Beaucoup d'ostéopathes pensent que le RGPD ne les concerne qu'à la marge — qu'il suffit d'une mention dans les conditions générales pour être en règle. C'est une erreur. Dès lors que vous consignez des informations sur un patient, vous traitez des données de santé soumises à des obligations renforcées. Et le non-respect de ces obligations peut entraîner des sanctions sérieuses de la CNIL.
Les données d'un cabinet d'ostéopathie : une catégorie sensible
Le RGPD distingue les données personnelles ordinaires des données sensibles, qui nécessitent une protection renforcée. Les données de santé — et tout ce que vous collectez sur vos patients en fait partie — appartiennent à cette catégorie.
En ostéopathie libérale, les données sensibles incluent : les antécédents médicaux et chirurgicaux, le motif de consultation, les résultats des tests ostéopathiques, les notes de traitement, les traitements médicaux en cours, et toute information sur la santé physique ou psychique partagée en séance. Ces informations doivent être protégées bien au-delà d'un simple mot de passe sur votre ordinateur.
Le consentement explicite : une obligation avant la première séance
Pour traiter des données de santé, vous avez besoin d'une base légale solide. Pour un ostéopathe libéral, c'est le consentement explicite du patient qui remplit ce rôle. Ce consentement doit être libre, éclairé et documenté.
En pratique, remettez à chaque nouveau patient un document expliquant :
- Quelles données vous collectez (identité, antécédents, notes de traitement)
- Pourquoi vous les collectez (suivi du traitement, facturation)
- Combien de temps vous les conservez
- Qui y a accès (vous seul, sauf en cas de remplacement)
- Comment le patient peut exercer ses droits (accès, rectification, suppression)
Ce formulaire, signé à la première consultation, constitue votre preuve de consentement. Conservez-le avec le dossier patient.
Le registre des activités de traitement
Tout responsable de traitement doit tenir un registre des activités de traitement. Pour un ostéopathe libéral, ce document est simple à rédiger : une ou deux pages listant les données collectées, leur finalité, leur durée de conservation et les mesures de sécurité en place.
Ce registre n'est pas destiné à être publié. Il est à disposition de la CNIL en cas de contrôle. Son absence est une infraction en elle-même — indépendamment de tout incident de sécurité.
Où et comment stocker les dossiers patients ?
La question du stockage est centrale. Les options ne se valent pas toutes du point de vue du RGPD :
- Carnet papier : possible, mais doit être conservé sous clé dans un meuble fermé à clé, avec accès limité. En cas de perte ou de vol, vous êtes en situation de violation de données.
- Fichier sur ordinateur : doit être chiffré, protégé par un mot de passe solide, et sauvegardé régulièrement. Un ordinateur non chiffré perdu ou volé constitue une violation de données grave.
- Logiciel en ligne : c'est la solution la plus sécurisée si le logiciel est hébergé en France ou dans l'UE, avec chiffrement des données et accès sécurisé. Évitez les outils américains sans garanties contractuelles pour stocker des informations de santé.
Durée de conservation des dossiers
Les ostéopathes libéraux ne sont pas soumis aux mêmes règles que les médecins pour la conservation du dossier médical. En l'absence de texte spécifique, la pratique recommandée est de conserver 5 ans après la dernière consultation. Pour les patients mineurs, jusqu'à leur majorité plus 5 ans.
Au-delà de ces durées, les données doivent être supprimées ou anonymisées. Un logiciel de gestion adapté vous alertera sur les dossiers à archiver ou à supprimer, sans que vous ayez à le surveiller manuellement.
En cas de violation de données : 72 heures pour agir
Si vous perdez un ordinateur contenant des dossiers patients, si votre cabinet est cambriolé, ou si des données sont transmises par erreur à un tiers, vous êtes en situation de violation de données. Vous devez alors notifier la CNIL dans les 72 heures via leur plateforme en ligne.
Si la violation présente un risque élevé pour les droits et libertés des patients (données de santé exposées à des tiers non autorisés), vous devez également en informer les patients concernés directement. Ce délai de 72 heures est très court — d'où l'importance de savoir précisément où sont stockées vos données avant qu'un incident survienne.
Practly : vos dossiers patients sécurisés en France
Hébergement en France, chiffrement des données, accès sécurisé, consentement patient intégré. Practly vous aide à rester conforme RGPD sans y penser. Essai gratuit 20 jours.
Essayer gratuitement →Questions fréquentes
Un ostéopathe libéral est-il soumis au RGPD ?
Oui, sans exception. Les antécédents, notes de traitement et motifs de consultation sont des données de santé sensibles soumises aux obligations renforcées du RGPD.
Combien de temps conserver le dossier d'un patient ?
5 ans après la dernière consultation. Pour les patients mineurs, jusqu'à leur majorité plus 5 ans. Au-delà, les données doivent être supprimées ou anonymisées.
Faut-il un consentement écrit avant la première séance ?
Oui. Un formulaire signé à la première consultation est obligatoire. Il doit expliquer quelles données sont collectées, pourquoi, combien de temps et comment le patient peut exercer ses droits.
Peut-on prendre des notes sur papier ?
Oui, mais les carnets doivent être conservés sous clé avec accès limité. En cas de perte ou vol, vous êtes en situation de violation de données et devez notifier la CNIL sous 72 heures.
Quel logiciel utiliser pour être conforme RGPD ?
Un logiciel hébergé en France ou dans l'UE, avec chiffrement des données et accès sécurisé. Évitez les outils américains sans garanties contractuelles pour stocker vos notes de traitement et antécédents patients.