SMS, e-mail et documents patients : choisir un canal sûr au cabinet

Un canal n’est pas « sûr » en soi : il devient adapté lorsque son niveau de protection correspond au contenu, au destinataire et au risque réel. Un rappel minimal peut rester très court. Une facture nominative demande déjà davantage de précautions. Un document qui révèle un état de santé ou le contenu d’une consultation exige une transmission plus protectrice et une identité vérifiée.

Ce guide propose une méthode concrète pour organiser la communication patient par SMS, e-mail et portail documentaire dans un cabinet d’ostéopathie. Il permet de classer un message, de choisir un canal, de contrôler l’envoi et de séparer les messages de service de la prospection. Il ne qualifie aucun fournisseur et ne remplace pas l’analyse juridique, contractuelle ou de sécurité du cabinet.

Périmètre vérifié le 29 août 2026 : les règles dépendent de la finalité, de la nature des données, du rôle des prestataires et des mesures réellement activées. La préférence du patient facilite l’organisation, mais elle ne suffit pas à rendre un canal grand public approprié pour un document sensible.

En bref : décider en quatre questions

• Pourquoi écrire ? Distinguez rappel, échange administratif, réponse à une demande, remise de document et prospection.
• Que révèle le message ? Examinez le corps, l’objet, la pièce jointe, le nom de l’expéditeur, les métadonnées et les notifications affichées sur l’écran.
• Qui doit le recevoir ? Vérifiez l’adresse, le numéro, l’identité et, le cas échéant, la qualité du représentant.
• Quelle protection est réellement active ? Évaluez le chiffrement, l’authentification, l’expiration, la révocation, les journaux, la conservation et le contrat du prestataire.

La règle d’exploitation peut tenir en une phrase : message minimal sur canal simple ; document sensible sur canal protégé ; doute sur l’identité ou la destination, pas d’envoi. Il ne s’agit pas d’une formule juridique universelle, mais d’un dispositif interne prudent fondé sur le risque.

Partir du contenu, pas de l’habitude

Nommer la finalité avant de choisir le canal

« Envoyer un message au patient » décrit un geste technique, pas sa finalité. Un rappel de rendez-vous exécute un service demandé. Une réponse à une demande de facture remet un document. Un message présentant une nouvelle offre peut relever de la prospection. Ces finalités ne justifient ni les mêmes données, ni le même rythme, ni les mêmes règles d’opposition.

Commencez donc par écrire une catégorie dans le modèle ou le logiciel : rappel, administratif, document confidentiel, échange contenant une donnée de santé, prospection. Le membre du cabinet choisit ensuite le canal autorisé pour cette catégorie. Cette organisation réduit les décisions improvisées au moment où la boîte d’envoi est déjà ouverte.

Regarder ce que le message révèle, même sans pièce jointe

La définition européenne des données de santé est large. La CNIL rappelle qu’elle couvre les informations relatives à la santé physique ou mentale, y compris celles liées à une prestation de services de santé, ainsi que certaines informations permettant d’inférer un état de santé (CNIL, définition des données de santé). Un texte sans diagnostic peut donc rester sensible par son contexte, son expéditeur ou son association avec une consultation.

Examinez cinq zones : l’objet, le corps, la pièce jointe, l’identité affichée de l’expéditeur et les aperçus de notification. « Consultation lombalgie — compte rendu » révèle plus que « Document disponible ». Un nom de cabinet très spécialisé peut lui-même renseigner un tiers qui regarde l’écran verrouillé. La minimisation ne consiste pas seulement à raccourcir ; elle consiste à retirer ce qui n’est pas nécessaire à l’action attendue.

Distinguer obligation, recommandation et règle interne

Le RGPD impose notamment une sécurité adaptée au risque et des principes comme la minimisation ; il ne fournit pas une liste universelle disant « SMS autorisé » ou « e-mail interdit » pour chaque phrase. L’article 32 demande des mesures techniques et organisationnelles appropriées compte tenu du contexte, de la sensibilité et des risques (RGPD, notamment articles 5, 9, 28 et 32).

Les fiches de la CNIL précisent ensuite des mesures utiles : chiffrement des pièces sensibles, protocole de transfert protecteur, secret transmis par un canal distinct, durée limitée de dépôt et accès réservé aux destinataires autorisés (CNIL, sécuriser les échanges avec l’extérieur). Le cabinet peut enfin adopter une règle plus simple et plus prudente, par exemple interdire tout document sensible dans le corps d’un e-mail ordinaire. Cette règle interne doit être écrite, réaliste et appliquée.

