Le secret professionnel ne s’applique pas automatiquement à tout cabinet libéral. Un praticien non réglementé doit d’abord vérifier s’il est tenu par un texte, puis organiser la confidentialité par contrat, procédures internes et sécurité numérique. Le RGPD s’applique dès qu’un dossier client contient des données personnelles.
En bref
- Le secret imposé par l’article 226-13 du Code pénal dépend d’une profession, d’une fonction ou d’une mission prévue par un texte.
- Le RGPD encadre la collecte, l’accès, la conservation et la suppression des informations détenues par le cabinet.
- Les données relatives à la santé, lorsqu’elles figurent dans une fiche client, relèvent d’un régime renforcé au titre de l’article 9 du RGPD.
- Un logiciel de rendez-vous, un hébergeur ou un comptable ayant accès aux informations du cabinet doit être encadré comme sous-traitant ou destinataire.
- La destruction du dossier ne se décide pas à l’intuition. Une durée documentée et un archivage sécurisé sont nécessaires.
Ce texte vise les praticiens indépendants non médecins qui reçoivent des clients dans un cabinet libéral ou à distance. Il traite de la gestion administrative et juridique des informations collectées, sans se prononcer sur les méthodes pratiquées ni sur leurs effets.
Le secret professionnel s’impose-t-il à un praticien en cabinet libéral ?
La réponse dépend du statut professionnel exact. Le mot « secret professionnel » est souvent employé pour désigner toute obligation de discrétion. Juridiquement, le mécanisme est plus étroit. L’article 226-13 du Code pénal, consulté sur Légifrance le 24 mars 2026, sanctionne la révélation d’une information secrète par une personne qui en est dépositaire « par état ou par profession, soit en raison d’une fonction ou d’une mission temporaire ».
Une profession réglementée peut être soumise à un secret prévu par ses textes propres. C’est le cas, par exemple, des avocats, dont le secret est traité par l’article 66-5 de la loi du 31 décembre 1971, consulté le 24 mars 2026. Ce régime ne se transpose pas automatiquement à une activité indépendante de praticien non médecin. Une plaque, des conditions générales ou une formation ne créent pas, à eux seuls, une obligation pénale de secret professionnel.
Cette distinction ne réduit pas la responsabilité du cabinet. Elle oblige à employer les termes correctement. Un cabinet peut avoir une obligation contractuelle de confidentialité envers son client. Il peut aussi être tenu au RGPD, au respect de la vie privée, aux engagements pris dans ses documents commerciaux et à la protection de données particulières. Ces obligations sont réelles, mais elles n’ont pas toutes la même source ni les mêmes sanctions.
La confidentialité doit être organisée, même sans secret légal attaché au métier
La Confidentialité commence par une règle interne écrite. Toute personne qui voit des fiches, un agenda, des factures ou des courriels professionnels doit savoir ce qu’elle peut consulter, transmettre ou imprimer. Cela concerne une assistante, un stagiaire administratif, un associé, un remplaçant, un prestataire informatique ou une personne chargée du ménage lorsqu’elle peut accéder à une armoire non verrouillée.
Un engagement de confidentialité signé avec un prestataire n’est pas décoratif. Il établit la règle attendue, décrit les informations concernées et prévoit la restitution ou la suppression des fichiers à la fin de la mission. Lorsque le prestataire traite des données pour le compte du cabinet, un simple engagement ne suffit pas toujours. Un contrat de sous-traitance conforme au RGPD devra compléter ce document.
La Déontologie du cabinet se traduit aussi dans des gestes matériels. Un échange de vive voix à l’accueil ne doit pas révéler l’objet d’un rendez-vous. Un écran visible depuis la salle d’attente ne doit pas afficher l’agenda de la journée. Une facture ne doit pas contenir un commentaire inutile sur la situation personnelle du client. La confidentialité ne se limite donc pas à l’interdiction de divulguer un dossier entier.
Une éthique professionnelle cohérente conduit à recueillir seulement les informations nécessaires à la prestation administrative et à la relation contractuelle. La question utile est concrète. Si une donnée est supprimée de la fiche, le cabinet peut-il encore assurer le rendez-vous, établir une facture ou répondre à une demande ultérieure ? Si la réponse est positive, cette donnée n’a probablement pas à être demandée.
Le cabinet doit éviter de promettre un « secret professionnel » dans ses documents si aucun texte ne l’attache à l’activité exercée. Une formulation exacte est préférable : le cabinet s’engage à traiter les informations communiquées de manière confidentielle, à limiter les accès et à appliquer les mesures prévues par sa politique de protection des données. Cette rédaction est moins spectaculaire, mais elle correspond à une obligation que le cabinet peut démontrer.
