RGPD au cabinet d’ostéopathie : la checklist de départ en 30 contrôles

Le risque n’est pas d’oublier un modèle d’affiche : c’est de ne pas savoir pourquoi chaque donnée existe, qui peut la lire, combien de temps elle reste et quoi faire le jour où elle fuit. Le RGPD au cabinet d’ostéopathie commence donc par des décisions documentées, pas par l’achat d’un label ou la copie d’une politique de confidentialité.

Un nom dans un agenda, un motif de rendez-vous, une observation fonctionnelle, une facture, une adresse IP ou un échange de courriel peuvent appartenir à des traitements différents. Dès qu’une information révèle l’état physique ou mental d’une personne, elle peut constituer une donnée de santé au sens large du RGPD, indépendamment du logiciel, du support papier ou de la qualité professionnelle de celui qui la détient.

Cette checklist organise trente contrôles de départ. Chaque contrôle produit une preuve vérifiable : une fiche de registre, une décision de base juridique, un contrat, un test de restauration ou un journal d’incident. L’objectif n’est pas de déclarer le cabinet « conforme » en trente cases, mais de rendre les risques, les choix et les actions contrôlables.

Périmètre au 29 août 2026 : ce guide vise l’organisation courante d’un cabinet d’ostéopathie en France. Il ne tranche pas la base juridique ni la condition de l’article 9 pour un cabinet particulier. Un ostéopathe exclusif ne doit pas reprendre automatiquement les raisonnements publiés pour les professionnels de santé. Faites valider les traitements de données de santé, les durées litigieuses, les transferts, l’AIPD et les usages secondaires par un juriste ou un DPO compétent.

En bref : ce que les trente contrôles doivent produire

• un inventaire des traitements réels, numériques comme papier ;
• une finalité, une base de l’article 6 et, pour les données de santé, une condition distincte de l’article 9 ;
• une information remise avant ou au moment de la collecte ;
• un canal testé pour répondre aux droits dans les délais ;
• des contrats et des preuves pour les logiciels, plateformes, hébergeurs et autres prestataires ;
• des accès nominatifs, des sauvegardes restaurables et des durées appliquées ;
• un registre des violations et une procédure capable d’agir sans attendre la soixante-douzième heure ;
• une décision documentée sur l’AIPD, le DPO et la prochaine revue.

Utiliser la checklist sans fabriquer une conformité automatique

Le cabinet reste responsable de ses choix

Le praticien qui décide pourquoi et comment les données sont utilisées agit généralement comme responsable du traitement pour les opérations de son cabinet. Le logiciel de rendez-vous ou de dossier peut être sous-traitant lorsqu’il traite les données pour son compte. Le contrat n’efface pas la responsabilité du cabinet : il organise les instructions, les garanties, l’assistance et la preuve.

Une case n’est donc cochée que si un élément peut être montré. « Sécurité faite » ne vaut pas preuve. « Comptes nominatifs revus le 29 août, MFA activée pour trois comptes et départ du remplaçant testé » décrit un état contrôlable. La logique d’accountability consiste précisément à être capable de démontrer les décisions et leur application.

Le papier, les courriels et les outils périphériques comptent aussi

Le RGPD ne se limite pas au logiciel principal. Un classeur structuré par patient, un agenda papier, un tableur, une boîte mail, un smartphone, un formulaire du site ou un service de SMS peuvent contenir des données personnelles. La CNIL rappelle que ses règles couvrent les traitements informatiques et les fichiers papier organisés.

Commencez par les activités : prendre rendez-vous, suivre la personne, facturer, répondre à une demande, gérer un remplaçant, communiquer ou mesurer l’audience du site. Associez ensuite chaque activité à ses supports. Cette séquence évite qu’un outil oublié échappe au registre.

Le mot « santé » ne règle pas la base juridique

Les notes prises dans un cabinet peuvent être des données de santé même si le praticien n’est pas professionnel de santé au sens du Code de la santé publique. La qualification de la donnée et le statut du professionnel sont deux questions différentes. La définition européenne de la donnée de santé est large ; elle couvre notamment les informations révélant l’état physique ou mental, les antécédents, un handicap ou un traitement.