Utiliser une matrice de décision avant chaque modèle

Niveau 1 — Le rappel minimal

Le rappel vise une action simple : confirmer une date, une heure, une adresse ou la possibilité de modifier un rendez-vous. Son contenu peut être conçu pour rester compréhensible sans mentionner motif, symptôme, traitement, document ou conclusion. Le SMS ou l’e-mail peuvent alors être envisagés selon le paramétrage, la qualité des coordonnées et le service choisi.

Le modèle doit résister au copier-coller. Aucun champ libre clinique ne doit être injecté dans le message. Évitez aussi une URL opaque qui invite à saisir immédiatement un mot de passe : elle ressemble à un hameçonnage. Si un lien est nécessaire, le domaine doit être identifiable et le patient doit savoir où vérifier l’information depuis le site ou l’application habituels.

Niveau 2 — L’échange administratif nominatif

Une demande de justificatif, une question sur un horaire ou une information de facturation peut nécessiter l’identité du patient sans détailler sa santé. L’e-mail professionnel devient un outil possible, mais l’objet doit rester discret, les destinataires limités et la pièce jointe contrôlée. Une facture peut révéler une relation avec le cabinet ; elle n’est pas un document banal parce qu’elle ne contient pas de diagnostic.

Évaluez si la réponse peut être remise dans un portail ou en main propre. Lorsque l’e-mail est retenu, réduisez le nombre de copies, évitez les listes visibles et vérifiez que la boîte n’est pas transférée automatiquement vers un compte personnel. Le niveau 2 ne signifie pas « absence de risque » ; il signifie que le cabinet a limité le contenu et choisi des mesures proportionnées.

Niveau 3 — Le document confidentiel ou révélant la santé

Un compte rendu, une note détaillée, un courrier d’orientation ou une pièce contenant des observations appelle une protection renforcée. La CNIL indique que l’e-mail ordinaire ne constitue pas, a priori, un moyen sûr pour transmettre des données médicales nominatives, notamment en raison des erreurs de destinataire et de l’absence générale de confidentialité d’Internet (CNIL, données de santé et messagerie électronique).

Le choix se déplace alors vers un portail protégé, une messagerie qualifiée pour les acteurs concernés ou, lorsque l’analyse le permet, une pièce correctement chiffrée dont le secret est transmis par un autre canal. La protection doit couvrir le fichier, la transmission, l’accès et la durée. Une page de téléchargement publique avec une adresse difficile à deviner n’est pas une authentification.

Niveau 4 — Le doute sur l’identité, le mandat ou la destination

Si l’adresse vient de changer, si un proche réclame le document ou si la demande arrive depuis un canal inhabituel, la question n’est plus seulement « comment chiffrer ? ». Il faut d’abord établir qui demande quoi et au nom de qui. Utilisez une coordonnée déjà connue, une vérification en présence ou un rappel vers un numéro fiable. Ne répondez pas au même fil suspect pour valider sa propre authenticité.

La vérification doit rester proportionnée. Demander systématiquement une copie complète de pièce d’identité peut créer un nouveau risque et collecter plus que nécessaire. Définissez à l’avance les éléments acceptables selon le document, le contexte et la relation existante. En cas d’incertitude non résolue, suspendez la transmission et expliquez le canal alternatif.

Réserver le SMS aux échanges courts et maîtrisés

Construire un rappel qui reste minimal

Un bon rappel contient uniquement ce qui permet d’agir : date, heure, localisation concise et moyen de modifier ou confirmer. Il évite le motif, le nom d’une pathologie, le détail d’une consultation et toute phrase clinique. Le nom affiché de l’expéditeur doit être réfléchi : trop vague, il favorise la méfiance ; trop explicite, il peut révéler une information à une personne qui voit l’écran.

Testez le rendu sur un écran verrouillé, pas seulement dans l’interface d’envoi. Vérifiez aussi ce qui se passe en cas de numéro recyclé, mal saisi ou attribué à une autre personne du foyer. La saisie initiale doit être relue avec le patient et une procédure simple doit permettre de modifier la coordonnée sans perdre l’historique de la décision.

Décider si les réponses sont lues et conservées

Un SMS sortant peut inviter le patient à répondre avec une information que le cabinet ne souhaitait pas collecter sur ce canal. Si la boîte n’est pas surveillée, le message doit le dire et proposer un autre moyen. Si les réponses sont traitées, définissez qui les lit, quand elles sont intégrées au bon dossier, combien de temps elles restent chez le routeur et comment éviter qu’un détail sensible demeure dans une conversation générale.