Le point devient plus délicat lorsqu’un contrat d’assurance inclut une garantie de Responsabilité civile. Cette garantie peut couvrir certains préjudices causés à des tiers, mais elle ne remplace ni une procédure de confidentialité ni la vérification des exclusions. Les conditions générales du contrat, dans leur version applicable à la souscription, doivent être lues par un courtier ou un assureur lorsque la garantie liée à une divulgation de données est invoquée.
La première pièce à produire en cas de contestation n’est pas une déclaration générale de prudence. C’est une procédure datée, appliquée et compréhensible par chaque personne ayant accès au cabinet.
Quelles données peuvent figurer dans un dossier client sans excès de collecte ?
Un Dossier client peut contenir des données évidentes, telles que le nom, le prénom, l’adresse électronique, le numéro de téléphone, les dates de rendez-vous et les éléments nécessaires à la facturation. Ces informations constituent déjà des données personnelles au sens de l’article 4 du règlement général sur la protection des données, consulté le 24 mars 2026.
La difficulté commence avec les fiches de premier entretien, les formulaires préparatoires et les notes prises pendant un rendez-vous. Une mention concernant une pathologie, un traitement, un handicap, une hospitalisation ou une incapacité passée peut relever des données concernant la santé. L’article 9 du RGPD les classe parmi les catégories particulières de données, dont le traitement est interdit par principe sauf exception définie par le texte.
Un praticien non médecin ne doit pas copier les pratiques documentaires d’un cabinet médical. Accumuler des questionnaires détaillés, des comptes rendus ou des pièces justificatives sans finalité administrative claire augmente le risque juridique. La donnée collectée doit correspondre à un besoin réel, formulé avant sa collecte, et non à une habitude de travail.
Le registre de traitement rend visibles les informations réellement détenues
Le registre des activités de traitement permet de dresser l’inventaire. L’article 30 du RGPD, consulté sur EUR-Lex le 24 mars 2026, prévoit cette documentation pour les responsables de traitement, avec une exception limitée pour certaines organisations de moins de 250 personnes. Cette exception disparaît notamment si le traitement est susceptible de comporter un risque, s’il n’est pas occasionnel ou s’il porte sur des catégories particulières de données.
Dans un cabinet libéral qui conserve des fiches nominatives de façon suivie, le registre est une précaution raisonnable. Il peut tenir sur plusieurs pages structurées, sans logiciel complexe. Il doit surtout refléter les pratiques réelles. Un registre mentionnant une suppression annuelle alors que les dossiers restent dans une boîte mail pendant huit ans ne protège personne.
| Traitement identifié | Données utiles | Personnes ayant accès | Point de vigilance |
|---|---|---|---|
| Prise de rendez-vous | Identité, coordonnées, créneau réservé | Praticien et outil de réservation autorisé | Éviter les notes détaillées dans l’agenda partagé |
| Fiche client | Informations strictement nécessaires à la relation | Praticien ou personne désignée | Limiter les données relevant de l’article 9 du RGPD |
| Facturation | Identité, adresse, montant, date et référence | Praticien, comptable si nécessaire | Ne pas faire figurer d’élément intime sur la facture |
| Prospection | Coordonnées et preuve du choix de la personne | Personne chargée des envois | Séparer prospects et clients actifs |
| Archives | Pièces à conserver selon leur objet | Accès limité et journalisé si possible | Prévoir destruction ou anonymisation à échéance |
Le tableau doit être complété par la finalité, la base légale, la durée de conservation, les destinataires et les mesures de sécurité. La CNIL, consultée le 24 mars 2026, met à disposition des explications et un modèle de registre. Il ne faut pas recopier ce modèle sans l’adapter au fonctionnement concret du cabinet.
Le Consentement éclairé doit lui aussi être séparé en deux sujets. L’accord du client pour une prestation relève de la relation contractuelle. Le consentement explicite au traitement d’une donnée de santé relève, lui, de l’article 9 du RGPD lorsqu’aucune autre exception légale n’est mobilisable. Les deux documents peuvent être remis ensemble, mais ils ne doivent pas être confondus.
Un consentement valable est précis, compréhensible et librement exprimé. Une case précochée au bas d’un formulaire général ne démontre pas un choix explicite. Le cabinet doit aussi pouvoir expliquer ce qui se passe si la personne refuse de transmettre une donnée non nécessaire. La bonne réponse n’est pas de conserver l’information « au cas où ».
Le registre n’est pas un dossier destiné à rester fermé dans un classeur. Il sert à réduire le contenu des fiches avant qu’une demande d’accès, une erreur d’envoi ou une perte d’ordinateur ne révèle l’ampleur des données stockées.
