RGPD pour un cabinet médical ou paramédical : ce que dit la CNIL
Dossiers papier et informatiques, information des patients, registre, sécurité, hébergement. Mise à jour le 30 octobre 2026.
En bref. Un professionnel de santé libéral n'a plus de déclaration à faire à la CNIL, mais il doit tenir un registre des traitements, informer ses patients, limiter l'accès aux dossiers (papier compris), les sécuriser et ne pas les garder indéfiniment. Source : cnil.fr, consulté le 30/10/2026.
Le cadre
Des données de santé, donc un cadre strict
La CNIL rappelle que le traitement des données de santé est strictement encadré et que ces règles s'appliquent aussi aux professionnels de santé libéraux. Elle publie une fiche de questions fréquentes pour eux (page du 1er juin 2018, consultée le 30/10/2026), ainsi qu'un guide pratique réalisé avec le Conseil national de l'Ordre des médecins et un référentiel pour les cabinets médicaux et paramédicaux.
Cette page reprend les réponses de la fiche. Elle complète la page Registre RGPD et, pour les obligations de sécurité au travail du même type de cabinet, la page DUERP d'un cabinet médical ou dentaire.
Les points de contrôle
Huit points à vérifier dans votre cabinet
| Sujet | Règle | Source |
|---|---|---|
| Dossiers papier et logiciel | Le RGPD couvre les deux. Le logiciel de gestion du cabinet comme le dossier papier sont des traitements. | cnil.fr, consulté le 30/10/2026 |
| Ce que vous collectez | Des données adéquates, pertinentes et limitées à ce qui est strictement nécessaire à la prise en charge (prévention, diagnostic, soins). Exemple CNIL : la vie familiale du patient n'est en principe pas appropriée. | cnil.fr, consulté le 30/10/2026 |
| Qui y accède | Seules les personnes autorisées au regard de leurs missions, et uniquement aux données utiles. Exemple CNIL : le secrétariat accède aux données administratives de rendez-vous, pas au dossier médical entier. | cnil.fr, consulté le 30/10/2026 |
| Information du patient | Une information sur le traitement de ses données, par exemple une affiche en salle d'attente. Pas de consentement à recueillir pour le dossier lui-même. | cnil.fr, consulté le 30/10/2026 |
| Sécurité | Mesures techniques et organisationnelles appropriées : carte de professionnel de santé, mot de passe personnel, chiffrement fort en cas d'usage d'internet. La messagerie ordinaire n'est pas a priori un moyen sûr pour transmettre des données de santé. | cnil.fr, consulté le 30/10/2026 |
| Prestataires et hébergement | Un prestataire qui traite des données pour votre compte (par exemple un hébergeur de données de santé agréé ou certifié) est un sous-traitant : il doit garantir un niveau de sécurité adapté et un contrat doit être conclu. | cnil.fr, consulté le 30/10/2026 |
| Registre et déclaration | Plus de déclaration à la CNIL pour la gestion du cabinet, mais un registre des traitements tenu en interne et présentable en cas de contrôle. | cnil.fr, consulté le 30/10/2026 |
| Durée de conservation | Déterminée, jamais indéfinie. Exemple CNIL : 20 ans après la dernière consultation pour les dossiers des médecins libéraux, selon l'Ordre des médecins. | cnil.fr, consulté le 30/10/2026 |
Seul ou en réseau
Quand le DPO et l'analyse d'impact entrent en jeu
Exercer à titre individuel dispense de désigner un DPO et de mener une analyse d'impact pour son activité. Exercer en réseau de professionnels, maison de santé, centre de santé ou avec des dossiers partagés peut relever d'un traitement de données de santé à grande échelle : la CNIL demande alors un DPO (interne ou externe) et une analyse d'impact. La limite entre les deux situations s'apprécie au cas par cas ; nous ne la tranchons pas ici.
Ce que cette page ne détaille pas : les durées de conservation des professions autres que médecin, et la procédure de certification des hébergeurs. Nous ne les écrivons pas sans source lue.
Notre accompagnement
Registre données de santé et hébergement, à partir de 190 €
Nous renforçons votre registre pour les données de santé, vérifions la place de l'hébergeur dans vos traitements et rédigeons l'information à afficher pour les patients. Prestation à partir de 190 € (registre données de santé et hébergement HDS), le diagnostic express démarrant à 90 €. Voir le Pack Conformité et Obligations légales et sociales.
Questions fréquentes