Ne promettez pas une réponse urgente par SMS si aucune permanence n’existe. Une phrase comme « Pour modifier le rendez-vous, utilisez le lien ou appelez le cabinet ; ce numéro ne traite pas les demandes de santé » fixe une limite pratique. La formulation exacte dépend du fonctionnement réel : un avertissement faux ou ignoré n’apporte aucune protection.

Auditer le routeur plutôt que le seul prix par message

Le prestataire voit au minimum des coordonnées, des métadonnées et parfois le contenu. Demandez les pays de traitement, les sous-traitants ultérieurs, les durées de conservation, les journaux, les droits d’accès, la procédure d’incident et les possibilités d’effacement. Vérifiez si le service réutilise les numéros, enrichit les profils ou ajoute du suivi non nécessaire.

Un connecteur intégré à l’agenda n’est pas automatiquement couvert par les mêmes garanties que le logiciel principal. La cartographie des flux doit montrer le passage entre agenda, routeur, terminal du patient et éventuels outils d’analyse. Pour examiner le produit dans son ensemble, le guide sur le choix d’un logiciel de cabinet fournit une grille plus large.

Encadrer l’e-mail professionnel sans le surestimer

Sécuriser d’abord la boîte elle-même

Une pièce jointe protégée ne compense pas un compte de messagerie compromis. Utilisez une adresse professionnelle, un mot de passe unique, une authentification multifacteur lorsque disponible, des appareils à jour et des sessions révoquées au départ d’un collaborateur. La CNIL recommande en 2026 d’activer la double authentification notamment pour les boîtes de courriels et comptes administrateurs (CNIL, règles essentielles de sécurité, mise à jour du 19 juin 2026).

Évitez le transfert automatique vers une adresse personnelle et l’usage partagé d’un même identifiant. Les droits doivent suivre le besoin réel ; le guide sur les habilitations et accès au cabinet détaille les tests de profil, de durée et de traçabilité. Une boîte générique peut servir d’adresse publique, mais les personnes qui l’ouvrent doivent être identifiables et autorisées.

Réduire les erreurs de destinataire

L’autocomplétion transforme une faute de sélection en incident potentiel. Affichez le nom complet et la coordonnée, ralentissez l’envoi de quelques secondes lorsque l’outil le permet et contrôlez toute première transmission sensible. Les listes de diffusion doivent placer les destinataires en copie cachée lorsqu’ils ne doivent pas connaître les autres adresses ; mieux encore, utilisez un outil configuré pour individualiser l’envoi.

Avant de joindre un fichier, ouvrez-le depuis la version finale : contrôlez le patient, toutes les pages, les pièces annexes, les commentaires, les propriétés et le nom du fichier. Un modèle dupliqué peut conserver une page ou une métadonnée inattendue. Donnez aux fichiers un nom discret qui permet néanmoins au destinataire de reconnaître le document après téléchargement.

Rendre les messages vérifiables sans entraîner de mauvais réflexes

Les patients reçoivent de nombreux faux messages. Un e-mail légitime ne devrait pas leur apprendre à cliquer sous pression ou à communiquer un secret dans une page inattendue. Évitez l’urgence artificielle, les pièces exécutables et les liens raccourcis. Indiquez comment retrouver la même action depuis le site officiel ou l’espace habituel, sans demander de répondre avec des données de santé.

Le cabinet doit appliquer le même réflexe aux messages entrants. Une demande de changement de coordonnée bancaire, de partage massif ou de téléchargement doit être confirmée par un autre moyen connu. La CNIL conseille, en cas de doute, de confirmer l’identité de l’émetteur par un autre canal, par exemple un appel vers le numéro habituel (CNIL, vigilance dans la messagerie).

Transmettre un document sensible sans multiplier les copies

Évaluer un portail au-delà de la présence d’un cadenas

Un portail utile impose une authentification proportionnée, limite l’accès au bon destinataire, chiffre la transmission et permet une durée de mise à disposition maîtrisée. Il doit aussi donner au cabinet un moyen de révoquer un lien, de fermer un compte, de connaître les accès significatifs et de supprimer le document selon la politique annoncée.

Vérifiez le parcours complet : le message d’invitation révèle-t-il la nature du document ? Le lien fonctionne-t-il sans connexion ? Peut-il être transféré ? Combien de temps reste-t-il actif ? Une réinitialisation de mot de passe suffit-elle à prendre le contrôle du compte ? Un « portail sécurisé » n’est pas une propriété marketing ; c’est un ensemble de contrôles observables.

Comprendre la solution de repli du fichier chiffré

Lorsque le portail adapté n’est pas disponible et que l’analyse autorise l’envoi, la CNIL recommande de chiffrer les pièces sensibles et de transmettre le secret par un canal distinct. Elle cite, par exemple, un fichier chiffré envoyé par e-mail et un mot de passe communiqué par téléphone ou SMS (CNIL, précautions lors d’un envoi via un réseau).