Comment instaurer un accès restreint aux dossiers papier et numériques ?
L’Accès restreint repose sur une règle simple : une personne ne consulte que les informations nécessaires à sa mission. Le RGPD impose au responsable de traitement de mettre en œuvre des mesures techniques et organisationnelles adaptées au risque. L’article 32 du RGPD, consulté sur EUR-Lex le 24 mars 2026, cite notamment la pseudonymisation, le chiffrement, la capacité à préserver la confidentialité et la possibilité de restaurer la disponibilité des données après un incident.
Un mot de passe partagé entre plusieurs membres du cabinet contredit cette règle. Il rend impossible l’identification de la personne ayant ouvert, modifié ou exporté un fichier. Chaque accès doit être individuel. Un compte doit être supprimé lorsqu’une collaboration se termine, y compris si le départ paraît temporaire ou sans conflit.
Les dossiers papier exigent des mesures physiques et des règles de circulation
Le papier demeure une source fréquente de divulgation accidentelle. Un formulaire oublié sur le bureau de l’accueil, une enveloppe ouverte dans une poubelle ordinaire ou un classeur laissé dans une salle commune suffisent à compromettre la confidentialité. Les dossiers actifs doivent être rangés dans une armoire fermée. Les clés ne doivent pas circuler sans suivi entre plusieurs personnes.
La réception d’un document papier appelle une décision immédiate. Soit il est utile et il est versé au dossier sécurisé, soit il est inutile et il est détruit de manière appropriée. Créer des piles de documents « à traiter » augmente les copies, les oublis et les accès involontaires. Un destructeur de documents à coupe croisée est plus adapté qu’une poubelle de bureau pour les feuilles contenant identité, coordonnées ou notes.
Les impressions demandent la même discipline. Une imprimante installée dans un espace accessible à d’autres occupants d’une maison de praticiens ne doit pas recevoir de documents sensibles sans récupération immédiate. Si l’imprimante dispose d’une fonction d’impression sécurisée par code, elle doit être activée. Cette option ne remplace pas une vérification du document avant son départ.
Les outils numériques doivent être choisis comme des sous-traitants
Un agenda en ligne, une messagerie professionnelle, un service de sauvegarde et un logiciel de facturation peuvent tous traiter des données du cabinet. Lorsqu’un prestataire agit pour le compte du professionnel, l’article 28 du RGPD impose un contrat de sous-traitance. Le texte doit prévoir l’objet et la durée du traitement, les catégories de données, les obligations de confidentialité, les mesures de sécurité, l’aide apportée pour les droits des personnes et le sort des données à la fin du contrat.
La localisation des serveurs n’est pas un détail commercial. Un outil qui transfère des informations hors de l’Espace économique européen doit fournir un cadre juridique adapté pour ces transferts. La page de la CNIL sur les transferts de données hors Union européenne, consultée le 24 mars 2026, rappelle que l’exportation de données reste encadrée même lorsqu’elle est intégrée à un service numérique courant.
Le cabinet doit vérifier quatre documents avant de charger le moindre dossier dans un outil :
- les conditions contractuelles qui décrivent le rôle du prestataire et les catégories de données traitées ;
- l’accord de sous-traitance prévu par l’article 28 du RGPD ;
- les mesures de sauvegarde, de chiffrement et de gestion des comptes utilisateurs ;
- la procédure de restitution ou de suppression des données lors de la résiliation.
Le chiffrement d’un ordinateur portable est particulièrement utile lorsque le cabinet travaille entre plusieurs lieux. Il ne dispense pas de sauvegardes régulières. Une sauvegarde unique reliée en permanence au même ordinateur peut être chiffrée par un logiciel malveillant en même temps que les fichiers de travail. La conservation d’une copie isolée, testée périodiquement, réduit ce risque.
Le cabinet n’a pas besoin de multiplier les logiciels pour être sérieux. Il doit pouvoir expliquer, document à l’appui, où se trouve chaque donnée, qui y accède et comment elle est supprimée si le client cesse toute relation avec lui.
Quelle durée de conservation prévoir pour le dossier client et les pièces comptables ?
La durée de conservation ne se résume pas à une règle uniforme de cinq ans. Le RGPD pose un principe de limitation de la conservation à l’article 5, consulté sur EUR-Lex le 24 mars 2026. Une donnée ne doit pas être gardée sous forme identifiable au-delà de la durée nécessaire à la finalité annoncée. Cette durée doit être définie avant l’archivage, puis inscrite dans le registre.