Pour une finalité portant sur ces données, il faut identifier une base de licéité de l’article 6 et une condition permettant de lever l’interdiction de principe de l’article 9. L’article 44 de la loi Informatique et Libertés vise certains traitements nécessaires aux soins lorsqu’ils sont mis en œuvre par un membre d’une profession de santé ou par une autre personne soumise, en raison de ses fonctions, à une obligation de secret professionnel pénalement sanctionnée. Son application à l’ostéopathe exclusif ne doit pas être présumée : documentez le statut, le secret applicable, la finalité et l’analyse retenue.

Contrôles 1 à 5 — cartographier la réalité du cabinet

Contrôles 1 à 3 — nommer, inventorier et classer

• Contrôle 1 — Nommer le responsable de chaque traitement. Inscrivez l’identité de la personne ou de la structure qui décide de la finalité et des moyens essentiels. Dans un cabinet partagé, ne concluez pas trop vite à une responsabilité commune : documentez qui décide pour l’agenda, le dossier, la facturation, le site et les outils mutualisés.
• Contrôle 2 — Inventorier les activités avant les logiciels. Recensez au minimum rendez-vous, dossier de suivi, facturation, comptabilité, rappels, courriels, gestion des accès, site, formulaires, prospection éventuelle et vidéosurveillance si elle existe. Ajoutez les traitements occasionnels dès qu’ils portent sur des données sensibles ou présentent un risque.
• Contrôle 3 — Qualifier les catégories de données. Séparez identité, coordonnées, informations administratives, facturation, données de connexion et données de santé. Un motif libre dans un agenda peut transformer un simple planning en traitement de données sensibles.

Le registre de l’article 30 sert à recenser les parties prenantes, les finalités, les catégories de données, les destinataires, les durées et les mesures de sécurité. La dérogation visant certains organismes de moins de 250 salariés est étroite : les traitements non occasionnels et ceux portant sur des données sensibles restent à inscrire. Une activité patient régulière ne disparaît donc pas du registre parce que le cabinet est petit (CNIL — registre des activités de traitement).

Contrôles 4 et 5 — localiser les accès et les flux

• Contrôle 4 — Cartographier les supports et les accès. Pour chaque traitement, notez où se trouvent les données : armoire, ordinateur, téléphone, serveur, espace cloud, sauvegarde, messagerie et prestataire. Listez les rôles qui lisent, modifient, exportent ou suppriment, pas seulement les personnes qui se connectent chaque jour.
• Contrôle 5 — Identifier destinataires et transferts. Relevez les transmissions au comptable, au support, à l’éditeur, au routeur SMS ou à un autre professionnel. Vérifiez les lieux de traitement et les transferts hors Espace économique européen ; la nationalité commerciale du fournisseur ne suffit pas à déterminer le lieu effectif.

Le livrable de ce bloc est une carte simple reliant activité, données, support, accès, destinataire et pays. Elle doit inclure les exports manuels et les pièces jointes. Une donnée correctement protégée dans le logiciel peut être exposée dès qu’elle est copiée dans une messagerie ou un tableur local.

Contrôles 6 à 10 — justifier chaque traitement et chaque donnée

Contrôles 6 et 7 — écrire la finalité puis réduire la collecte

• Contrôle 6 — Écrire une finalité précise. « Gestion du cabinet » est trop large. Distinguez organiser les rendez-vous, documenter le suivi, émettre les factures, répondre aux droits, sécuriser les accès ou envoyer une information commerciale. Une nouvelle utilisation exige une nouvelle analyse de compatibilité ou une nouvelle finalité.
• Contrôle 7 — Tester la nécessité de chaque champ. Pour chaque information, demandez quelle décision elle permet et ce qui se passe si elle n’est pas collectée. Supprimez les champs de curiosité, les zones libres sans usage défini et les copies de documents qui ne sont plus nécessaires.

La minimisation ne signifie pas collecter le moins possible au hasard. Elle exige des données adéquates, pertinentes et limitées à ce qui est nécessaire pour l’objectif annoncé. Un champ peut être nécessaire au suivi et inutile à une newsletter ; la même information change donc de justification selon la finalité.

