Vos aiguilles sont stériles, mais votre agenda en ligne l'est-il ? Données de santé et cyber-risques au cabinet d'acupuncture
Vos dossiers patients sont des données de santé au sens du RGPD. Obligations CNIL, failles types et rôle de l'assurance cyber.
- Un dossier patient d'acupuncture (motif de consultation, antécédents, traitements) constitue une donnée de santé : catégorie la plus protégée du RGPD.
- Les failles types d'un cabinet : agenda en ligne grand public, messagerie non sécurisée, fiches patients sur un ordinateur familial non chiffré.
- Une violation de données impose une notification CNIL sous 72 heures et, souvent, l'information individuelle des patients : la facture dépasse vite 10 000 € pour un cabinet individuel.
- L'assurance cyber prend en charge l'investigation, la notification, la gestion de crise et les réclamations des patients — ce que la RC Pro classique ne fait pas.
Oui, un cabinet d'acupuncture traite des données de santé au sens strict
Beaucoup de praticiens pensent que le RGPD « concerne les hôpitaux ». C'est l'inverse : plus la structure est petite, plus les données sont concentrées sur des outils fragiles. Or ce que vous enregistrez à chaque consultation coche toutes les cases de l'article 9 du RGPD :
- le motif de consultation (lombalgie, infertilité, sevrage tabagique, anxiété) ;
- les antécédents médicaux et traitements en cours, indispensables avant de piquer (anticoagulants, grossesse, pathologies pulmonaires) ;
- le bilan énergétique et le protocole de points, qui décrivent un état de santé ;
- parfois des comptes rendus médicaux transmis par le patient.
Ce sont des données de santé, catégorie dite « sensible » : leur traitement est par principe interdit, sauf exceptions (prise en charge sanitaire, consentement explicite). Concrètement, cela impose un registre des traitements, une information claire des patients, des durées de conservation définies — la CNIL recommande 20 ans après la dernière consultation pour les dossiers de soins, par alignement sur le dossier médical — et surtout des mesures de sécurité « appropriées ». C'est sur ce dernier point que la quasi-totalité des cabinets individuels sont en défaut.
Agenda en ligne, messagerie, ordinateur du salon : la cartographie des points faibles
Le système d'information d'un cabinet d'acupuncture tient en quatre briques, et chacune fuit à sa manière :
- L'agenda de prise de rendez-vous en ligne. Le simple couple nom + « consultation acupuncture fertilité » est déjà une donnée de santé. Un agenda grand public (calendrier gratuit partagé, formulaire maison) sans chiffrement ni mentions d'information viole le RGPD avant même la première consultation.
- La messagerie. Les patients envoient spontanément ordonnances et comptes rendus sur une boîte mail personnelle non chiffrée, parfois consultée sur un téléphone sans code. En cas de piratage de la boîte, chaque pièce jointe est une violation de données.
- Le poste de travail. Fiches patients dans un tableur, sur l'ordinateur familial, sans chiffrement du disque ni sauvegarde déconnectée : un vol de matériel ou un rançongiciel emporte tout l'historique du cabinet.
- Les tiers : plateforme de réservation, logiciel de facturation, comptable. Chacun doit être lié par un contrat de sous-traitance conforme à l'article 28 du RGPD — clause que personne ne lit, mais que la CNIL vérifie en premier.
Règle d'or : si vous ne savez pas dire en une phrase où sont stockés vos dossiers patients et qui peut techniquement y accéder, vous êtes en zone de non-conformité.
Rançongiciel sur un cabinet individuel : scénario et facture type
Déroulons le scénario le plus courant. Un mail imitant un laboratoire d'analyses contient une pièce jointe piégée. Le poste du cabinet est chiffré dans la nuit ; au matin, l'écran affiche une demande de rançon de 3 500 € en cryptomonnaie, et 1 200 dossiers patients sont inaccessibles — potentiellement exfiltrés.
La facture réelle n'est pas la rançon (qu'il ne faut pas payer), c'est tout le reste :
| Poste de coût | Montant type |
|---|---|
| Investigation et restauration par un prestataire spécialisé | 4 000 – 8 000 € |
| Accompagnement juridique : notification CNIL sous 72 h, courriers | 2 000 – 4 000 € |
| Information individuelle des 1 200 patients (risque élevé avéré) | 1 500 – 3 000 € |
| Perte d'exploitation : 2 à 3 semaines d'agenda désorganisé | 3 000 – 6 000 € |
| Reconstitution manuelle des dossiers non sauvegardés | difficilement chiffrable |
Soit 10 000 à 20 000 € pour un cabinet individuel, avant toute sanction. La CNIL module ses amendes selon la taille de la structure, mais elle sanctionne régulièrement des professionnels de santé libéraux pour défaut de sécurisation — et l'atteinte à la réputation, dans une patientèle de quartier qui vous confie son intimité, ne se répare pas avec un chèque.
