Conservation des dossiers patients : construire une politique justifiable

Il n’existe pas, dans les sources officielles examinées, une durée unique que tout ostéopathe pourrait recopier sans analyse. La bonne politique distingue le dossier actif, l’archive intermédiaire, les pièces comptables et la suppression. Chaque durée doit être reliée à une finalité, une obligation ou un risque contentieux justifié.

Validation requise avant publication — Faire valider la durée du dossier de suivi par un juriste ou DPO connaissant le statut des ostéopathes et par l’assureur RCP. Ne pas appliquer automatiquement la durée recommandée aux médecins.

En bref

• Le RGPD interdit de conserver des données personnelles indéfiniment « au cas où ».
• Une durée peut découler d’un texte, d’une recommandation sectorielle ou d’une analyse documentée du responsable de traitement.
• Le délai de responsabilité pour dommage corporel est de dix ans à compter de la consolidation du dommage, ce qui n’équivaut pas à « dix ans après chaque consultation ».
• Les référentiels CNIL des cabinets médicaux et paramédicaux visent les professionnels de santé libéraux ; ils constituent un repère utile mais ne doivent pas être transposés automatiquement à l’ostéopathie.

Partir des finalités et des catégories de documents

Un dossier peut servir à assurer la continuité du suivi, répondre à une demande de la personne, justifier une décision professionnelle ou gérer un litige. Une facture sert à la comptabilité. Un consentement marketing sert à démontrer une autorisation de prospection. Ces finalités n’ont ni les mêmes données ni les mêmes durées.

La CNIL recommande de distinguer la base active — utilisée pour la finalité courante — et l’archivage intermédiaire, où seules les données nécessaires à une obligation ou un contentieux restent accessibles à un nombre limité de personnes. À l’issue de la durée justifiée, les données sont supprimées ou anonymisées de manière irréversible (CNIL, durées de conservation).

Ne pas recopier « vingt ans » sans qualifier la source

La CNIL cite, pour les médecins libéraux, une conservation de vingt ans à compter de la dernière consultation sur recommandation du Conseil national de l’Ordre des médecins (CNIL, professionnels de santé libéraux). Cette référence vise les médecins et un ordre professionnel déterminé. Elle n’est pas, par elle-même, une obligation générale imposée à tous les ostéopathes.

Le référentiel CNIL relatif aux cabinets médicaux et paramédicaux s’adresse explicitement aux professionnels de santé exerçant à titre libéral et n’a pas de valeur contraignante. L’ostéopathe doit donc vérifier si et dans quelle mesure ses repères sont pertinents, en tenant compte de son cadre propre (CNIL, référentiel cabinets).

Comprendre le délai de responsabilité corporelle

L’article 2226 du code civil prévoit que l’action en responsabilité née d’un événement ayant entraîné un dommage corporel se prescrit par dix ans à compter de la consolidation du dommage initial ou aggravé (Légifrance, article 2226). Le point de départ n’est donc pas nécessairement la date de la consultation, et une aggravation peut affecter l’analyse.

Ce délai ne suffit pas à fixer mécaniquement toute la politique. Il faut identifier les documents nécessaires à la défense, la garantie subséquente de l’assurance, les situations impliquant des mineurs et les autres délais applicables. L’objectif n’est pas de tout garder, mais de conserver les éléments pertinents avec un accès restreint.

Construire un tableau de conservation

Créez une ligne pour chaque catégorie : identité et coordonnées, rendez-vous, dossier de suivi, correspondances, documents transmis, factures, incidents, consentements marketing, journaux d’accès et sauvegardes. Pour chacune, indiquez la finalité, la base juridique, la durée en actif, la durée en archive, le point de départ, les destinataires, le mode de suppression et la source.

Évitez une durée formulée « jusqu’à ce que le patient demande ». Le droit à l’effacement connaît des limites, mais il ne transforme pas la personne en gestionnaire de votre calendrier. À l’inverse, une politique interne ne permet pas de refuser automatiquement toute demande : il faut analyser le droit exercé et répondre dans les délais.

Gérer la fin de relation et la cessation du cabinet

Définissez l’événement qui clôt un dossier : dernière consultation, information de changement de praticien, décès connu ou cessation du cabinet. À cette date, les données nécessaires au suivi courant quittent la base active. L’archive intermédiaire doit être séparée logiquement, avec des habilitations plus strictes et sans réutilisation commerciale.

En cas de cession, les dossiers ne suivent pas automatiquement le prix de la patientèle. Il faut examiner l’information des personnes, la base de la transmission, les choix de continuité et la confidentialité. Le cédant doit aussi conserver ce qui reste nécessaire à ses propres obligations sans maintenir un accès opérationnel injustifié.

Sauvegardes, suppression et preuve

Supprimer une fiche dans l’interface ne prouve pas sa disparition des sauvegardes. Demandez à l’éditeur le cycle de rétention, le délai de purge et la procédure d’effacement. Les sauvegardes doivent rester protégées et ne pas servir à restaurer durablement des données arrivées à échéance, sauf nécessité technique temporaire documentée.

Conservez un journal des opérations de purge : périmètre, règle appliquée, date, volume et anomalie. Ce journal ne doit pas recopier les contenus supprimés. Testez chaque année un échantillon de suppression et la séparation entre base active et archive.

Checklist de politique justifiable

• [ ] Inventaire des catégories de données et documents.
• [ ] Finalité et base juridique associées à chaque catégorie.
• [ ] Durée active, archive et point de départ documentés.
• [ ] Repères médicaux identifiés comme tels, sans transposition automatique.
• [ ] Délais contentieux analysés avec l’assureur ou un juriste.
• [ ] Accès à l’archive limité et journalisé.
• [ ] Suppression automatique ou revue planifiée.
• [ ] Sauvegardes intégrées au cycle de purge.
• [ ] Notice d’information mise à jour avec les durées ou critères.
• [ ] Test annuel et historique des versions de la politique.

Limites

La durée adaptée dépend des faits, des mineurs, des incidents, des obligations comptables et du contrat d’assurance. Cet article propose une méthode, pas un nombre universel. Toute politique doit être revue lors d’un changement de logiciel, de structure ou de doctrine.

Suivi éditorial

Sources contrôlées le : 28 août 2026. Prochaine revue prévue : 28 février 2027.

Sources primaires

• CNIL — les durées de conservation des données
• CNIL — référentiel relatif aux cabinets médicaux et paramédicaux
• Légifrance — article 2226 du code civil

À lire ensuite

• RGPD au cabinet : checklist de départ
• Changer de logiciel sans perdre la maîtrise des données
• Sauvegarder et tester la restauration