Contrôle 8 — choisir la base de l’article 6 par finalité

• Contrôle 8 — Attribuer une base légale de l’article 6. Examinez, selon la finalité, le contrat ou les mesures précontractuelles, l’obligation légale, l’intérêt légitime, le consentement ou une autre base disponible. Conservez la raison du choix et les conséquences sur les droits.

Il n’existe pas de hiérarchie permettant de choisir la base la plus confortable. La base doit correspondre à la réalité. Le consentement n’est pas une décoration ajoutée à un traitement déjà imposé : lorsqu’il fonde le traitement, il doit pouvoir être refusé ou retiré dans les conditions prévues, sans que le cabinet conserve artificiellement le même usage sous un autre fondement (CNIL — choisir une base légale).

Contrôle 9 — documenter séparément la condition de l’article 9

• Contrôle 9 — Associer une condition de l’article 9 à chaque finalité de santé. Notez la condition invoquée, son texte, les garanties et la validation juridique. Ne déduisez pas cette condition de la seule base de l’article 6 et ne recopiez pas automatiquement l’exception relative aux soins publiée pour les professionnels de santé.

Le consentement explicite peut être une condition de l’article 9 dans certaines configurations, mais il n’est ni automatiquement nécessaire ni automatiquement approprié. L’exception relative à la prise en charge sanitaire exige elle aussi une analyse du cadre applicable. L’article 44 de la loi Informatique et Libertés doit être lu avec le statut du praticien et l’obligation de secret réellement opposable (Légifrance — loi Informatique et Libertés, article 44).

Contrôle 10 — conserver la décision et ses limites

• Contrôle 10 — Rédiger une fiche de décision juridique. Pour chaque traitement sensible, consignez finalité, données, article 6, article 9, texte national éventuel, droits applicables, durée, responsable de validation et date de prochaine revue. Notez aussi ce que l’analyse ne permet pas : recherche, communication commerciale ou partage ne sont pas couverts par défaut.

Ce document n’a pas besoin d’être long. Il doit permettre, six mois plus tard, de comprendre pourquoi la solution a été retenue et quel événement impose une nouvelle analyse. Un changement de logiciel, de type de données, de destinataire ou de finalité est un déclencheur évident.

Contrôles 11 à 15 — informer les personnes et rendre les droits praticables

Contrôles 11 et 12 — informer au bon moment et en deux niveaux

• Contrôle 11 — Placer l’information avant ou au moment de la collecte. Le formulaire de rendez-vous, le téléphone, le dossier initial et le site doivent orienter vers l’information pertinente. Une affiche visible après la collecte en ligne ne suffit pas pour cette collecte.
• Contrôle 12 — Construire deux niveaux cohérents. Le premier niveau nomme le responsable, les principales finalités et les droits, avec un accès immédiat à la notice complète. Le second précise bases, catégories, destinataires, durées ou critères, transferts, caractère obligatoire des champs, réclamation à la CNIL et modalités d’exercice.

L’information doit être concise, transparente, compréhensible et accessible. Deux niveaux évitent une mention illisible tout en maintenant les informations requises. Vérifiez chaque support : une notice web complète ne corrige pas un formulaire papier qui ne donne aucun moyen d’y accéder.

Contrôles 13 à 15 — tester le canal, le délai et les limites

• Contrôle 13 — Créer un canal unique pour les droits. Définissez une adresse, un formulaire ou une procédure de réception. Attribuez un responsable et une solution de remplacement pendant les congés.
• Contrôle 14 — Tester l’identification proportionnée. Ne demandez pas automatiquement une copie de pièce d’identité. Utilisez les informations déjà connues lorsque cela suffit ; ne demandez un justificatif supplémentaire qu’en cas de doute raisonnable et proportionné au risque.
• Contrôle 15 — Journaliser la réponse et son fondement. Enregistrez date de réception, identité vérifiée, droit demandé, systèmes consultés, décision, date de réponse et éventuelle prolongation. Le délai de principe est d’un mois ; une extension est possible pour des demandes complexes ou nombreuses, avec information dans le premier mois.