« Canal distinct » ne veut pas dire recopier le mot de passe dans le même fil ou dans le nom du fichier. Le secret doit être robuste, éphémère lorsque possible et transmis à une coordonnée vérifiée. Le cabinet doit savoir si le format choisi chiffre réellement le contenu ou se contente de restreindre l’ouverture dans une application. Testez aussi que le patient peut accéder au document sans installer un logiciel douteux.

Vérifier l’hébergement et le périmètre HDS sans raccourci

Lorsque le montage entre dans le champ des articles L. 1111-8 et R. 1111-8-8 du code de la santé publique et que le prestataire héberge en tant que sous-traitant les données de santé concernées, la certification HDS est requise ; faites qualifier les rôles, les données et le contexte réels. Depuis le 16 mai 2026, tous les certificats HDS valides attestent exclusivement d’une conformité au référentiel v2 (ANS, doctrine du numérique en santé : règles de sécurité).

L’ANS annonce la publication du référentiel v2.1 pour octobre 2026. Au 29 août 2026, cette version reste prospective et ne remplace pas la v2 applicable (ANS, référentiel HDS v2.1 : évolutions à anticiper).

Ne réduisez pas l’analyse à un badge. Demandez le certificat, son périmètre, son titulaire, sa validité, les activités couvertes et la place de chaque sous-traitant. La certification n’établit pas à elle seule la licéité de la finalité, la minimisation, la bonne configuration ou l’éligibilité de tous les usages. Faites qualifier le cas concret si la chaîne ou le statut des acteurs est incertain.

Comprendre la place de MSSanté sans présumer l’éligibilité

Ce que l’ANS présente comme espace de confiance

L’ANS décrit MSSanté comme un espace de confiance dans lequel les professionnels habilités peuvent échanger par messagerie des données de santé de manière dématérialisée et sécurisée. Elle renvoie à une liste d’opérateurs et à un guide d’éligibilité (ANS, « Qu’est-ce que MSSanté et suis-je concerné ? »).

Cette description ne permet pas de conclure que tout ostéopathe, tout logiciel ou tout destinataire dispose automatiquement d’une adresse compatible. Vérifiez l’éligibilité du professionnel, l’enregistrement requis, l’opérateur, l’identité du correspondant et le type de boîte. Conservez la preuve de cette vérification dans le dossier de choix du canal, puis révisez-la lors d’un changement d’outil ou de statut.

Ce que MSSanté ne remplace pas

Une messagerie sécurisée ne remplace ni la finalité, ni la qualité du destinataire, ni la tenue du dossier. Elle n’autorise pas à envoyer davantage de données que nécessaire. Elle ne transforme pas non plus un interlocuteur non habilité en destinataire légitime. Les accès, appareils, erreurs d’adressage et durées de conservation restent à maîtriser.

Si le patient ne peut pas recevoir le document dans l’espace envisagé, prévoyez une alternative : portail adapté, remise en main propre, envoi postal selon le contexte ou fichier protégé après analyse. Le dispositif doit fonctionner pour le lecteur réel, y compris en cas de handicap numérique, sans abaisser silencieusement la sécurité pour éviter une difficulté d’usage.

Recueillir une préférence sans lui faire dire davantage

Enregistrer la coordonnée et la préférence avec une date

Demandez au patient quel numéro ou quelle adresse utiliser pour les informations de service, relisez la saisie et indiquez comment la corriger. Conservez la date de vérification et la portée de la préférence : rappels seulement, échanges administratifs, notifications de portail. Évitez une case vague « J’accepte les communications » qui mélange tout.

Une préférence n’est pas permanente. Une adresse professionnelle peut devenir inaccessible ; un numéro peut être réattribué ; un proche peut partager l’appareil. Ajoutez une question de confirmation à des moments pertinents, sans redemander la coordonnée à chaque visite. Un changement sensible doit être vérifié par un moyen déjà fiable avant le premier envoi vers la nouvelle destination.

Expliquer les canaux et leurs limites

L’information doit être courte et concrète : types de messages, finalités, prestataires ou catégories de destinataires, mesures principales, durée et moyens d’exercer ses droits. Elle doit aussi expliquer qu’un document sensible peut être remis par un canal différent du rappel habituel. Le patient peut ainsi comprendre pourquoi une facture n’arrive pas de la même manière qu’un SMS de rendez-vous.

