RGPD au cabinet médical : quel affichage pour informer vos patients ?

Dès la prise de rendez-vous, vos patients vous confient leur identité, leur numéro de sécurité sociale et des informations sur leur santé. Le RGPD vous impose de leur dire ce que deviennent ces données, et cette information passe d’abord par votre salle d’attente. Voici ce que la CNIL attend d’un cabinet libéral, mention par mention.

L’affichage RGPD en cabinet médical ou paramédical est le support par lequel un professionnel de santé libéral informe ses patients, conformément à l’article 13 du RGPD, de l’identité du responsable de traitement, des finalités et de la base légale des traitements, des destinataires et des durées de conservation de leurs données, ainsi que de leurs droits. Cette obligation s’applique depuis le 25 mai 2018 à tout praticien libéral. La CNIL l’a précisée dans le guide corédigé avec le Conseil national de l’Ordre des médecins et dans son référentiel sur la gestion des cabinets médicaux et paramédicaux.

Une obligation d’information, un support privilégié : l’affiche en salle d’attente

Depuis le RGPD, vous n’avez plus aucune déclaration à déposer auprès de la CNIL pour vos fichiers de patients. En contrepartie, vous devez démontrer votre conformité à tout moment : registre des traitements à jour, sécurité des données et information des personnes. Le référentiel adopté par la CNIL le 18 juin 2020 (délibération n° 2020-081), qui succède à l’ancienne norme simplifiée NS-50, encadre l’ensemble pour les professionnels de santé exerçant à titre libéral.

Sur la forme, ce référentiel est précis : les patients sont informés « par voie d’affichage dans les locaux du cabinet médical ou paramédical » ou par la remise d’un document spécifique. Le dépliant en salle d’attente, le document remis en main propre ou le courriel de confirmation de rendez-vous sont expressément cités, notamment pour les visites à domicile.

L’information doit être délivrée dès la collecte des données, donc dès le premier contact. Une affiche visible de tous, placée là où les patients attendent, reste la solution la plus simple.

Les mentions minimales exigées par l’article 13 du RGPD

Le guide CNOM-CNIL liste les éléments à faire figurer : vos nom et coordonnées ; les finalités et la base juridique du traitement ; les destinataires des données ; la durée de conservation ; les droits des patients (accès, rectification et, sous conditions, effacement, limitation, opposition), y compris la possibilité d’introduire une réclamation auprès de la CNIL ; le caractère obligatoire ou non des données demandées ; et, le cas échéant, toute utilisation ultérieure, par exemple à des fins de recherche.

Pour la base légale, le référentiel donne des repères : la tenue du dossier médical et la télétransmission à l’assurance maladie relèvent de l’obligation légale ; la prise de rendez-vous, la comptabilité ou la télémédecine peuvent reposer sur l’intérêt légitime du cabinet. Point souvent mal compris : vous n’avez pas à recueillir le consentement de vos patients pour les traitements nécessaires aux soins.

Côté durées, le repère est connu : les données du dossier peuvent être conservées 20 ans à compter de la dernière prise en charge, dont 5 ans en base active puis 15 ans en archive sur un support distinct. Les doubles des feuilles de soins électroniques se conservent 3 mois. Ce sont ces chiffres que votre affiche doit annoncer.

Deux niveaux d’information : une affiche courte, une notice complète

Faut-il tout faire tenir sur une seule affiche ? Non : pour la CNIL, présenter l’ensemble des informations en un seul bloc ne permet pas d’atteindre l’objectif de lisibilité. Elle recommande une information à plusieurs niveaux : un premier niveau condensé, qui met en avant l’identité du responsable de traitement, les finalités et les droits, et un second niveau qui détaille le reste.

Concrètement, l’affiche en salle d’attente porte les mentions essentielles et indique où consulter l’information complète : notice disponible à l’accueil, dépliant à emporter, page dédiée de votre site. Le guide CNOM-CNIL fournit en annexe un exemple de notice d’information en questions-réponses, à adapter à votre situation (logiciel hébergé, secrétariat externalisé, rendez-vous en ligne).

Si vous menez des études internes à partir des dossiers, l’information doit suivre : le guide précise qu’il suffit d’ajouter une mention dans l’affichette de votre salle d’attente.

Secret médical et RGPD : deux règles qui se cumulent

Le secret médical, protégé par l’article L. 1110-4 du Code de la santé publique, ne remplace pas le RGPD : les deux corps de règles s’appliquent en même temps. Le référentiel de la CNIL le traduit en encadrant les accès : le personnel de secrétariat n’accède qu’aux informations nécessaires à ses missions, et un prestataire de maintenance informatique ne doit pas pouvoir lire les données de santé, protégées par chiffrement.