Accès, rectification, effacement, limitation, opposition et portabilité ne s’appliquent pas tous de façon identique. L’effacement n’est pas absolu lorsque des données doivent être conservées pour une obligation ou la défense de droits. La portabilité dépend notamment de la base et d’un traitement automatisé. Une procédure utile contient donc un arbre de décision, pas un bouton « tout supprimer ».

Contrôles 16 à 20 — encadrer logiciels, plateformes et autres prestataires

Contrôles 16 et 17 — qualifier les rôles et les garanties

• Contrôle 16 — Qualifier le rôle de chaque prestataire. Distinguez sous-traitant, responsable distinct et éventuelle responsabilité conjointe. Le vocabulaire commercial du contrat n’est pas décisif si le fournisseur réutilise les données pour ses propres finalités.
• Contrôle 17 — Vérifier les garanties réelles. Demandez mesures de sécurité, certifications pertinentes, lieux de traitement, sous-traitants ultérieurs, historique d’incidents, procédures de sauvegarde, délais de notification et modalités d’audit.

La mention « conforme RGPD » ne prouve ni le paramétrage de votre compte ni la licéité de vos finalités. La certification HDS, lorsqu’elle est requise dans le champ de l’hébergement de données de santé, concerne le service et le périmètre certifiés. Elle ne valide ni l’information, ni les bases juridiques, ni les habilitations du cabinet. Le guide sur l’hébergement HDS permet d’examiner ce point séparément.

Contrôles 18 et 19 — faire du contrat un outil opérationnel

• Contrôle 18 — Vérifier les clauses de l’article 28. Le contrat doit encadrer objet, durée, nature, finalité, types de données, catégories de personnes, instructions, confidentialité, sécurité, sous-traitance ultérieure, assistance, sort des données et audit.
• Contrôle 19 — Fixer un délai d’alerte compatible avec vos 72 heures. Le sous-traitant doit informer le responsable dans les meilleurs délais lorsqu’il découvre une violation. Demandez qui contacte qui, par quel canal, avec quelles informations initiales et quels compléments.

Le responsable de traitement reste maître de la décision de notifier. Un prestataire peut l’assister ou agir en son nom si cela est organisé, mais le cabinet doit pouvoir recevoir l’alerte, qualifier le risque et documenter sa décision même un week-end (CNIL — gérer la sous-traitance).

Contrôle 20 — préparer la sortie avant de signer

• Contrôle 20 — Tester export, réversibilité et suppression. Vérifiez formats, pièces jointes, journalisation, coût, délai, assistance, suppression des copies et traitement des sauvegardes en fin de contrat. Faites un export d’essai avant d’avoir besoin de partir.

Un export illisible ou incomplet rend la continuité et les droits difficiles. Le guide pour choisir un logiciel de cabinet approfondit sécurité, réversibilité et usages sans remplacer l’analyse RGPD du traitement.

Contrôles 21 à 25 — sécuriser les accès, restaurer et limiter la conservation

Contrôles 21 et 22 — comptes nominatifs et moindre privilège

• Contrôle 21 — Supprimer les comptes partagés. Attribuez un compte nominatif à chaque praticien, secrétaire, remplaçant ou prestataire qui doit accéder au système. Activez l’authentification multifacteur lorsque le service la propose et protégez les comptes d’administration séparément.
• Contrôle 22 — Limiter puis revoir les habilitations. Donnez seulement les droits nécessaires à la mission, fixez une date de fin aux accès temporaires et retirez-les immédiatement au départ. Documentez une revue périodique et une revue déclenchée par chaque arrivée, départ ou changement de rôle.

Une secrétaire qui organise les rendez-vous n’a pas automatiquement besoin de lire toutes les notes de suivi. Un support technique n’a pas besoin d’un accès permanent. Les fonctions et journaux utiles sont détaillés dans le guide sur les comptes et habilitations.