Ne promettez pas une sécurité absolue. Décrivez le dispositif réel : « les rappels ne contiennent pas de motif », « les documents sont déposés pour une durée limitée », « le code est transmis séparément ». Si l’outil ne permet pas la révocation ou l’expiration annoncée, corrigez le processus ou le texte avant de l’utiliser.

Prévoir une alternative en cas de refus ou d’impossibilité

Un patient peut refuser un portail, ne pas utiliser de smartphone ou ne pas vouloir recevoir de SMS. Le cabinet doit savoir quelles solutions raisonnables proposer sans improviser : remise en main propre après vérification, courrier, impression, autre moyen protégé. L’alternative dépend du document, du délai et du risque ; aucune option ne convient automatiquement à tous les cas.

Documentez le choix sans transformer un refus en renonciation générale à la protection des données. Une phrase signée ne rend pas sûre une messagerie ordinaire et ne transfère pas toute la responsabilité au patient. Le cabinet conserve la maîtrise de son traitement et des mesures qu’il décide d’employer.

Séparer les messages de service de la prospection

Qualifier le message par son objectif réel

La CNIL distingue en 2026 les communications transactionnelles, nécessaires à la gestion d’un contrat ou d’un service demandé, les communications relationnelles et la prospection. Elle précise que la qualification dépend de la finalité réelle du message, pas seulement de son apparence informative (CNIL, communications par voie électronique, 10 juin 2026).

Un rappel de rendez-vous ne devient pas une newsletter parce qu’il comporte un lien. À l’inverse, ajouter une offre, une invitation promotionnelle ou un appel à réserver une autre prestation peut modifier sa finalité. Le cabinet doit résister à la tentation de profiter d’un canal de service bien délivré pour y glisser une promotion non prévue.

Appliquer la règle pertinente à la prospection

Pour la prospection électronique vers des particuliers, la CNIL rappelle le principe du consentement préalable, libre, spécifique, éclairé et univoque, avec des exceptions encadrées notamment pour certains services analogues à ceux déjà fournis par la même entreprise. Dans tous les cas concernés, l’opposition doit rester simple et gratuite (CNIL, prospection par e-mail et SMS, 10 juin 2026).

Conservez les preuves de recueil et de retrait sans les mélanger avec la préférence de rappel. Le désabonnement marketing ne doit pas supprimer une coordonnée nécessaire au service si une autre base et une autre finalité la justifient ; inversement, la prise de rendez-vous ne doit pas être conditionnée à l’acceptation de messages promotionnels non nécessaires.

Contrôler mesure d’ouverture et pixels

Certains services ajoutent des pixels d’ouverture, des redirections ou des paramètres de suivi. Ces fonctions collectent de nouvelles données et répondent souvent à une finalité distincte de la délivrance. Désactivez les mesures non nécessaires pour les messages de service et examinez séparément les conditions applicables aux campagnes.

Le taux d’ouverture n’est pas une preuve de lecture par le bon patient ; il peut être déclenché par un filtre, un proxy d’images ou un autre appareil. Pour une action importante, utilisez un mécanisme adapté de confirmation, sans déduire silencieusement une conduite du patient à partir d’un pixel.

Qualifier le prestataire, le contrat et le paramétrage

Déterminer le rôle et encadrer la sous-traitance

Le cabinet doit comprendre qui décide des finalités et qui traite les données pour son compte. La CNIL rappelle qu’un sous-traitant doit présenter des garanties suffisantes et que le contrat doit notamment préciser l’objet, la durée, la finalité, la confidentialité, la sécurité, la restitution, la destruction et la gestion des incidents (CNIL, gérer la sous-traitance).

Demandez la liste des sous-traitants ultérieurs, les pays d’hébergement et d’accès, les transferts éventuels, la politique de sauvegarde, les délais d’alerte et les modalités de sortie. Le contrat ne suffit pas si le paramétrage du compte autorise encore la réutilisation, la conservation excessive ou des accès trop larges.

Tester les fonctions annoncées avec des données fictives

Créez un cas test sans donnée réelle. Vérifiez l’invitation, la connexion, l’expiration, la révocation, le téléchargement, le changement d’adresse, la suppression, le journal et l’export. Contrôlez le comportement sur ordinateur et mobile. Une option inscrite dans la documentation mais absente du forfait ou désactivée par défaut ne protège pas le flux réel.

Testez aussi l’échec : mauvais code, lien transféré, compte bloqué, patient sans accès, erreur de pièce jointe, collaborateur parti. Le résultat attendu doit être écrit. Le guide sur la réversibilité et l’export des données permet d’étendre ce contrôle à la sortie du fournisseur.

