Protection des données au cabinet médical : les 5 pièges du quotidien et quand il vous faut un délégué à la protection des données

Après la lecture de cet article, vous saurez si votre cabinet a besoin d'un délégué à la protection des données, quelles situations du quotidien tournent le plus souvent mal et comment former votre équipe de façon démontrable. La base est l'art. 9, par. 1, RGPD : les données de santé constituent une catégorie particulière de données à caractère personnel et ne peuvent être traitées que dans des conditions strictes, quelle que soit la taille du cabinet.

Par la rédaction de Provimedia · Situation : juillet 2026 · Cet article est une information générale et ne constitue pas un conseil juridique.

Pourquoi des règles particulières s'appliquent-elles au cabinet médical ?

Deux points sont déterminants. Premièrement : l'art. 9, par. 1, RGPD interdit en principe le traitement des données de santé. Une exception ne s'applique que pour les soins de santé, au titre de l'art. 9, par. 2, point h, en liaison avec l'art. 9, par. 3, RGPD : le traitement ne peut alors être effectué que par du personnel tenu au secret professionnel ou à une obligation de confidentialité équivalente.

Deuxièmement, le secret médical, sanctionné pénalement au titre du § 203 StGB (Code pénal allemand), s'applique en parallèle. Quiconque divulgue sans autorisation le secret d'autrui s'expose à une peine d'emprisonnement pouvant aller jusqu'à un an ou à une amende. Secret professionnel et protection des données ne sont pas synonymes : les deux séries d'obligations s'appliquent en parallèle et doivent être respectées simultanément.

Ce que cela signifie pour vous : vérifiez que tous les collaborateurs sont tenus par écrit à la confidentialité.

Quelles situations du quotidien sont délicates ?

Les plus grands risques naissent rarement d'attaques informatiques complexes, mais de routines quotidiennes. Le tableau suivant présente les situations les plus fréquentes et la bonne pratique correspondante.

Le logiciel du cabinet lui-même est lui aussi concerné, car le classement contractuel est ici déterminant :

• Si le logiciel fonctionne via un prestataire externe de centre de données ou de cloud, celui-ci traite généralement les données en tant que sous-traitant au sens de l'art. 28 RGPD. Il faut pour cela un AVV valable (contrat de sous-traitance).
• Pour les laboratoires externes ou les médecins spécialistes auxquels des résultats sont transmis, il n'existe en revanche souvent aucune relation de sous-traitance : ces structures utilisent les données à leurs propres fins de traitement, sous leur propre responsabilité. Il faut ici une base juridique solide pour la transmission, et non un AVV.

Sur le plan technique, l'art. 32 RGPD exige des mesures appropriées telles que la protection par mot de passe, le verrouillage automatique de l'écran, des voies de transmission chiffrées et une procédure encadrée en cas de violation de données. Sur le plan organisationnel, la discrétion signifie surtout une protection visuelle à l'accueil, des armoires à dossiers fermées à clé et une gestion réfléchie du fax, des e-mails et des coursiers.

Un cabinet a-t-il besoin d'un délégué à la protection des données ?

Selon le § 38, al. 1, BDSG (loi fédérale allemande sur la protection des données), les responsables du traitement doivent désigner un délégué à la protection des données lorsqu'ils occupent en règle générale au moins 20 personnes en permanence au traitement automatisé de données à caractère personnel. De nombreux cabinets médicaux de petite et moyenne taille n'atteignent pas ce seuil de 20 personnes et ne sont donc pas tenus de procéder à cette désignation.

Indépendamment du nombre de personnes, une obligation de désignation peut néanmoins naître, par exemple lorsqu'un traitement exige une analyse d'impact relative à la protection des données.

Important : l'absence d'obligation de désignation ne supprime pas les obligations de fond du RGPD. Même sans délégué à la protection des données, chaque cabinet doit :

• tenir un registre des activités de traitement,
• informer les patientes et les patients sur le traitement des données,
• satisfaire à son obligation de responsabilité au titre du RGPD, c'est-à-dire documenter le respect des principes et pouvoir le démontrer.

Comment former les collaborateurs du cabinet ?

L'association fédérale des médecins conventionnés (Kassenärztliche Bundesvereinigung, KBV) souligne expressément que les collaborateurs du cabinet doivent être informés du secret professionnel et de la protection des données. Les assistants médicaux sont chaque jour en contact avec des données particulièrement sensibles, à l'accueil, au téléphone et à la facturation.

Ils devraient donc connaître les bases juridiques :

• ce que sont les catégories particulières de données à caractère personnel,
• quels droits ont les patientes et les patients,
• et comment signaler un soupçon de violation de données.

Une formation de base au RGPD tous secteurs confondus transmet précisément ce socle à l'ensemble de l'équipe du cabinet, y compris un certificat de participation daté pour chaque collaboratrice et collaborateur. Elle ne remplace toutefois pas une initiation interne au cabinet aux processus concrets sur place, par exemple l'utilisation du logiciel de gestion du cabinet concerné, le concept d'habilitations propre au cabinet ou les circuits de signalement en cas d'incident. Ce réglage fin reste de la responsabilité de la direction du cabinet.

Questions fréquentes (FAQ)

Peut-on appeler les noms des patients dans la salle d'attente ?

C'est délicat au regard de la protection des données. Il n'existe pas de norme d'interdiction expresse, mais le principe de minimisation des données s'oppose clairement à l'appel à voix haute des noms et des diagnostics dans la salle d'attente. Les autorités de contrôle recommandent donc des alternatives telles que des numéros d'appel, un signe discret à l'accueil ou une prise en charge directe dans la salle d'attente.

Chaque cabinet médical doit-il désigner un délégué à la protection des données ?

Non. L'obligation prévue au § 38, al. 1, BDSG ne s'applique en règle générale qu'à partir d'au moins 20 personnes occupées en permanence au traitement automatisé de données. De nombreux cabinets individuels et cabinets de groupe n'atteignent pas ce seuil. Indépendamment de cela, une obligation peut aussi naître en dessous de ce seuil, par exemple pour certains traitements ; une désignation volontaire peut néanmoins être judicieuse.

Combien de temps faut-il conserver les dossiers de patients ?

Selon le § 630f, al. 3, BGB (Code civil allemand), le dossier de traitement doit en principe être conservé dix ans après la fin du traitement. D'autres dispositions peuvent prévoir des délais différents, parfois plus longs, par exemple pour les radiographies. En cas de doute, c'est alors le délai le plus long qui s'applique.

Que se passe-t-il en cas de violation de la protection des données au cabinet ?

Les violations peuvent être examinées par l'autorité de contrôle compétente et sanctionnées par une amende au titre de l'art. 83 RGPD, dont le montant se détermine au cas par cas. En cas de violation du secret professionnel, des conséquences pénales au titre du § 203 StGB ainsi que des actions civiles des patientes et patients concernés sont en outre à craindre.

La formation de base au RGPD de Provimedia donne à l'ensemble de votre équipe un socle commun et documenté, présenté de façon compréhensible et réalisable en ligne.

Sources

• EUR-Lex : règlement (UE) 2016/679 (RGPD), en particulier art. 9, 28 et 32
• gesetze-im-internet.de : § 38 BDSG – délégués à la protection des données des organismes non publics
• gesetze-im-internet.de : § 203 StGB – violation du secret privé
• gesetze-im-internet.de : § 630f BGB – documentation du traitement
• Kassenärztliche Bundesvereinigung (KBV) : protection des données au cabinet