Sept mesures concrètes à mettre en place cette semaine
Pas besoin d'un responsable informatique pour atteindre un niveau de sécurité défendable devant la CNIL. Sept gestes suffisent à traiter 90 % du risque :
- Chiffrez le disque de votre ordinateur et de votre téléphone (fonctions natives, gratuites, dix minutes).
- Activez la double authentification sur la messagerie et l'agenda en ligne : elle bloque l'immense majorité des piratages de compte.
- Sauvegardez chaque semaine sur un support déconnecté (disque externe rangé ailleurs) en plus d'une sauvegarde automatique.
- Choisissez des outils professionnels de santé : agenda et stockage hébergés chez un hébergeur certifié de données de santé (HDS), messagerie sécurisée pour les échanges de documents médicaux.
- Rédigez votre registre des traitements et votre note d'information patients : la CNIL publie des modèles adaptés aux professionnels de santé libéraux.
- Purgez : supprimez les exports, les vieux tableurs et les boîtes mail archivées qui dupliquent les dossiers.
- Écrivez la procédure des 72 heures : qui appeler, comment notifier la CNIL, quoi dire aux patients. Un plan d'une page rédigé à froid vaut de l'or à chaud.
Le septième point a un allié naturel : l'assureur cyber, dont la hotline de crise fait exactement ce travail à votre place.
Ce que couvre une assurance cyber pour un cabinet — et pourquoi la RC Pro ne suffit pas
Confusion fréquente : « j'ai une RC Pro, je suis couvert ». Non. La responsabilité civile professionnelle indemnise les dommages causés aux patients par vos actes de soins ; elle ne finance ni la restauration de votre système, ni la notification CNIL, ni votre perte d'exploitation après un rançongiciel. Ce sont deux risques distincts, donc deux contrats.
Une assurance cyber adaptée à un cabinet individuel apporte quatre briques :
- La réponse à incident : hotline 24/7, experts techniques pour contenir l'attaque et restaurer les données — le poste le plus précieux pour un praticien seul ;
- Les frais de conformité : accompagnement juridique de la notification CNIL et de l'information des patients ;
- La perte d'exploitation consécutive à l'indisponibilité de l'agenda et des dossiers ;
- La responsabilité civile cyber : réclamations de patients dont les données ont été divulguées.
Pour un cabinet individuel, la prime se situe généralement entre 250 et 500 € par an — à rapporter aux 10 000 à 20 000 € du scénario précédent. Vérifiez trois clauses avant de signer : l'absence d'exclusion des données de santé, le niveau d'exigence sur vos sauvegardes (certains contrats refusent la garantie si elles manquent), et le plafond de frais de notification. L'ensemble des couvertures utiles au métier est récapitulé sur la fiche acupuncteur.
Questions fréquentes
Oui. Le RGPD s'applique aussi aux fichiers papier structurés, et vos obligations de confidentialité (armoire fermant à clé, accès limité, durée de conservation) demeurent. En revanche, votre exposition cyber est réduite : c'est la numérisation qui crée le risque de violation massive.
Isoler le poste touché, contacter votre assureur cyber ou un prestataire de réponse à incident, évaluer les données concernées, puis notifier la CNIL sous 72 heures si la violation présente un risque pour les patients. Si le risque est élevé (données de santé exfiltrées), il faut aussi informer individuellement chaque patient concerné.
Dès lors que vous externalisez le stockage de données de santé recueillies dans le cadre du soin, l'hébergement doit être confié à un hébergeur certifié HDS. Un dossier stocké sur un service cloud grand public non certifié vous place en situation de non-conformité, même sans incident.
La position de place, alignée sur les recommandations de l'ANSSI, est de ne pas payer. Certains contrats prévoient une prise en charge encadrée et subordonnée à un dépôt de plainte, mais l'essentiel de la valeur du contrat est ailleurs : la réponse à incident, la restauration, la notification et la perte d'exploitation.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Acupuncteur — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Acupuncteur →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.