Aligner conservation, suppression et preuve utile

La boîte mail, le routeur SMS, le portail, le logiciel et les sauvegardes peuvent conserver des copies différentes. Dressez la carte de ces emplacements et assignez une durée justifiée à chacun. « Supprimé de l’interface » ne prouve pas que la donnée n’existe plus chez le prestataire ou dans une sauvegarde.

Conservez la preuve opérationnelle nécessaire — date, canal, destinataire, statut de remise ou de révocation — sans dupliquer indéfiniment tout le contenu dans plusieurs journaux. La politique de conservation doit rester cohérente avec le registre des traitements et la checklist RGPD du cabinet.

Installer une procédure avant envoi qui tient en pratique

Étape 1 — Classer et minimiser

Le modèle indique sa finalité et son niveau. Le rédacteur supprime le motif, les détails et les destinataires non nécessaires. Il vérifie l’objet, le nom du fichier et l’aperçu de notification. Si le contenu ne correspond plus au modèle — par exemple parce qu’une réponse clinique a été ajoutée — le message remonte d’un niveau et change de canal.

Étape 2 — Vérifier la destination et le document

Contrôlez l’adresse ou le numéro complet, pas seulement le nom affiché. Pour une première transmission sensible, un changement de coordonnée ou un représentant, appliquez la vérification prévue. Ouvrez la pièce finale et contrôlez toutes ses pages. Les envois groupés ou exceptionnellement sensibles peuvent exiger un second regard défini par la règle interne.

Étape 3 — Appliquer la protection prévue

Utilisez le portail, la messagerie qualifiée ou le chiffrement décidé. Activez expiration et révocation lorsque disponibles. Envoyez le secret par un autre canal fiable. Ne copiez pas un document vers un service personnel pour contourner une difficulté. Si l’outil attendu est indisponible, utilisez l’alternative écrite ou différez l’envoi.

Étape 4 — Tracer sans recopier inutilement

Conservez l’heure, le canal, la destination, le type de document et le statut utile. Enregistrez une révocation, un échec ou une correction. Évitez de recopier le message complet dans un fichier parallèle non protégé. La trace sert à comprendre l’action, traiter une demande et analyser un incident ; elle ne doit pas créer un nouveau dossier sauvage.

Étape 5 — Tester la règle avec des scénarios

Deux fois par an ou après un changement majeur, jouez quatre scénarios fictifs : numéro erroné, lien transféré, collaborateur parti, patient sans accès numérique. Mesurez si l’équipe sait arrêter l’envoi, révoquer, retrouver la trace et proposer une alternative. La fréquence semestrielle est une règle interne proposée, pas une obligation légale universelle.

Traiter les situations particulières sans automatisme

Patient mineur ou représentant

La qualité du demandeur, l’autorité exercée, l’âge, le contexte et la nature du document peuvent modifier l’accès et le canal. Ne déduisez pas automatiquement le droit de recevoir un document d’un même nom de famille ou d’un numéro déjà présent. Vérifiez les règles applicables au cas et documentez la qualité du représentant sans diffuser plus de données que nécessaire.

Cabinet partagé ou secrétariat

Un accueil commun ne rend pas tous les praticiens destinataires de tous les messages. Les boîtes, files d’attente et notifications doivent refléter les responsabilités réelles. Définissez qui peut lire un rappel, ouvrir une pièce, répondre, corriger une coordonnée et fermer un accès. Les comptes nominatifs et les journaux rendent la responsabilité visible.

Demande d’accès ou de copie

Une demande reçue par e-mail peut être valable, mais la réponse doit être transmise après une vérification proportionnée de l’identité et du périmètre. Ne demandez pas systématiquement une pièce d’identité complète si d’autres éléments suffisent. Préparez un canal de remise et une méthode de recherche qui évitent d’envoyer le dossier d’une autre personne.

Message clinique ou urgence perçue

La messagerie administrative ne doit pas être présentée comme un service d’urgence ou un canal de consultation différée si le cabinet ne l’organise pas ainsi. Expliquez les délais, les heures de lecture et les moyens appropriés en cas d’urgence. Ne fournissez pas de recommandation individualisée automatisée à partir d’un mot-clé reçu par SMS.

Réagir à une erreur d’envoi sans la minimiser

Révoquer, contenir et consigner

Si un lien ou un compte peut être révoqué, faites-le rapidement. Demandez au mauvais destinataire de supprimer le message ou restituer le document, sans considérer sa réponse comme la preuve unique d’absence de risque. Notez l’heure, la destination, les données concernées, les protections actives et les actions menées.