Contrôles 23 et 24 — protéger les postes et prouver la restauration

• Contrôle 23 — Appliquer un socle de sécurité proportionné. Verrouillage automatique, mises à jour, chiffrement des équipements mobiles, protections maintenues, réseau maîtrisé et séparation des usages personnels réduisent les scénarios ordinaires. Protégez aussi les armoires et la destruction du papier.
• Contrôle 24 — Tester une restauration de sauvegarde. Définissez ce qui est sauvegardé, à quelle fréquence, où se trouve la copie, qui peut restaurer et combien de temps l’opération prend. Effectuez un test sur un échantillon et consignez date, résultat, lacunes et correction.

La sécurité de l’article 32 est fondée sur le risque ; elle n’est pas réduite à une liste universelle. Une sauvegarde connectée en permanence peut être chiffrée avec le poste compromis. Une copie hors ligne ou isolée, des identifiants distincts et un test réel apportent des preuves plus fortes. Le guide sur les sauvegardes et la restauration développe la procédure.

Contrôle 25 — appliquer une politique de durée par catégorie

• Contrôle 25 — Séparer base active, archivage et suppression. Pour dossier, rendez-vous, facture, prospect, journal et sauvegarde, indiquez durée active, motif d’archivage, accès restreints et règle de suppression. Paramétrez ou planifiez l’exécution ; une durée écrite mais jamais appliquée ne réduit rien.

La CNIL rappelle en 2026 que les données ne peuvent pas être conservées indéfiniment et que la durée dépend de la finalité, d’une obligation applicable ou d’un besoin justifié. Le repère de vingt ans publié dans certains cadres médicaux ne doit pas être transformé en obligation universelle de l’ostéopathe exclusif. Faites analyser les textes, les délais de recours et les exigences de l’assureur, puis documentez le choix (CNIL — durées de conservation).

Deux repères officiels montrent pourquoi une seule durée ne convient pas à tout le cabinet :

Catégorie	Repère documenté et limite d’usage
Factures et pièces comptables	Dix ans à compter de la clôture de l’exercice. Ce délai comptable ne détermine pas la durée du dossier de suivi.
Données de prospects utilisées pour la prospection	Trois ans depuis la collecte ou le dernier contact émanant du prospect. Ce repère CNIL ne s’étend pas aux données de santé ni à toutes les données du cabinet.

Reliez chaque durée à sa source, à son point de départ et à son action de fin. Le délai comptable est prévu par l’article L. 123-22 du Code de commerce et son point de départ est détaillé dans la fiche officielle Service-Public Entreprendre sur la conservation des documents. Le repère de prospection est expliqué par la CNIL dans son référentiel de gestion commerciale. Pour les autres catégories, une durée doit être justifiée séparément, puis réellement appliquée aux bases actives, archives, exports et sauvegardes.

Contrôles 26 à 30 — préparer l’incident, l’AIPD et le pilotage

Contrôles 26 et 27 — détecter et qualifier une violation

• Contrôle 26 — Ouvrir un registre de toutes les violations. Perte, accès indu, destruction, altération ou divulgation doivent être documentés, même lorsque la notification n’est pas requise. Notez heure de découverte, données, personnes, conséquences, mesures et décision.
• Contrôle 27 — Tester la chaîne des 72 heures. Définissez le décideur, son suppléant, les contacts techniques et juridiques, le formulaire CNIL et le canal d’information des personnes. Une violation présentant un risque doit être notifiée à la CNIL dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance ; un risque élevé peut imposer d’informer aussi les personnes.

Toutes les violations ne sont pas notifiées, mais toutes sont documentées. N’attendez pas le rapport technique complet si le risque justifie une notification : la CNIL permet une notification initiale puis un complément. Préservez les preuves, réduisez l’exposition et séparez la résolution technique de la décision réglementaire (CNIL — gérer incidents et violations).

