Demande d’accès à un dossier : organiser la réception, la vérification et la réponse

« Je souhaite une copie de mon dossier » : cette phrase appelle une réponse organisée, même si elle arrive dans une boîte utilisée surtout pour les rendez-vous. Pour une demande d’accès relevant du RGPD, le règlement général sur la protection des données, commencez par noter sa réception, vérifier qui demande quoi, puis préparer une copie compréhensible et sa remise protégée.

Ce guide traite le droit d’accès aux données personnelles dans un cabinet d’ostéopathie en France. Il ne confond pas ce droit avec l’export technique d’un logiciel, ni avec les règles particulières d’accès au dossier médical. Les obligations doivent être appréciées selon le statut du praticien et les données concernées.

À réception, ouvrir une demande que l’on pourra suivre

Une fiche de suivi interne peut contenir la date de réception, le canal, l’identité déclarée, l’objet, la personne chargée de la réponse et la prochaine action. Conservez le message original dans un espace protégé. Évitez d’en recopier le contenu sensible dans une liste générale de tâches.

Distinguez une demande de document précis et une demande portant sur toutes les données. Si l’objet est ambigu, proposez une clarification simple. Ne demandez pas au patient de citer un article de loi ni de justifier pourquoi il souhaite accéder à ses informations. La méthode de la CNIL aide à traiter la demande et à vérifier les données de tiers.

Un accusé de réception permet d’annoncer l’interlocuteur et la prochaine étape. Il ne remplace pas la réponse de fond. Dans votre suivi, gardez ces deux étapes séparées pour ne pas clore une demande après un simple « bien reçu ».

Vérifier l’identité sans demander une pièce par défaut

Le risque est d’envoyer les données d’une personne à un homonyme ou à quelqu’un qui utilise son adresse. La vérification doit être proportionnée au contexte. La CNIL précise qu’une copie de pièce d’identité n’est pas systématique : des informations supplémentaires peuvent être demandées en cas de doute raisonnable.

Si un proche écrit, ne déduisez pas son autorisation du lien familial. Clarifiez s’il agit pour la personne et vérifiez le mandat adapté à la demande. Pour un mineur ou une mesure de protection, faites examiner les qualités du demandeur et les règles particulières avant de communiquer. Une adresse connue et la qualité pour recevoir le dossier sont deux questions différentes.

Choisir le cadre du délai avant d’inscrire une échéance

Pour le droit d’accès RGPD, l’article 12, paragraphe 3 prévoit une réponse dans les meilleurs délais, au plus tard dans un mois après réception. Deux mois supplémentaires sont possibles en raison de la complexité ou du nombre de demandes ; l’information motivée sur cette prolongation doit parvenir dans le premier mois. Ce report n’est pas une marge automatique.

Le droit français prévoit aussi un cadre particulier d’accès aux informations de santé à l’article L1111-7 du code de la santé publique. Son champ vise des détenteurs déterminés, dont les professionnels et établissements de santé. Le mot « dossier » ne suffit pas à établir l’application de ce régime à tout ostéopathe. Si vous exercez aussi une profession de santé, ou si le cadre applicable est incertain, faites-le vérifier dès la réception ; ne transposez pas mécaniquement son délai à toute demande.

Fixez une échéance interne plus rapprochée pour les recherches et la relecture. C’est un choix d’organisation, distinct du délai juridique, qui laisse le temps de corriger une pièce ou de confirmer un destinataire.

Préparer les données et les explications qui rendent la copie utile

Recherchez les informations concernées dans les emplacements réellement utilisés : logiciel, pièces jointes, archives papier organisées et messages pertinents. Le registre des traitements du cabinet aide à retrouver les usages et les outils. Ne vous limitez pas à l’écran le plus facile à exporter.

L’article 15 prévoit l’accès aux données et des informations sur leur usage : finalités, destinataires, conservation, droits et, selon le cas, provenance ou autres éléments prévus par le texte. Une liste de rubriques ne remplace pas les données demandées. La copie doit rester intelligible : expliquez les abréviations indispensables et gardez le contexte nécessaire.

La synthèse de jurisprudence de la CNIL rappelle que des extraits ou des documents entiers peuvent être nécessaires pour comprendre fidèlement les données. Relisez les mentions de tiers avant la remise : protégez leurs droits sans retirer ce qui est nécessaire à l’accès de la personne à ses propres données.

Contrôler la remise et garder une trace de la réponse

Avant l’envoi, ouvrez chaque fichier, comparez son contenu à la demande et confirmez le destinataire. Convenez d’un moyen utilisable et protégé. Pour des fichiers sensibles, la CNIL recommande notamment le chiffrement des échanges, avec le secret communiqué séparément. Une préférence pour le courriel ordinaire ne dispense pas le cabinet de protéger la transmission.

Un modèle de suivi peut distinguer : demande reçue, identité vérifiée ou précision nécessaire, recherche terminée, réponse relue, remise effectuée. Notez la date et le mode de réponse sans créer de nouvelles copies inutiles du dossier. Le droit d’accès ne commande pas de détruire l’original ; les règles de conservation relèvent d’une réflexion distincte.

La première copie est en principe gratuite. En cas de refus, l’article 12 impose notamment d’expliquer les motifs et les voies de réclamation et de recours. Une demande inhabituelle ou volumineuse ne doit donc pas être refusée par réflexe. Faites vérifier les restrictions envisagées et répondez aussi lorsqu’aucune donnée concernant la personne n’est détenue.

Sources officielles consultées le 16 octobre 2026. Prochaine revue : janvier 2027, ou dès évolution des textes. Cette méthode administrative ne remplace pas l’analyse juridique d’une demande complexe.