Une erreur de destinataire peut constituer une violation de données personnelles. Toutes les violations doivent être documentées ; la notification à la CNIL et l’information des personnes dépendent ensuite du niveau de risque et des critères applicables (CNIL, violations de données : règles à suivre). Le guide Incident de données : le plan des 72 premières heures porte la procédure de qualification et de décision ; elle n’est pas dupliquée ici.

Corriger le système, pas seulement le geste

Recherchez la cause : autocomplétion, homonymie, champ libre, modèle mal nommé, double-clic, fichier ancien, absence de révocation, liste visible ou accès excessif. Modifiez l’interface, le modèle ou le droit qui a permis l’erreur. Une sensibilisation générale sans changement du mécanisme laisse le même scénario se reproduire.

Contrôlez ensuite les autres envois utilisant le même modèle ou la même source. Une erreur unique peut révéler une série de pièces mal générées. Si la cause touche le logiciel, conservez les éléments utiles, contactez le prestataire par un canal sûr et évitez de transmettre à nouveau les données dans un ticket non protégé.

Déployer la politique de communication en trente jours

Jours 1 à 7 — Cartographier les messages réels

Listez les modèles, canaux, expéditeurs, destinataires, prestataires et copies. Classez chaque flux selon sa finalité et sa sensibilité. Repérez les transferts vers des comptes personnels, les réponses non lues, les liens sans expiration et les campagnes mélangées aux rappels. Ne cherchez pas encore à acheter un nouvel outil : rendez d’abord les flux visibles.

Jours 8 à 15 — Écrire la matrice et les modèles

Attribuez un canal autorisé, une alternative et une personne responsable à chaque catégorie. Réécrivez les objets et rappels pour minimiser le contenu. Ajoutez les limites de réponse et le chemin de vérification. Séparez les listes et preuves de prospection. Faites relire les modèles sur un écran verrouillé et avec des données fictives.

Jours 16 à 23 — Tester les protections et contrats

Activez la MFA, fermez les transferts personnels, vérifiez l’expiration et la révocation, relisez les contrats et le périmètre HDS lorsqu’il s’applique. Testez le portail avec un faux dossier. Vérifiez l’export des traces, la suppression et l’alerte d’incident. Pour la continuité des documents, reliez cette politique à celle des sauvegardes et restaurations.

Jours 24 à 30 — Former et faire un exercice

Chaque personne réalise les quatre contrôles sur trois scénarios. Jouez ensuite une mauvaise adresse, un patient sans portail et un lien transféré. Corrigez la règle si elle est trop complexe pour être suivie. Conservez le propriétaire, la date, les versions et la prochaine revue. Une procédure utilisable vaut mieux qu’une charte générale oubliée dans un dossier.

Checklist avant de valider le dispositif

• [ ] Chaque modèle possède une finalité, un niveau et un canal autorisé.
• [ ] Les objets, notifications et noms de fichiers ne révèlent pas de détail inutile.
• [ ] Les coordonnées sont relues, datées et modifiables par un processus fiable.
• [ ] Les changements sensibles et représentants font l’objet d’une vérification proportionnée.
• [ ] Les documents sensibles passent par un portail, une messagerie qualifiée ou une protection validée.
• [ ] Un secret de déchiffrement n’est jamais transmis avec le fichier.
• [ ] Les liens sensibles expirent et peuvent être révoqués lorsque le service le permet.
• [ ] Les boîtes et consoles sont protégées, mises à jour et limitées aux personnes autorisées.
• [ ] Les rôles, sous-traitants, pays, durées et incidents sont couverts par le contrat.
• [ ] Le périmètre HDS et l’éligibilité MSSanté sont vérifiés pour le cas réel, sans présomption.
• [ ] Les messages de service et la prospection utilisent des finalités et preuves distinctes.
• [ ] Les pixels ou suivis non nécessaires sont désactivés pour les messages de service.
• [ ] Une alternative existe pour la personne qui ne peut pas utiliser le canal numérique prévu.
• [ ] Toute erreur peut être révoquée, consignée et transmise à la procédure d’incident.
• [ ] La politique est testée avec des données fictives et revue après tout changement majeur.

Questions fréquentes sur les SMS, e-mails et documents patients

Peut-on envoyer un rappel de rendez-vous par SMS ?

Oui, un rappel minimal peut être envisagé si le cabinet a vérifié la finalité, le numéro, le prestataire, la conservation et le contenu. Retirez le motif et les détails sensibles, testez l’aperçu sur écran verrouillé et indiquez comment modifier le rendez-vous. Le SMS ne doit pas devenir un canal clinique par défaut.

Peut-on envoyer une facture par e-mail ordinaire ?

