Photos de lésions sur votre smartphone : la bombe RGPD qui dort au cabinet de dermatologie

Aucune spécialité ne photographie autant que la dermatologie : cartographie des nævus, suivi de plaies, avis confraternels, photos avant/après en esthétique. Cette iconographie est précieuse — c'est même elle qui sauve le praticien en expertise, comme le rappelle notre fiche assurance du dermatologue.

Mais juridiquement, chaque cliché est une donnée de santé, catégorie la plus protégée du RGPD (article 9). Et contrairement à une idée répandue, recadrer le visage ne suffit pas à anonymiser : tatouages, cicatrices, métadonnées du fichier (date, GPS, appareil) et rattachement au dossier rendent le patient réidentifiable. La photo suit donc le même régime que le dossier médical : confidentialité, sécurité, traçabilité.

Pas besoin d'être un hôpital pour être contrôlable. Un cabinet de dermatologie, même individuel, doit pouvoir démontrer :

• une information claire des patients sur la prise de photos, leur finalité et leur durée de conservation (affichage + mention dans le dossier) ;
• un registre des traitements mentionnant l'iconographie médicale ;
• une durée de conservation alignée sur le dossier médical (20 ans après la dernière consultation, en pratique) ;
• la minimisation : pas de visage si la lésion n'y est pas, pas de copie qui traîne hors du dossier ;
• un consentement écrit spécifique dès que la photo sort du soin : publication, enseignement, congrès, réseaux sociaux du cabinet.

Le soin lui-même ne requiert pas de consentement RGPD distinct — la base légale est la prise en charge médicale — mais l'information, elle, est obligatoire.

Trois pratiques, très répandues, concentrent l'essentiel du risque :

• Le smartphone personnel : la synchronisation automatique vers iCloud ou Google Photos exporte les lésions de vos patients vers des serveurs hors de tout cadre de santé, mêlées aux photos de famille. En cas de perte ou de vol du téléphone non chiffré, c'est une violation de données notifiable.
• WhatsApp entre confrères : l'avis dermatologique par messagerie grand public est massif, mais l'éditeur n'est pas hébergeur de données de santé et les images se dupliquent sur chaque terminal.
• Le NAS ou la box mal configurés : la CNIL a sanctionné en 2020 deux médecins libéraux (3 000 € et 6 000 € d'amende) dont des milliers d'images médicales étaient librement accessibles sur Internet à cause d'un simple défaut de paramétrage — et de l'absence de chiffrement.

Le message de la CNIL est constant : la taille de la structure n'exonère jamais de la sécurité des données de santé.

La mise en conformité d'un cabinet de dermatologie tient en quatre décisions :

• stocker l'iconographie dans le logiciel métier adossé à un hébergeur certifié HDS (obligation de l'article L.1111-8 du Code de la santé publique dès qu'un tiers héberge des données de santé) ;
• échanger via une messagerie sécurisée de santé (MSSanté) ou un outil de télé-expertise dédié, jamais par SMS ou messagerie grand public ;
• utiliser un appareil ou une application de prise de vue dédiée, chiffrée, sans synchronisation cloud personnelle, avec versement direct au dossier ;
• formaliser une charte d'équipe (secrétariat, remplaçants, internes) : qui photographie, avec quoi, où vont les fichiers, qui supprime.

En cas d'incident — téléphone volé, serveur exposé, rançongiciel — le cabinet a 72 heures pour notifier la CNIL, et doit informer les patients si le risque est élevé.

Une violation de données de santé coûte cher, même sans amende : investigation technique pour déterminer ce qui a fuité, assistance juridique pour la notification CNIL, information individuelle des patients, gestion de la réputation du cabinet, sans compter l'interruption d'activité si le logiciel métier est chiffré par un rançongiciel.

C'est précisément le périmètre d'une assurance cyber : hotline d'experts en cas d'incident, prise en charge des frais de notification et de défense, indemnisation de la perte d'exploitation. Pour une spécialité qui produit chaque jour des dizaines d'images de patients, ce n'est plus une couverture exotique : c'est le pendant numérique de la RC professionnelle.