Guide sectoriel

RGPD pour professionnels de santé : guide complet et audit gratuit 2026

Les médecins traitent des données de santé qualifiées de sensibles par l'article 9 du RGPD, ce qui impose un régime de protection renforcé. À cela s'ajoute le secret médical (Art. R.4127-4 Code de la Santé Publique) et le cadre spécifique des données de santé (Art. L.1110-4 CSP, hébergement HDS certifié). La CNIL contrôle particulièrement les cabinets médicaux depuis l'affaire Dedalus (491 000 dossiers fuités en 2021). Le référentiel CNIL pour la gestion des cabinets médicaux (2020, mis à jour 2023) fixe les obligations : hébergement HDS pour les logiciels métier, signature de conventions avec sous-traitants (DMP, télémédecine), information patient renforcée, registre des traitements et des violations, DPO obligatoire dans la plupart des cas (traitement à grande échelle de données sensibles). Doctolib, Maiia et autres plateformes de prise de rendez-vous sont hébergeurs HDS et sous-traitants : convention obligatoire. La télémédecine via Zoom ou Teams non HDS est interdite — utiliser Maiia Visio, Doctolib Téléconsultation ou solutions HDS.

5 obligations RGPD spécifiques aux professionnels de santé

Ces points sont systématiquement vérifiés lors d'un contrôle CNIL dans votre secteur.

1

Héberger les données patients chez un hébergeur HDS certifié

Tout stockage de données de santé (DPI, agenda, comptes-rendus) doit se faire chez un hébergeur certifié HDS (Hébergeur de Données de Santé) selon l'arrêté du 11 juin 2018. Liste officielle ANS.

2

Désigner un DPO obligatoirement

Le traitement à grande échelle de données de santé (Art. 9) impose la désignation d'un DPO selon l'Art. 37 RGPD. Possibilité de DPO mutualisé via ordre des médecins ou groupement.

3

Signer une convention avec Doctolib, Maiia ou plateforme RDV

Convention de sous-traitance Art. 28 RGPD obligatoire avant utilisation. Vérifier la certification HDS, la localisation des serveurs (UE), les engagements de sécurité et la non-réutilisation commerciale des données.

4

Information patient renforcée et consentement éclairé

Affichage en salle d'attente + remise d'une note d'information lors du premier RDV. Mention : finalités, destinataires (Sécurité Sociale, mutuelle, médecin traitant), droits du patient, coordonnées DPO.

5

Notifier toute violation sous 72h et tenir un registre

Vol d'ordinateur, fuite par mail, ransomware : notification CNIL via téléservice + notification patient si risque élevé. Tenue d'un registre des violations (même non notifiables) obligatoire.

Amendes CNIL réelles dans le secteur

Cas documentés. Sources officielles disponibles sur cnil.fr.

2022
1,5 M€
DEDALUS BIOLOGIE

Fuite de 491 000 dossiers de patients suite à une mauvaise configuration du serveur, manquement à la sécurité.

CNIL délibération SAN-2022-009
2023
1,5 M€
Hospices Civils de Lyon

Manquement à la sécurité des données patients, défaut de chiffrement.

CNIL délibération SAN-2023-016
2023
Mise en demeure publique
Cabinet médical (mise en demeure)

Utilisation de Zoom standard pour la téléconsultation, défaut d'hébergeur HDS.

CNIL MED-2023-014

Comment vérifier votre conformité RGPD en tant que médecins

RGPDScan audite automatiquement votre site contre les 30+ points de contrôle CNIL. Rapport détaillé en 60 secondes, avec recommandations spécifiques à votre secteur.

  • Détection cookies et trackers
  • Analyse dark patterns IA
  • Transferts hors UE détectés
  • Risques d'amende chiffrés

Questions fréquentes

Doctolib est-il conforme RGPD pour mon cabinet ?
Oui, Doctolib est hébergeur HDS certifié et conforme RGPD. Convention de sous-traitance Art. 28 à signer dans votre espace pro. Doctolib ne réutilise pas les données pour publicité.
Puis-je utiliser Zoom ou Teams pour la téléconsultation ?
Non. Zoom standard et Teams standard ne sont pas certifiés HDS. Utiliser Doctolib Téléconsultation, Maiia Visio, Mediveo ou solution HDS dédiée.
Le DPO est-il vraiment obligatoire pour un médecin libéral seul ?
Oui dans la plupart des cas (traitement à grande échelle de données de santé). DPO mutualisé via URPS ou ordre départemental : 100-300 €/mois. Externalisé : 300-700 €/mois.
Combien de temps conserver le dossier médical d'un patient ?
20 ans après la dernière consultation pour le dossier médical (Art. R.1112-7 CSP). 10 ans après le décès. Archivage chez hébergeur HDS au-delà de la consultation active.
Mon secrétariat externalisé doit-il signer un DPA ?
Oui, contrat de sous-traitance Art. 28 RGPD + clause de confidentialité renforcée + engagement HDS si accès au DPI. Vérifier l'hébergement de leurs outils.
Que faire si je suis victime d'un ransomware ?
Ne pas payer. Notifier ANSSI + CNIL sous 72h + porter plainte. Notifier les patients si données compromises (risque élevé). Restaurer depuis sauvegardes chiffrées hors ligne.
Le RGPD s'applique-t-il aux ordonnances envoyées par mail ?
Oui. Mail médecin-patient avec ordonnance = donnée de santé. Chiffrer (MailHealth, MSSanté, ApiCrypt) ou utiliser portail patient sécurisé. Interdiction Gmail/Outlook standard.
Puis-je utiliser ChatGPT pour rédiger mes comptes-rendus ?
Non avec données identifiantes patient. Possible avec données strictement anonymisées (sans nom, date, lieu). Préférer outils médicaux IA HDS (Nabla Copilot, certaines solutions Cegedim).

Auditez votre site en 60 secondes

Scan RGPD gratuit. Aucune carte bancaire.