Un dossier de relation client, une facture et une pièce comptable n’ont pas le même objet. Les confondre conduit soit à supprimer trop tôt un justificatif utile, soit à conserver sans motif des notes personnelles. La bonne méthode consiste à séparer les pièces selon leur fonction, avec une date de départ clairement identifiée : fin de la relation, émission de la facture, dernier contact commercial ou clôture d’un litige.
L’archivage sécurisé distingue les documents actifs des archives intermédiaires
Les informations nécessaires aux rendez-vous en cours peuvent rester dans le dossier actif. Lorsqu’une relation est terminée, le dossier bascule dans une archive intermédiaire. Il n’est plus visible dans l’outil quotidien, mais reste accessible à un nombre limité de personnes si un besoin identifié apparaît. Cette séparation réduit les consultations inutiles et diminue le risque de réutilisation commerciale de données anciennes.
Les livres, registres, documents comptables et pièces justificatives doivent être conservés pendant dix ans à compter de la clôture de l’exercice. Cette obligation figure à l’article L.123-22 du Code de commerce, consulté le 24 mars 2026. Une facture doit donc être archivée dans ce cadre, même lorsque les notes internes liées à la prestation n’ont plus de raison d’être conservées.
Pour les documents qui relèvent d’un contrat ou d’un litige possible, le délai de prescription de droit commun est souvent de cinq ans à compter du jour où le titulaire d’un droit a connu ou aurait dû connaître les faits lui permettant d’agir. L’article 2224 du Code civil, consulté le 24 mars 2026, constitue le texte à examiner. Ce délai ne justifie pas la conservation automatique de toutes les données collectées pendant la relation.
Un professionnel peut décider de conserver certains éléments contractuels pendant le temps nécessaire à la défense de ses droits. Il doit alors isoler ces éléments des fichiers de travail et limiter leur usage à cette finalité. Conserver l’intégralité des notes de rendez-vous avec les coordonnées complètes, simplement parce qu’une action pourrait survenir un jour, est une pratique trop large.
La destruction doit laisser une trace sans conserver le dossier détruit
La suppression numérique signifie l’effacement des fichiers de l’espace actif, des dossiers partagés, des comptes de messagerie, des applications de prise de notes et, selon le calendrier technique, des sauvegardes. Une simple mise à la corbeille n’est pas une méthode suffisante si le fichier reste disponible sur un serveur ou un espace synchronisé.
La destruction papier exige un processus équivalent. Les documents sont déchiquetés sur place ou confiés à un prestataire qui fournit une attestation de destruction. Cette attestation peut être archivée avec le registre ou la procédure interne. Elle prouve le respect du calendrier sans conserver le contenu des informations supprimées.
Le cabinet peut tenir un journal minimal de purge mentionnant la catégorie de documents, la période concernée, la date de destruction et le procédé utilisé. Il ne doit pas devenir une nouvelle copie du fichier détruit. Inscrire les noms de tous les clients dans ce journal prolongerait inutilement leur conservation.
Une durée annoncée au client doit correspondre aux pratiques effectives et aux obligations applicables. Lorsqu’un doute porte sur la prescription, la qualification d’un document ou la conservation d’une pièce liée à un conflit, ce point se tranche avec un avocat. Il faut lui remettre la nature du document, sa date, la finalité initiale et l’éventuel litige concerné.
Un archivage sécurisé est donc une organisation de tri, d’accès et de destruction. Ce n’est pas un disque dur plus grand ni un placard fermé dont personne ne connaît le contenu.
Comment répondre à une demande d’accès ou à une violation de données au cabinet ?
Une personne peut demander à savoir si le cabinet traite ses données, obtenir une copie des informations concernées, demander leur rectification ou, selon les cas, leur effacement. L’article 15 du RGPD, consulté sur EUR-Lex le 24 mars 2026, organise le droit d’accès. L’article 12 prévoit en principe une réponse dans un délai d’un mois, prolongeable de deux mois lorsque la demande est complexe, à condition d’en informer la personne dans le premier mois.
Répondre ne signifie pas transmettre sans examen tout le contenu d’un fichier partagé. Le cabinet doit vérifier l’identité du demandeur lorsque cela est nécessaire, rechercher les données dans les outils concernés et retirer les informations portant sur des tiers si leur divulgation leur porterait atteinte. Le droit d’accès porte sur les données de la personne, pas sur l’accès libre aux systèmes internes ou aux documents d’autres clients.