Contrôles 28 et 29 — décider si une AIPD ou un DPO est nécessaire

• Contrôle 28 — Documenter le test d’AIPD. Une analyse d’impact est requise lorsqu’un traitement est susceptible d’engendrer un risque élevé. Examinez volume, sensibilité, échelle, surveillance, croisements, personnes vulnérables, innovation et conséquences. Si vous concluez qu’elle n’est pas nécessaire, conservez le raisonnement et ses hypothèses.
• Contrôle 29 — Documenter le test de désignation d’un DPO. Vérifiez notamment si les activités de base impliquent un suivi régulier et systématique à grande échelle ou un traitement à grande échelle de données sensibles. Un cabinet individuel n’est pas automatiquement dispensé, et un réseau ou un système partagé ne doit pas être analysé comme une somme de petits cabinets isolés.

Le DPO peut aussi être désigné volontairement ou mutualisé, à condition de préserver ses missions, ses moyens et son indépendance. Ne confondez pas « avoir un contact RGPD » et satisfaire aux exigences d’une désignation obligatoire. Une AIPD et un DPO répondent à deux questions différentes.

Contrôle 30 — dater la revue et les déclencheurs

• Contrôle 30 — Tenir un journal de conformité. Fixez propriétaire, action, preuve, échéance et état. Programmez une revue générale et des revues déclenchées : nouveau logiciel, nouvelle finalité, collecte plus large, incident, changement de prestataire, transfert, mutualisation ou évolution juridique.

La conformité n’est pas une photographie. Un registre exact le jour de sa création devient faux si le cabinet ajoute un formulaire, un outil d’IA ou une messagerie sans l’y inscrire. Le journal transforme chaque changement en question : que collecte-t-on, pourquoi, avec quelle base, qui y accède, combien de temps et quelle nouvelle preuve faut-il produire ?

Une réutilisation ultérieure de dossiers pour de la recherche, des statistiques, une évaluation ou un outil d’intelligence artificielle doit être requalifiée avant tout transfert ou entraînement. La pseudonymisation réduit certains risques, mais elle ne transforme pas automatiquement les informations en données anonymes. Vérifiez alors la compatibilité de la nouvelle finalité, les bases des articles 6 et 9, les destinataires, l’AIPD et les éventuelles formalités françaises applicables aux traitements de santé (CNIL — formalités relatives aux données de santé).

Répartir la checklist entre les sept premiers jours et le premier mois

Jours 1 à 7 — réduire l’exposition immédiate

Commencez par les contrôles qui rendent la situation visible et ferment les accès inutiles : responsable, inventaire, catégories sensibles, supports, destinataires, comptes partagés, départs, sauvegarde et chaîne d’incident. Si une exposition est découverte, corrigez-la sans attendre la fin du registre.

Créez les premières fiches pour le rendez-vous, le dossier de suivi et la facturation. Placez une information de premier niveau là où les données sont collectées. Identifiez les traitements de santé dont l’article 9 n’a jamais été analysé et faites-les remonter comme décision juridique prioritaire.

Jours 8 à 30 — consolider les décisions et les preuves

Validez les bases, finalisez la notice, testez les droits, relisez les contrats, vérifiez les transferts, définissez les durées et réalisez une restauration. Terminez par les tests AIPD et DPO, puis datez la prochaine revue. Les points non tranchés doivent rester visibles avec un responsable et une échéance, pas disparaître sous une case verte.

Période	Preuve minimale attendue
Jour 1	Responsable nommé et liste des outils/supports ouverte
Jour 3	Activités, données sensibles, accès et destinataires cartographiés
Jour 7	Accès urgents corrigés, sauvegarde localisée, chaîne incident écrite
Jour 14	Bases article 6/article 9 et notices soumises à validation
Jour 21	Contrats, transferts, droits et restauration testés
Jour 30	Durées, AIPD, DPO, journal et prochaine revue documentés

Construire les premières fiches de registre sans tout mélanger

Commencer par trois traitements, pas par une fiche « patients »

Une seule fiche « gestion des patients » masque des finalités et des règles différentes. Le rendez-vous gère une relation et une capacité ; le dossier de suivi traite potentiellement des données de santé ; la facturation répond à des objectifs administratifs et à des obligations propres. Ils peuvent partager des données, mais ne doivent pas être justifiés par une phrase unique.

