptes-rendus) doit se faire chez un hébergeur certifié HDS (Hébergeur de Données de Santé) selon l'arrêté du 11 juin 2018. Liste officielle ANS.

2

Désigner un DPO obligatoirement

Le traitement à grande échelle de données de santé (Art. 9) impose la désignation d'un DPO selon l'Art. 37 RGPD. Possibilité de DPO mutualisé via ordre des médecins ou groupement.

3

Signer une convention avec Doctolib, Maiia ou plateforme RDV

Convention de sous-traitance Art. 28 RGPD obligatoire avant utilisation. Vérifier la certification HDS, la localisation des serveurs (UE), les engagements de sécurité et la non-réutilisation commerciale des données.

4

Information patient renforcée et consentement éclairé

Affichage en salle d'attente + remise d'une note d'information lors du premier RDV. Mention : finalités, destinataires (Sécurité Sociale, mutuelle, médecin traitant), droits du patient, coordonnées DPO.

5

Notifier toute violation sous 72h et tenir un registre

Vol d'ordinateur, fuite par mail, ransomware : notification CNIL via téléservice + notification patient si risque élevé. Tenue d'un registre des violations (même non notifiables) obligatoire.

Real DPA fines in this sector

Documented cases. Official sources available on cnil.fr.

2022
1,5 M€
DEDALUS BIOLOGIE

Fuite de 491 000 dossiers de patients suite à une mauvaise configuration du serveur, manquement à la sécurité.

CNIL délibération SAN-2022-009
2023
1,5 M€
Hospices Civils de Lyon

Manquement à la sécurité des données patients, défaut de chiffrement.

CNIL délibération SAN-2023-016
2023
Mise en demeure publique
Cabinet médical (mise en demeure)

Utilisation de Zoom standard pour la téléconsultation, défaut d'hébergeur HDS.

CNIL MED-2023-014

How to check your GDPR compliance as Médecins

RGPDScan automatically audits your website against 30+ DPA checkpoints. Detailed report in 60 seconds, with sector-specific recommendations.

  • Cookies and trackers detection
  • AI dark pattern analysis
  • Non-EU data transfers detected
  • Quantified fine risk

Frequently asked questions

Doctolib est-il conforme RGPD pour mon cabinet ?
Oui, Doctolib est hébergeur HDS certifié et conforme RGPD. Convention de sous-traitance Art. 28 à signer dans votre espace pro. Doctolib ne réutilise pas les données pour publicité.
Puis-je utiliser Zoom ou Teams pour la téléconsultation ?
Non. Zoom standard et Teams standard ne sont pas certifiés HDS. Utiliser Doctolib Téléconsultation, Maiia Visio, Mediveo ou solution HDS dédiée.
Le DPO est-il vraiment obligatoire pour un médecin libéral seul ?
Oui dans la plupart des cas (traitement à grande échelle de données de santé). DPO mutualisé via URPS ou ordre départemental : 100-300 €/mois. Externalisé : 300-700 €/mois.
Combien de temps conserver le dossier médical d'un patient ?
20 ans après la dernière consultation pour le dossier médical (Art. R.1112-7 CSP). 10 ans après le décès. Archivage chez hébergeur HDS au-delà de la consultation active.
Mon secrétariat externalisé doit-il signer un DPA ?
Oui, contrat de sous-traitance Art. 28 RGPD + clause de confidentialité renforcée + engagement HDS si accès au DPI. Vérifier l'hébergement de leurs outils.
Que faire si je suis victime d'un ransomware ?
Ne pas payer. Notifier ANSSI + CNIL sous 72h + porter plainte. Notifier les patients si données compromises (risque élevé). Restaurer depuis sauvegardes chiffrées hors ligne.
Le RGPD s'applique-t-il aux ordonnances envoyées par mail ?
Oui. Mail médecin-patient avec ordonnance = donnée de santé. Chiffrer (MailHealth, MSSanté, ApiCrypt) ou utiliser portail patient sécurisé. Interdiction Gmail/Outlook standard.
Puis-je utiliser ChatGPT pour rédiger mes comptes-rendus ?
Non avec données identifiantes patient. Possible avec données strictement anonymisées (sans nom, date, lieu). Préférer outils médicaux IA HDS (Nabla Copilot, certaines solutions Cegedim).

Audit your site in 60 seconds

Free GDPR scan. No credit card.