Conséquence directe : un écran d’accueil tourné vers les patients, un agenda nominatif visible sur la banque d’accueil ou une liste de rendez-vous affichée au mur donnent à des tiers accès à des données personnelles. Votre affichage informe sur les traitements ; il ne divulgue aucune donnée d’aucun patient.

Le cumul joue aussi sur les droits : un patient ne peut pas s’opposer par principe à la tenue de son dossier, qui répond à une obligation légale. Il peut en revanche y accéder : le guide CNOM-CNIL rappelle un délai de 8 jours pour communiquer le dossier, porté à 2 mois quand les informations datent de plus de 5 ans.

Vidéosurveillance de la salle d’attente : un panneau spécifique

Si votre cabinet est équipé de caméras, l’affiche RGPD générale ne suffit pas : la vidéosurveillance exige sa propre information, claire et permanente. Les caméras ne peuvent couvrir que les entrées, les couloirs et la salle d’attente, jamais une consultation, qui doit rester secrète. S’il reçoit des patients sans rendez-vous, le cabinet est un lieu ouvert au public au sens du Code de la sécurité intérieure : le dispositif suppose alors une autorisation préfectorale, valable 5 ans.

Le panneau doit reprendre les mentions attendues par la CNIL : finalité du dispositif, durée de conservation des images, coordonnées du responsable ou du délégué à la protection des données, droits des personnes filmées et possibilité de réclamation auprès de la CNIL. La conservation des images ne peut pas excéder un mois ; quelques jours suffisent le plus souvent.

Mon espace santé : informer aussi sur l’alimentation du dossier

Votre information doit enfin couvrir les destinataires des données : le référentiel cite expressément l’accès au dossier médical partagé et à l’espace numérique de santé parmi les canaux de partage entre professionnels. Si vos comptes rendus, prescriptions ou courriers alimentent Mon espace santé, vos patients doivent le savoir.

Mon espace santé est ouvert automatiquement pour chaque assuré, sauf opposition dans les 6 semaines suivant le courrier d’information de l’assurance maladie, et l’article L. 1111-15 du Code de la santé publique impose aux professionnels d’y reporter les éléments nécessaires à la coordination des soins. Le patient garde la main : il peut masquer des documents et gérer les accès.

Une ligne sur votre affiche ou votre notice suffit à signaler cette alimentation. Pour les questions individuelles, renvoyez le patient vers son organisme d’assurance maladie plutôt que d’improviser une réponse juridique au comptoir.

Vos questions, nos réponses

L’affichage RGPD est-il obligatoire dans un cabinet médical ?

L’information des patients est obligatoire ; l’affichage est le moyen que la CNIL cite en premier pour la délivrer. Son référentiel sur les cabinets médicaux et paramédicaux prévoit une information par voie d’affichage dans les locaux ou par la remise d’un document spécifique, comme un dépliant en salle d’attente ou un courriel de confirmation de rendez-vous. Vous pouvez donc choisir un autre support, à condition qu’il touche chaque patient dès la collecte de ses données. En pratique, l’affiche reste la solution la plus robuste, complétée par un document remis lors des visites à domicile.

Faut-il faire signer un consentement RGPD aux patients ?

Non. Les traitements nécessaires aux soins ne reposent pas sur le consentement : la tenue du dossier médical et la télétransmission à l’assurance maladie relèvent d’une obligation légale, la prise de rendez-vous ou la comptabilité de l’intérêt légitime du cabinet, selon le référentiel de la CNIL. Votre devoir est d’informer, pas de faire signer. Un formulaire de consentement inutile serait même trompeur : il laisserait croire au patient qu’il peut retirer un consentement qui n’a jamais été la base du traitement.

Combien de temps un cabinet conserve-t-il les données de ses patients ?

En principe 20 ans à compter de la dernière prise en charge : 5 ans en base active dans le logiciel, puis 15 ans en archive sur un support distinct, selon le référentiel de la CNIL. Le Conseil national de l’Ordre des médecins préconise le même repère, avec des ajustements : conservation prolongée jusqu’au 28ᵉ anniversaire pour un patient mineur, et 10 ans à compter du décès si celui-ci survient moins de 10 ans après la dernière consultation. Les doubles des feuilles de soins électroniques se conservent 3 mois.

Peut-on filmer la salle d’attente d’un cabinet ?

Oui, sous conditions strictes. Les caméras ne peuvent viser que les entrées, les couloirs et la salle d’attente ; filmer une consultation est exclu. Si le cabinet reçoit des patients sans rendez-vous, il constitue un lieu ouvert au public au sens du Code de la sécurité intérieure : le dispositif doit alors être autorisé par le préfet, pour 5 ans renouvelables. Un panneau visible doit signaler les caméras et mentionner la finalité, la durée de conservation des images — un mois au maximum —, le responsable à contacter et les droits des personnes filmées.