RGPD au cabinet d’ostéopathie : organiser la protection des données

Lorsqu’une personne prend rendez-vous, le cabinet recueille ses coordonnées. Pendant la consultation, l’ostéopathe peut noter des éléments utiles au suivi. Une facture est ensuite établie. Ces informations circulent dans une même activité, mais elles répondent à des besoins différents : c’est en partant de ces besoins que l’on comprend la protection des données.

Le RGPD, règlement général sur la protection des données, concerne les informations relatives à une personne identifiable, dans les logiciels comme dans les dossiers papier organisés. Nous allons voir comment traduire ses principes dans le fonctionnement d’un cabinet. Pour le patient, cette organisation rend plus clair ce qui est conservé et partagé ; pour le praticien, elle permet de savoir pourquoi chaque information est utilisée.

Reconstituer le parcours des informations

Le premier outil est le registre des traitements. Un traitement désigne une opération sur les données, comme les recueillir, les classer ou les transmettre. Le registre décrit ces usages, leurs destinataires, leur durée et leur protection.

Commencez par suivre le parcours d’un rendez-vous : formulaire éventuel, agenda, dossier, facturation. Vous repérerez les outils et les personnes qui interviennent. Décrivez ensuite des usages distincts pour le suivi, les rendez-vous, les recettes et la communication lorsqu’elle existe. Cette distinction facilite les décisions : un numéro utilisé pour un rappel ne devient pas automatiquement une adresse de prospection.

Les traitements réguliers et les données sensibles sont concernés même dans une petite structure. Le seuil de 250 salariés ne constitue pas une dispense générale ; les exceptions figurent à l’article 30 du RGPD. La méthode proposée par la CNIL, l’autorité française chargée de la protection des données, permet de commencer simplement.

Relier chaque collecte à une raison et à un fondement

Une fois le parcours décrit, demandez-vous ce qui est nécessaire à chaque étape. Une information peut être pertinente pour comprendre une consultation sans être utile à l’accueil. Cette démarche de limitation évite les formulaires où l’on demande tout « au cas où ».

Il faut également choisir une base juridique, autrement dit le fondement autorisant l’usage. L’article 6 du RGPD prévoit notamment le contrat, l’obligation légale et le consentement. Le choix dépend de l’usage et de ses conditions.

Les données de santé demandent une vérification supplémentaire : une condition de l’article 9 doit autoriser leur traitement. Le fondement retenu à l’article 6 ne suffit pas. L’exception liée aux soins comporte des conditions concernant le cadre et le secret professionnel ; son application à un ostéopathe exclusif demande une analyse adaptée à son statut.

En cas d’incertitude, faites vérifier cette condition plutôt que de recopier celle d’un médecin ou de recueillir un accord général. Même lorsqu’un consentement convient, les obligations de sécurité et d’information restent à respecter.

Donner au patient une explication qu’il peut retrouver

L’information doit permettre de comprendre qui utilise les données, pour quoi, sur quel fondement, avec quels destinataires et pendant quelle durée ou selon quels critères. Elle indique aussi les droits, le contact pour les exercer et le recours auprès de la CNIL.

Une affiche peut participer à cette information. Si le rendez-vous se prend en ligne, la personne doit également pouvoir recevoir les informations pertinentes au moment de cette collecte. Une présentation courte, reliée aux détails, aide à rendre le dispositif lisible.

Préparez ensuite le traitement d’une demande d’accès ou de correction. Le RGPD prévoit en principe une réponse sous un mois, avec une prolongation encadrée. Vérifiez l’identité de façon proportionnée et expliquez les suites. Les droits ont leurs conditions : un effacement peut être limité lorsqu’une obligation ou la défense d’un droit justifie encore certaines pièces.

Comprendre ce que l’entreprise fait pour votre cabinet

L’éditeur ou le prestataire peut agir comme sous-traitant, c’est-à-dire traiter les données pour votre compte. Le contrat doit alors répondre à l’article 28. Retrouvez les entreprises intervenantes, leurs accès, les lieux de traitement et les conditions de restitution ou de suppression en fin de contrat.

Cette lecture donne un contenu concret à une promesse commerciale de conformité. Pour l’hébergement de données de santé chez un tiers, le guide HDS explique les justificatifs à examiner. La sauvegarde, l’export et les droits d’accès restent aussi à vérifier.

Faire vivre les règles après leur rédaction

Le registre et les notices deviennent utiles lorsqu’ils correspondent aux habitudes : comptes individuels, appareils protégés, conservation organisée et procédure d’incident. Une nouvelle prestation ou un changement de logiciel doit entraîner une révision des informations concernées.

Certains projets demandent une AIPD, analyse d’impact sur la protection des données, lorsqu’ils sont susceptibles d’engendrer un risque élevé. La désignation d’un DPO, délégué à la protection des données, est obligatoire dans certains cas prévus par le règlement. Le traitement et sa portée, notamment la grande échelle dans certains cas, sont à examiner.

Un cabinet n’est pas soumis automatiquement à toutes ces obligations particulières. Consigner l’analyse permet toutefois de comprendre sa décision et de la revoir si le projet évolue. La protection devient ainsi une organisation vérifiable, proche du travail réel.

Sources officielles consultées le 3 octobre 2026. Cette démarche doit être adaptée au statut du praticien et aux traitements réels ; elle ne prétend pas à une validation juridique individuelle.