Cabinet libéral : que devez-vous faire, et que pouvez-vous ignorer ?
Pour qui : Vous exercez en libéral : médecin, infirmière, kinésithérapeute, dentiste ou autre profession de santé. Un démarcheur, un confrère ou une formation vous parle du RGPD. Vous voulez savoir ce qui vous concerne vraiment, sans y passer vos soirées.
En exercice individuel, vous devez tenir un registre des traitements, informer vos patients, répondre à leurs demandes et encadrer les prestataires qui accèdent à vos données. Vous pouvez laisser de côté trois choses : l’analyse d’impact pour la prise en charge, la désignation d’un DPO et les formalités auprès de la CNIL pour les soins.
N’achetez pas de logiciel RGPD. Le référentiel de la CNIL n’est pas contraignant, mais il vous donne le cadre, et le registre lui reste obligatoire.
Notre avis
Pour un cabinet individuel, n’achetez pas de logiciel RGPD. Remplissez le registre à partir du modèle du guide CNIL, puis vérifiez votre logiciel patient. Vous pouvez laisser de côté l’analyse d’impact et le DPO tant que vous restez dans ce cadre.
Pourquoi
- La CNIL ne requiert pas d’analyse d’impact pour la prise en charge d’un patient par un professionnel de santé exerçant à titre individuel.
- Le guide de la CNIL et de l’Ordre des médecins écrit qu’un exercice individuel ne soumet pas à l’obligation de désigner un DPO.
- Le registre existe sous forme de modèle pré-rempli dans ce guide : votre travail consiste à l’adapter. Un logiciel de gouvernance n’ajouterait rien à ce volume, à notre avis.
- Le vrai risque de votre situation se trouve dans le logiciel patient, l’hébergement et les accès : un outil de registre ne les traite pas.
Ce qui change le choix
Vous partagez un système d’information en cabinet groupé et approchez 10 000 patients par an : la CNIL estime qu’une analyse d’impact et un DPO devraient être nécessaires. Une recherche ou un partenariat de données change aussi le cadre.
L’ordre à suivre
- Professionnel à titre individuel : registre à partir du guide CNIL, rien à acheter.
- Cabinet groupé à système d’information commun, sous le repère de 10 000 patients par an : même base, avec un point d’attention sur la grande échelle.
- Cabinet groupé à système commun à partir de 10 000 patients par an : analyse d’impact et DPO, selon l’estimation de la CNIL.
Votre liste de départ, en sept lignes
Pour la durée de conservation à inscrire au registre, le référentiel propose vingt ans à compter de la dernière prise en charge : cinq ans en base active à compter de la dernière intervention sur le dossier, puis quinze ans en archives sur un support distinct. Il s’agit d’un cadre de référence, valable pour la gestion du cabinet.
| À faire | Comment | Fréquence proposée |
|---|---|---|
| Registre des traitements | Partez du modèle pré-rempli de l’annexe 2 du guide CNIL et Ordre des médecins. Ajoutez dossiers patients, messagerie sécurisée, télémédecine si vous l’utilisez. | À chaque changement d’outil ou de prestataire. |
| Information des patients | Notice au cabinet : le guide donne un modèle en annexe 1. | Une fois, puis à chaque changement. |
| Demandes d’accès au dossier | Prévoyez qui répond : au plus tard huit jours après la demande et pas avant 48 heures, deux mois pour les informations de plus de cinq ans. | À chaque demande. |
| Contrat avec vos prestataires | Logiciel, maintenance, prise de rendez-vous : contrat conforme à l’article 28 du RGPD. | À chaque signature. |
| Hébergement du logiciel patient | Prestataire certifié HDS V2.0 pour les activités numériques concernées si le logiciel ou le stockage est externalisé ; voir notre page sur l’hébergement. | À la signature et au renouvellement. |
| Sécurité des accès | Un identifiant par personne, des mots de passe conformes aux recommandations de la CNIL, la carte de professionnel de santé ou un autre moyen à deux facteurs pour les données de santé, des sauvegardes régulières et les interventions de maintenance notées : voir la section sécurité du référentiel de la CNIL. | À l’installation, puis à chaque arrivée ou départ. |
| Incidents | Inscrivez-les dans un tableau ou dans le registre. Notifiez à la CNIL lorsqu’un risque l’exige. | À chaque incident. |
Ce que vous pouvez laisser de côté, et à quelle condition
Analyse d’impact : la liste de la CNIL exclut les traitements nécessaires à la prise en charge par un professionnel à titre individuel en cabinet, comme les rendez-vous, les dossiers médicaux et les ordonnances.