Traitement	Questions décisives
Prise de rendez-vous	Quels champs sont indispensables ? Un motif libre est-il nécessaire ? Qui reçoit les rappels et journaux ?
Dossier de suivi	Quelles données de santé sont nécessaires ? Quelle articulation articles 6 et 9 ? Quels accès et quelle durée ?
Facturation	Quelles données répondent à la finalité comptable ? Quelle obligation de conservation ? Que reçoit le comptable ?

Ajouter ensuite site, communication et canaux

Un formulaire de contact, une newsletter, des statistiques d’audience et une prise de rendez-vous en ligne ne suivent pas automatiquement la même base. Les traceurs strictement nécessaires peuvent être exemptés de consentement ; certaines mesures d’audience ne le sont que sous conditions. Les traceurs publicitaires ou sociaux appellent une analyse et, le cas échéant, un consentement préalable valable.

Une messagerie ou un SMS pratique ne devient pas confidentiel parce qu’il est commode. Définissez les informations qui peuvent transiter par chaque canal, vérifiez le destinataire et réduisez le contenu sensible. Le guide sur les SMS, courriels et documents patients aide à choisir le canal selon le contenu.

Éviter les raccourcis qui donnent une fausse sécurité

« Je demande le consentement pour tout »

Cette formule évite l’analyse au lieu de la résoudre. Chaque finalité doit recevoir une base appropriée ; les données de santé demandent en plus une condition de l’article 9. Un consentement qui ne peut pas être refusé ou retiré réellement n’est pas une solution universelle. Séparez aussi le consentement explicite au traitement sensible d’une éventuelle preuve d’information ou d’un accord contractuel.

« Mon cabinet est trop petit pour avoir un registre ou un DPO »

La taille ne supprime pas le registre pour les traitements réguliers ou sensibles. À l’inverse, traiter des données de santé ne rend pas automatiquement le DPO obligatoire dans toute structure. Le bon raisonnement examine les critères de chaque obligation et conserve la conclusion. Un cabinet groupé, un réseau ou un fichier mutualisé peut changer l’échelle et le risque.

« Le logiciel est HDS et conforme RGPD »

HDS porte sur un champ d’hébergement et un périmètre certifié. Le RGPD couvre aussi finalités, bases, information, droits, contrats, transferts, durées, sécurité du poste et organisation du cabinet. Un excellent prestataire ne corrige pas un champ inutile, un compte partagé ou une newsletter sans base.

« Je garde tous les dossiers vingt ans »

Une durée empruntée à un référentiel destiné à un autre statut ne devient pas automatiquement applicable. Déterminez le texte ou la recommandation pertinente, la finalité active, l’archivage, l’accès restreint et la suppression. Faites valider le lien avec la responsabilité et l’assurance sans conserver toutes les données « au cas où ».

Questions fréquentes sur le RGPD d’un cabinet d’ostéopathie

Un ostéopathe seul doit-il tenir un registre ?

Les traitements réguliers de gestion et ceux portant sur des données sensibles entrent dans les cas à inscrire malgré la dérogation limitée des organismes de moins de 250 salariés. En pratique, le registre constitue le point de départ pour documenter rendez-vous, suivi, facturation, site et prestataires.

Un dossier papier est-il concerné ?

Oui lorsqu’il forme un fichier structuré permettant de retrouver les personnes selon des critères. Il faut contrôler collecte, accès, durée, sécurité physique, archivage et destruction, comme pour les supports numériques.

Quelle condition de l’article 9 choisir pour les notes de suivi ?

Une réponse générique serait risquée. Il faut analyser la finalité, le statut du praticien, l’obligation de secret applicable, l’article 44 de la loi Informatique et Libertés et les conditions du RGPD. L’exception utilisée par un professionnel de santé ne se transpose pas automatiquement à l’ostéopathe exclusif ; le consentement explicite n’est pas non plus un bouton par défaut.

Une affiche en salle d’attente suffit-elle ?

Non pour toutes les collectes. L’information doit être disponible au moment pertinent, notamment avant ou lors d’un formulaire en ligne ou d’un premier recueil. Une information en deux niveaux peut combiner mention courte et notice complète accessible.