La réponse dépend du contenu de la facture, du contexte, du destinataire et des mesures du cabinet. Une facture nominative reste une donnée personnelle et peut révéler une relation avec le cabinet. Minimisez l’objet, vérifiez l’adresse et préférez un portail ou une protection complémentaire si le document ou le contexte le justifie.

L’accord du patient rend-il l’e-mail ordinaire sûr ?

Non. Sa préférence compte dans l’organisation, mais elle ne modifie pas les propriétés techniques du canal et ne dispense pas le cabinet d’une sécurité adaptée au risque. Expliquez les options, proposez une alternative et conservez la maîtrise de la mesure retenue.

Un PDF protégé par mot de passe suffit-il ?

Pas automatiquement. Il faut vérifier la méthode de chiffrement, la robustesse du secret, sa transmission séparée, la destination, l’appareil et la possibilité d’ouvrir le document. Un mot de passe faible placé dans le même e-mail ne constitue pas une séparation utile.

Tout ostéopathe peut-il ouvrir une boîte MSSanté ?

Ne le présumez pas. L’ANS renvoie à un guide d’éligibilité. Vérifiez le statut, l’enregistrement, l’opérateur et le type de boîte pour le professionnel concerné. Une disponibilité pour un acteur ne démontre pas celle de tous les ostéopathes ou destinataires.

Faut-il conserver tous les e-mails dans le dossier ?

Non par automatisme. Définissez quelles informations doivent rejoindre le dossier, quelle preuve de transmission est nécessaire et quelles copies doivent disparaître. Évitez de multiplier des archives complètes dans la boîte, le logiciel, un export et un stockage personnel.

Une suppression confirmée par le mauvais destinataire clôt-elle l’incident ?

Elle réduit parfois le risque, mais ne suffit pas à elle seule. Consignez les faits, évaluez la nature des données, les protections, le destinataire et les conséquences possibles, puis appliquez la procédure de violation. Corrigez aussi la cause technique ou organisationnelle.

Limites, date de contrôle et prochaine revue

Ce guide propose une méthode générale pour les cabinets d’ostéopathie en France. Il ne détermine pas l’éligibilité individuelle à MSSanté, le champ HDS d’un montage précis, la base juridique d’une campagne particulière ni la réponse à une demande complexe de représentant. Ces points doivent être qualifiés avec le DPO, le conseil, l’éditeur ou l’autorité compétente selon le cas.

Sources contrôlées le : 29 août 2026. Prochaine revue prévue : 29 novembre 2026, ou plus tôt en cas de nouvelle recommandation CNIL sur la messagerie, d’évolution MSSanté/HDS, de changement de prestataire ou d’incident révélant une limite du dispositif.

Sources officielles

• Union européenne — Règlement (UE) 2016/679, notamment articles 5, 9, 28, 32, 33 et 34, texte consulté le 29 août 2026.
• CNIL — Qu’est-ce qu’une donnée de santé ?, consulté le 29 août 2026.
• CNIL — Données de santé, messagerie électronique et fax, consulté le 29 août 2026.
• CNIL — Sécuriser les échanges avec l’extérieur, fiche du 14 mars 2024, consultée le 29 août 2026.
• CNIL — Gérer la sous-traitance, fiche du 14 mars 2024, consultée le 29 août 2026.
• CNIL — Sécurité des données : les règles essentielles, mise à jour du 19 juin 2026, consultée le 29 août 2026.
• CNIL — Communications par voie électronique aux prospects et clients, 10 juin 2026, consulté le 29 août 2026.
• CNIL — Prospection commerciale par e-mail et SMS, 10 juin 2026, consulté le 29 août 2026.
• CNIL — Violations de données personnelles : les règles à suivre, consulté le 29 août 2026.
• Agence du Numérique en Santé — Qu’est-ce que MSSanté et suis-je concerné ?, consulté le 29 août 2026.
• Agence du Numérique en Santé — Certification HDS, version consultée le 29 août 2026.
• Agence du Numérique en Santé — Doctrine du numérique en santé : règles de sécurité, calendrier HDS v2 consulté le 29 août 2026.
• Agence du Numérique en Santé — Référentiel HDS v2.1 : les évolutions à anticiper dès maintenant, 15 juillet 2026, consulté le 29 août 2026.

À lire ensuite

• RGPD au cabinet : la checklist de départ
• Choisir un logiciel de cabinet : sécurité, usages et réversibilité
• Droits d’accès : cinq tests pour chaque profil
• Incident de données : le plan des 72 premières heures

Commencez par les dix messages les plus fréquents du cabinet. Pour chacun, écrivez la finalité, le contenu minimal, le canal autorisé, l’alternative et le contrôle avant envoi. Cette petite matrice transforme une habitude diffuse en décision vérifiable.