DPO, le délégué à la protection des données : le guide de 2018 écarte l’obligation en exercice individuel, et un considérant du RGPD ne traite pas comme grande échelle les données de patients d’un médecin seul.
Formalité auprès de la CNIL : aucune pour les soins par un membre d’une profession de santé ou une personne tenue au secret. Le traitement reste à inscrire au registre.
Ces dispenses tombent hors de la prise en charge : une étude interne à risque élevé demande une analyse d’impact, et une recherche relève de son propre cadre.
Le repère de 10 000 patients en cabinet groupé
La CNIL estime qu’une analyse d’impact et un DPO devraient être nécessaires pour des professionnels en cabinet groupé partageant un système d’information commun, à partir de 10 000 patients par an. Ce conditionnel figure dans un référentiel non contraignant : prenez-le comme un repère sérieux, sans y voir un seuil légal.
Exemple fictif : quatre kinésithérapeutes partagent un logiciel et voient chacun 2 800 patients par an, sans patient commun. Le total atteint 4 × 2 800 = 11 200 patients : le repère est dépassé. Le texte lu ne dit pas comment compter un patient vu par deux praticiens. Notre avis : comptez-le une fois et gardez la trace du calcul.
Selon le guide de 2018, l’exercice en réseau, en maison ou centre de santé, ou avec des dossiers partagés, peut aussi conduire à un DPO. Sous le repère chiffré, faites cette analyse par écrit.
Qui ne relève pas de cette page
Le référentiel exclut notamment les établissements et centres de santé, la médecine du travail ou scolaire, les pharmaciens, les laboratoires et les opticiens. Ces professions doivent consulter leur propre cadre, que nous n’avons pas lu ici.
Limites de cette page
Le guide de la CNIL et de l’Ordre date de juin 2018 et le référentiel n’est pas contraignant. Le comptage des 10 000 patients n’est pas défini dans le passage lu. Une structure en société ou un exercice mixte peuvent demander une analyse particulière, surtout près du repère : parlez-en alors à un conseil.
Prochaine action
Téléchargez le guide de la CNIL et de l’Ordre des médecins, adaptez le registre de son annexe 2 à vos outils, puis demandez à l’éditeur de votre logiciel patient la preuve de son hébergement. En cabinet groupé, comptez d’abord vos patients de l’année.
Preuves et sources
Lu le 5 novembre 2026 : le référentiel CNIL des cabinets médicaux et paramédicaux, sections 1, 2, 6, 7 et 11 ; la liste CNIL des traitements sans analyse d’impact requise (délibération du 12 septembre 2019) ; le guide CNIL et Ordre des médecins, édition de juin 2018 ; la page CNIL sur les formalités en santé, datée du 22 mai 2024. Lecture ciblée de la page ANS sur le calendrier de transition HDS V2.0 le 5 novembre 2026 pour la ligne sur l’hébergement numérique.
Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode
Fait lu. Le référentiel CNIL des cabinets médicaux et paramédicaux s’adresse aux professionnels de santé exerçant à titre libéral, indique que leurs traitements doivent être inscrits au registre de l’article 30 et précise qu’il n’a pas de valeur contraignante.
Portée : Sections 1 et 2.
Réserve : Date du référentiel non vue dans le PDF.
- CNIL : Référentiel relatif aux traitements de données à caractère personnel destinés à la gestion des cabinets médicaux et paramédicaux Délibération n° 2020-081 du 18 juin 2020 selon un extrait de recherche, numéro non vu dans le PDF. Lu le 5 novembre 2026. Document d’origine.