Une procédure écrite évite les réponses improvisées
Une demande reçue par courriel doit être enregistrée avec sa date de réception. Le cabinet vérifie ensuite l’identité, identifie les traitements concernés et prépare une réponse lisible. Le registre sert ici de plan de recherche. Sans lui, les informations peuvent être dispersées entre une boîte mail, un outil de rendez-vous, un logiciel de facturation, un téléphone et une armoire.
La réponse doit préciser les catégories de données traitées, les finalités, les destinataires, les durées de conservation et l’existence des droits applicables. La fiche de la CNIL sur le droit d’accès, consultée le 24 mars 2026, détaille les éléments attendus. Une copie des données peut être communiquée dans un format clair, en évitant les commentaires internes inutiles ou les informations sur des tiers.
Un client ne peut pas exiger l’effacement d’une facture que le cabinet doit conserver dix ans en application du Code de commerce. La réponse doit alors expliquer la base de conservation et limiter l’usage futur de la donnée à l’obligation comptable ou à la défense des droits. Cette distinction est plus solide qu’un refus global.
La violation de données doit être qualifiée avant toute communication
Une violation peut résulter d’un envoi de courriel au mauvais destinataire, d’un ordinateur perdu, d’un accès non autorisé, d’une boîte mail piratée ou d’un ransomware. L’article 4 du RGPD couvre la destruction, la perte, l’altération, la divulgation non autorisée ou l’accès non autorisé aux données. Le cabinet doit documenter chaque incident, y compris lorsqu’il conclut que la notification à la CNIL n’est pas nécessaire.
Lorsque la violation est susceptible d’engendrer un risque pour les droits et libertés des personnes, l’article 33 du RGPD impose une notification à la CNIL dans les 72 heures après en avoir pris connaissance. Le texte est consultable sur EUR-Lex, relevé le 24 mars 2026. Si le risque est élevé, l’article 34 impose aussi d’informer les personnes concernées, sauf exceptions prévues par le règlement.
Le premier geste consiste à contenir l’incident. Un mot de passe compromis est changé, les sessions ouvertes sont fermées, l’accès du prestataire est suspendu si nécessaire et les sauvegardes sont vérifiées. Le cabinet établit ensuite les faits : quelles données ont été concernées, combien de personnes sont touchées, qui a reçu l’information et quelles mesures ont été prises.
La responsabilité du prestataire ne fait pas disparaître celle du cabinet. Un hébergeur ou un logiciel doit signaler sans délai une violation au responsable de traitement lorsqu’il en a connaissance, conformément à l’article 33, paragraphe 2, du RGPD. Le contrat doit donc prévoir un interlocuteur, un délai d’alerte et les informations remises pour permettre la notification.
La désignation d’un délégué à la protection des données n’est pas déclenchée automatiquement par le seuil de 250 salariés. L’article 37 du RGPD vise notamment les autorités publiques et les organisations dont les activités principales imposent un suivi régulier et systématique à grande échelle ou un traitement à grande échelle de catégories particulières de données. Un petit cabinet peut néanmoins nommer un référent interne ou recourir à un délégué externe. Pour décider d’une désignation obligatoire ou utile, un juriste spécialisé en protection des données doit examiner les volumes, les catégories collectées, les outils utilisés et les accès accordés.
Avant de mettre en ligne une politique de confidentialité ou d’adopter un logiciel, le cabinet doit vérifier que les documents annoncés correspondent à ses pratiques. C’est cette cohérence, et non une formule générale sur le secret, qui protège durablement le client comme le professionnel.
Un praticien indépendant est-il automatiquement soumis au secret professionnel ?
Non. Le secret professionnel au sens pénal suppose qu’un texte attache cette obligation à une profession, une fonction ou une mission. En revanche, le cabinet reste tenu de protéger les données personnelles et peut être engagé par ses obligations contractuelles de confidentialité.
Peut-on conserver des informations de santé dans un dossier client ?
Seulement si leur collecte est justifiée, limitée et encadrée. Les données concernant la santé sont des catégories particulières au titre de l’article 9 du RGPD. Le cabinet doit identifier une exception légale, informer la personne et renforcer la sécurité.
Combien de temps une facture doit-elle être conservée ?
Les pièces comptables et justificatives doivent être conservées dix ans à compter de la clôture de l’exercice, selon l’article L.123-22 du Code de commerce. Cette obligation ne justifie pas la conservation de toutes les notes présentes dans le dossier client.
Que faire si un courriel contenant un dossier part au mauvais destinataire ?
Le cabinet doit immédiatement limiter l’incident, documenter les données concernées et évaluer le risque pour les personnes. Si ce risque le justifie, une notification à la CNIL doit intervenir dans les 72 heures conformément à l’article 33 du RGPD.
Le dossier complet Exercice illégal de la médecine : les limites du praticien
