Obligations informatiques d’un cabinet dentaire : ce qui est exigé et ce qu’il faut vérifier

1. Le cabinet reste responsable de ses traitements

Le professionnel ou la structure qui décide pourquoi et comment les données de la patientèle sont utilisées agit généralement comme responsable de traitement. Le recours à un logiciel métier, à un hébergeur ou à un prestataire informatique ne transfère pas cette responsabilité.

La CNIL indique que les professionnels de santé libéraux doivent tenir un registre des activités de traitement. Il reste conservé en interne et doit pouvoir être présenté en cas de contrôle. Il couvre les données numériques comme les dossiers papier.

• Identifier les finalités et les catégories de données
• Documenter les destinataires et sous-traitants
• Définir les durées de conservation
• Recenser les mesures de sécurité
• Tenir le registre à jour après chaque changement important

2. Les patients doivent être informés et les données limitées

Les patients disposent d’un droit à l’information sur l’utilisation de leurs données. Le cabinet doit fournir une information compréhensible sur les finalités, les destinataires, les durées, les droits et le point de contact. Pour les traitements nécessaires à la prise en charge, demander systématiquement un consentement RGPD n’est pas la bonne réponse : la base légale doit être identifiée correctement.

Le principe de minimisation impose de ne collecter que les informations pertinentes. La conservation ne peut pas être illimitée par défaut ; les durées doivent être définies selon les finalités et les règles applicables au dossier patient, à la facturation, au personnel et aux autres traitements.

3. Le secret professionnel doit se traduire dans les accès

Le Code de la santé publique protège le secret des informations concernant la personne prise en charge. Dans le système informatique, cela se traduit par des comptes individuels, des droits adaptés aux missions, un verrouillage des postes et la suppression rapide des accès lors d’un départ.

Une assistante chargée de l’accueil, un praticien, un prestataire et un éditeur n’ont pas besoin des mêmes droits. La CNIL recommande une revue régulière des habilitations et la suppression des permissions devenues inutiles.

• Éviter les comptes partagés
• Limiter les droits administrateur
• Tracer les créations et suppressions de comptes
• Révoquer immédiatement les accès au départ
• Encadrer les interventions à distance

4. Le RGPD impose un résultat de sécurité adapté, pas une marque d’outil

La réglementation demande des mesures techniques et organisationnelles appropriées au risque. Elle vise notamment la confidentialité, l’intégrité, la disponibilité et la capacité à rétablir l’accès aux données. Elle ne désigne pas universellement un antivirus, un fournisseur ou une fréquence identique pour tous les cabinets.

Le cabinet doit donc pouvoir justifier sa méthode : mises à jour, authentification, protection des postes, sauvegardes, accès à distance, chiffrement lorsque pertinent, surveillance et procédure d’incident. Plus les conséquences d’une indisponibilité sont fortes, plus les mesures et les preuves attendues doivent être solides.

5. Sauvegarder ne suffit pas : il faut préparer la restauration

La capacité à restaurer la disponibilité et l’accès aux données fait partie des objectifs de sécurité du RGPD. Une tâche de sauvegarde affichée comme réussie ne démontre pas à elle seule que la base métier, les documents ou le serveur pourront être remis en service.

Le périmètre, la rétention, l’isolation, les alertes et les tests doivent être documentés. La fréquence et la méthode sont déterminées selon le volume de données, la criticité et le délai de reprise attendu.

• Localiser les données réellement protégées
• Traiter chaque échec de sauvegarde
• Isoler au moins une copie
• Tester des restaurations
• Documenter les dépendances avec l’éditeur

6. Les prestataires doivent être encadrés et le périmètre HDS vérifié

Lorsqu’un prestataire traite des données personnelles pour le compte du cabinet, un contrat conforme à l’article 28 du RGPD doit notamment définir les instructions, la confidentialité, la sécurité, les sous-traitants ultérieurs, l’assistance et le sort des données à la fin du service.

L’Agence du Numérique en Santé rappelle que le tiers qui héberge pour le compte d’un professionnel des données de santé recueillies lors de la prévention, du diagnostic ou des soins entre dans le régime de l’article L.1111-8. Il faut vérifier la certification HDS et surtout son périmètre réel. Afficher un logo HDS sans vérifier le service, les activités couvertes et la chaîne de sous-traitance n’est pas suffisant.

• Qualifier le rôle de chaque prestataire
• Vérifier les clauses RGPD
• Connaître les lieux et sous-traitants d’hébergement
• Contrôler le certificat HDS lorsqu’il est applicable
• Prévoir restitution et suppression en fin de contrat

7. Toute violation doit être documentée, même sans notification

Perte, accès non autorisé, indisponibilité ou altération de données personnelles peuvent constituer une violation. Le cabinet doit documenter l’incident et évaluer le risque pour les personnes.

Lorsque la violation présente un risque pour les droits et libertés, la CNIL doit être notifiée dans les meilleurs délais et au plus tard 72 heures après la prise de connaissance. En cas de risque élevé, les personnes concernées doivent également être informées, sauf cas particuliers. Le prestataire alerte le cabinet, mais la décision et la responsabilité ne disparaissent pas pour autant.

8. Ce qui va se renforcer à partir de 2027

Le règlement sur l’espace européen des données de santé (EHDS) commencera à s’appliquer le 26 mars 2027. Il renforcera progressivement le cadre entourant l’accès, l’interopérabilité, la traçabilité et l’utilisation sécurisée des données de santé électroniques. Cela ne signifie pas que chaque cabinet devra remplacer tous ses outils en 2027 : les principales échéances opérationnelles sont échelonnées, notamment à partir de 2029 puis 2031.

Le règlement européen sur la cyberrésilience s’appliquera pleinement le 11 décembre 2027. Il vise principalement les fabricants de produits logiciels et matériels numériques. Son effet pour les cabinets sera surtout indirect : exigences accrues envers les éditeurs, suivi des vulnérabilités, mises à jour de sécurité et meilleure information sur la durée de support.

Il n’existe pas aujourd’hui de liste imposant à tous les petits cabinets dentaires un EDR précis, un SOC, un audit annuel ou une fréquence universelle de sauvegarde en 2027. La bonne préparation consiste à rendre l’environnement démontrable dès maintenant : inventaire, comptes individuels, habilitations, contrats, périmètre HDS, sauvegardes testées, traçabilité et procédure d’incident.

• 26 mars 2027 : début d’application de l’EHDS
• 2029 et 2031 : déploiement progressif des principales règles sur les catégories prioritaires
• 11 décembre 2027 : application générale du règlement sur la cyberrésilience
• Aucune refonte cyber universelle imposée à tous les petits cabinets dentaires n’est annoncée pour 2027

Ce que V-System peut couvrir — et ce qui reste au cabinet

V-System peut contribuer à l’inventaire, aux comptes techniques, aux correctifs, à la protection, aux sauvegardes prévues, aux alertes, à la documentation et aux preuves de suivi. Ces éléments réduisent l’écart technique et rendent la situation plus lisible.

La conformité complète reste une démarche conjointe. Le dirigeant conserve les décisions relatives aux finalités, aux droits des patients, aux durées, aux contrats et aux notifications. Un conseil juridique, un DPO ou un spécialiste conformité peut être nécessaire pour valider les situations particulières.