Fait lu. Le référentiel ne s’applique pas aux établissements de santé, centres de santé, communautés professionnelles territoriales de santé, services de médecine d’entités publiques ou privées, pharmaciens, laboratoires d’analyses de biologie médicale ou opticiens.
Portée : Section 1.
Réserve : Les cadres propres à ces professions ne sont pas lus ici.
- CNIL : Référentiel relatif aux traitements de données à caractère personnel destinés à la gestion des cabinets médicaux et paramédicaux Délibération n° 2020-081 du 18 juin 2020 selon un extrait de recherche, numéro non vu dans le PDF. Lu le 5 novembre 2026. Document d’origine.
Fait lu. La liste CNIL écarte l’analyse d’impact pour les traitements de santé nécessaires à la prise en charge d’un patient par un professionnel exerçant à titre individuel au sein d’un cabinet médical, d’une officine ou d’un laboratoire de biologie médicale.
Portée : Délibération du 12 septembre 2019.
Réserve : Limitée à la prise en charge. Ne vaut pas pour une recherche.
- CNIL : Liste des types d'opérations de traitement pour lesquelles une analyse d'impact relative à la protection des données n'est pas requise Délibération n° 2019-118 du 12 septembre 2019. Lu le 5 novembre 2026. Document d’origine.
- CNIL : Analyse d'impact relative à la protection des données : publication d'une liste des traitements pour lesquels une analyse n'est pas requise 09 octobre 2019. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Le guide de la CNIL et de l’Ordre des médecins écrit qu’en exercice individuel, le professionnel n’est pas soumis à l’obligation de désigner un DPO et que, s’il estime traiter des données à grande échelle, par exemple en réseau, maison ou centre de santé ou avec des dossiers partagés, il doit en désigner un.
Portée : Édition de juin 2018.
Réserve : Écrit pour les médecins, ancien.
- CNIL et Conseil national de l'Ordre des médecins : Guide pratique sur la protection des données personnelles Édition juin 2018. Lu le 5 novembre 2026. Document d’origine.
Fait lu. Le considérant du RGPD cité par les lignes directrices sur les DPO indique que le traitement de données de patients par un médecin individuel, un autre professionnel de la santé ou un avocat ne devrait pas être considéré comme à grande échelle.
Portée : Lignes directrices WP243, note 14, reprenant le considérant.
Réserve : Le groupe européen rappelle que ce considérant vise l’analyse d’impact et qu’une zone grise existe.
- G29 (archives Commission) : Guidelines on Data Protection Officers ('DPOs'), wp243rev.01 30 octobre 2017. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Selon la CNIL, aucune formalité auprès d’elle n’est requise pour un traitement nécessaire aux soins mis en œuvre par un membre d’une profession de santé ou une personne soumise au secret professionnel, mais le traitement reste à inscrire au registre.
Portée : Article 65 de la loi Informatique et Libertés, présenté par la page du 22 mai 2024.
Réserve : Autres finalités non couvertes par ce cas.
- CNIL : Quelles formalités pour les traitements de données de santé ? date non relevée. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. La CNIL estime qu’une analyse d’impact et la désignation d’un DPO devraient être nécessaires pour des professionnels de santé en cabinet groupé partageant un système d’information commun, à partir d’un seuil annuel de 10 000 patients.
Portée : Référentiel, section 11.
Réserve : Référentiel non contraignant, comptage non défini.
- CNIL : Référentiel relatif aux traitements de données à caractère personnel destinés à la gestion des cabinets médicaux et paramédicaux Délibération n° 2020-081 du 18 juin 2020 selon un extrait de recherche, numéro non vu dans le PDF. Lu le 5 novembre 2026. Document d’origine.
Fait lu. Le référentiel indique que les données enregistrées peuvent être conservées vingt ans à compter de la dernière prise en charge, soit cinq ans en base active à compter de la dernière intervention sur le dossier, puis quinze ans en archive sur un support distinct.
Portée : Gestion du cabinet médical ou paramédical.
Réserve : D’autres durées s’appliquent à d’autres documents, comme les doubles de feuilles de soins électroniques.