Faut-il notifier chaque incident dans les 72 heures ?

Non. Toutes les violations sont documentées. Celles qui présentent un risque pour les droits et libertés doivent être notifiées à la CNIL dans les meilleurs délais et, si possible, sous 72 heures ; un risque élevé peut exiger une communication aux personnes. La décision et ses éléments doivent rester traçables.

Un DPO est-il obligatoire dans chaque cabinet ?

Non par principe. Vérifiez les critères de l’article 37, notamment le suivi régulier et systématique à grande échelle ou le traitement à grande échelle de données sensibles dans les activités de base. Documentez l’analyse ; une organisation mutualisée peut modifier la réponse.

Les trente contrôles rendent-ils le cabinet conforme ?

Ils structurent le départ et produisent des preuves. La conformité dépend de la justesse des bases, de l’application réelle, du risque, des textes sectoriels et de la mise à jour. Les cas sensibles ou ambigus doivent être validés par une personne compétente.

Limites, niveau de confiance et prochaine revue

Établi : application du RGPD aux traitements numériques et fichiers papier organisés, obligation de registre pour les traitements réguliers ou sensibles, double niveau article 6/article 9 pour les données de santé, information, contrats de sous-traitance, sécurité fondée sur le risque, documentation des violations et délai de notification applicable en cas de risque.

Dépendant du cabinet : base de chaque finalité, condition de l’article 9, durée du dossier, nécessité d’une AIPD, obligation de désigner un DPO, régime HDS, transferts et mesures de sécurité proportionnées.

Hors périmètre : dossier juridique individualisé, recherche en santé, entrepôt de données, télésanté, vidéosurveillance détaillée, droit du travail, fiscalité, secret professionnel et qualification pénale d’une situation particulière.

Prochaine revue éditoriale : 30 novembre 2026, ou plus tôt si la CNIL modifie ses référentiels santé, ses recommandations de sécurité ou cookies, si le cadre HDS évolue, ou si une décision précise l’application de l’article 44 aux activités visées.

Sources officielles contrôlées

• CNIL — Le registre des activités de traitement, page officielle consultée le 29 août 2026.
• CNIL — Qu’est-ce qu’une donnée de santé ?, page officielle consultée le 29 août 2026.
• CNIL — Les bases légales prévues par le RGPD, page officielle consultée le 29 août 2026.
• CNIL — RGPD, chapitre II, dont les articles 6 et 9, texte consulté le 29 août 2026.
• Légifrance — Loi Informatique et Libertés, article 44, version en vigueur consultée le 29 août 2026.
• CNIL — Sécurité : gérer la sous-traitance, page officielle consultée le 29 août 2026.
• CNIL — Les durées de conservation des données, mise à jour du 2 avril 2026.
• Légifrance — Code de commerce, article L. 123-22, version en vigueur consultée le 29 août 2026.
• Service-Public Entreprendre — Délais de conservation des documents des entreprises, fiche officielle consultée le 29 août 2026.
• CNIL — Référentiels relatifs à la gestion des activités commerciales, page officielle consultée le 29 août 2026.
• CNIL — Sécurité : gérer les incidents et violations, page officielle consultée le 29 août 2026.
• CNIL — Cookies et mesure d’audience, mise à jour du 4 juillet 2025.
• Agence du Numérique en Santé — référentiels HDS, page officielle consultée le 29 août 2026.
• CNIL — Quelles formalités pour les traitements de données de santé ?, page officielle consultée le 29 août 2026.

À lire ensuite

• Choisir un logiciel : sécurité, réversibilité et usages
• Comprendre ce que la certification HDS prouve
• Limiter les comptes, droits et habilitations
• Sauvegarder puis tester la restauration
• Préparer la réaction à une perte, un vol ou une intrusion

La bonne checklist RGPD ne demande pas seulement « est-ce fait ? ». Elle demande « quelle preuve le montre, quelle hypothèse la soutient et quel changement obligera à la revoir ? ». En trente contrôles, le cabinet peut passer d’un ensemble d’outils opaques à un système de décisions datées — sans confondre ce point de départ avec une conformité garantie.