- CNIL : Référentiel relatif aux traitements de données à caractère personnel destinés à la gestion des cabinets médicaux et paramédicaux Délibération n° 2020-081 du 18 juin 2020 selon un extrait de recherche, numéro non vu dans le PDF. Lu le 5 novembre 2026. Document d’origine.
Fait lu. Le guide de la CNIL et de l’Ordre propose un modèle pré-rempli de registre en annexe 2 et indique que l’inscription d’une violation peut se faire dans un registre spécifique, un tableau récapitulatif ou le registre des traitements.
Portée : Édition de juin 2018.
Réserve : Modèle à adapter à la situation.
- CNIL et Conseil national de l'Ordre des médecins : Guide pratique sur la protection des données personnelles Édition juin 2018. Lu le 5 novembre 2026. Document d’origine.
Notre calcul ou déduction. Le calcul 4 × 2 800 = 11 200 patients illustre le dépassement du repère de 10 000 dans un exemple fictif sans patient commun.
Portée : Exemple fictif.
Réserve : Le dédoublonnage des patients communs est notre proposition.
- CNIL : Référentiel relatif aux traitements de données à caractère personnel destinés à la gestion des cabinets médicaux et paramédicaux Délibération n° 2020-081 du 18 juin 2020 selon un extrait de recherche, numéro non vu dans le PDF. Lu le 5 novembre 2026. Document d’origine.
Notre avis. Dire qu’un cabinet individuel ne doit pas acheter de logiciel RGPD est un avis éditorial.
Portée : Cabinet individuel sans recherche ni partage de système à grande échelle.
Réserve : Aucun texte n’interdit cet achat.
- CNIL : Référentiel relatif aux traitements de données à caractère personnel destinés à la gestion des cabinets médicaux et paramédicaux Délibération n° 2020-081 du 18 juin 2020 selon un extrait de recherche, numéro non vu dans le PDF. Lu le 5 novembre 2026. Document d’origine.
- CNIL et Conseil national de l'Ordre des médecins : Guide pratique sur la protection des données personnelles Édition juin 2018. Lu le 5 novembre 2026. Document d’origine.
Fait lu. La section sécurité du référentiel CNIL des cabinets recommande notamment un identifiant propre à chaque utilisateur, une politique de mots de passe conforme aux recommandations de la CNIL, une authentification forte par carte de professionnel de santé ou autre moyen à deux facteurs pour l’accès aux données de santé, des sauvegardes régulières et l’enregistrement des interventions de maintenance dans une main courante.
Portée : Section 10 du référentiel.
Réserve : Référentiel non contraignant ; liste de mesures abrégée.
- CNIL : Référentiel relatif aux traitements de données à caractère personnel destinés à la gestion des cabinets médicaux et paramédicaux Délibération n° 2020-081 du 18 juin 2020 selon un extrait de recherche, numéro non vu dans le PDF. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Selon la CNIL et Service Public, le dossier médical se communique au plus tard dans les huit jours suivant la demande et au plus tôt après 48 heures, et dans les deux mois pour des informations de plus de cinq ans.
Portée : Accès d’un patient à son dossier.
Réserve : Code de la santé publique non lu en source propre.
- CNIL : Professionnels : comment répondre à une demande de droit d’accès ? | CNIL Lu le 5 novembre 2026. Document d’origine.
- Service Public, Direction de l'information légale et administrative : Dossier médical Vérifié le 30 octobre 2026. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Pour l’hébergement numérique de données de santé pour le compte de tiers concerné, l’ANS fixe la fin de transition au 16 mai 2026 et indique qu’au-delà les acteurs concernés doivent être certifiés HDS V2.0.
Portée : Logiciel de dossiers patients ou stockage numérique externalisé visé par la ligne hébergement de cette page.
Réserve : Aucun certificat de prestataire, référentiel complet ni archive matérielle contrôlé ici.
- Agence du numérique en santé : Certification HDS : six mois pour être prêt ! Calendrier de transition HDS V2.0 ; date de publication non affichée dans le corps lu. Lu le 5 novembre 2026. Document d’origine.