Télé-ergothérapie et dossier patient : le risque que personne ne déclare
Bilans filmés, comptes rendus dans le cloud, séances en visio : l'ergothérapeute manipule des données de santé sensibles. Une fuite expose à un vrai risque.
- Le télésoin en ergothérapie est encadré par le Code de la santé publique : il impose le consentement du patient, un outil sécurisé et la traçabilité de l'acte.
- Les comptes rendus, bilans et vidéos de séance sont des données de santé : leur hébergement doit reposer sur un service conforme (hébergeur de données de santé certifié) et respecter le RGPD.
- Une fuite de données, un courriel envoyé au mauvais destinataire ou un cabinet victime d'un rançongiciel engagent votre responsabilité et imposent une notification à la CNIL sous 72 heures.
- Une assurance cyber finance la gestion de crise, la notification, la restauration des données et la défense en cas de réclamation.
Le télésoin en ergothérapie : un cadre précis, souvent ignoré
Le télésoin, qui permet à un auxiliaire médical de réaliser un acte à distance par vidéotransmission, est désormais inscrit dans le Code de la santé publique et ouvert à l'ergothérapie. Mais l'ouvrir ne signifie pas le pratiquer sans règles.
Trois conditions structurent un télésoin conforme :
- le consentement libre et éclairé du patient (ou de son représentant légal), recueilli et tracé avant la séance ;
- l'usage d'un outil de visioconférence sécurisé, garantissant la confidentialité des échanges — un appel grand public non chiffré n'est pas adapté à un acte de soin ;
- la traçabilité de l'acte dans le dossier du patient : date, nature, compte rendu.
L'enjeu n'est pas que théorique. Un télésoin réalisé sans consentement tracé, ou avec un outil inadapté, fragilise à la fois votre responsabilité professionnelle et votre conformité réglementaire. La frontière de votre rôle reste par ailleurs la même qu'en présentiel : l'ergothérapeute évalue, rééduque et préconise, sans empiéter sur le diagnostic médical.
Bilans, vidéos, comptes rendus : ce sont des données de santé
Tout ce que vous produisez sur un patient relève de la catégorie la plus protégée du RGPD : les données concernant la santé. Un bilan d'autonomie, une vidéo de marche, des photos d'un aménagement, un compte rendu adressé au médecin prescripteur : tout cela est sensible et appelle des précautions renforcées.
Concrètement, plusieurs obligations s'imposent à l'ergothérapeute libéral :
- Hébergement conforme : si vous stockez des données de santé chez un prestataire (cloud, logiciel de gestion de cabinet), celui-ci doit s'appuyer sur un hébergement de données de santé certifié. Un simple drive grand public n'offre pas cette garantie.
- Sécurité d'accès : mots de passe robustes, double authentification, postes verrouillés, sauvegardes chiffrées.
- Minimisation et durée de conservation : ne collecter que l'utile, et définir une durée de conservation du dossier patient.
- Information du patient sur l'usage de ses données et ses droits (accès, rectification).
Le secret professionnel, inscrit au Code de la santé publique, se superpose au RGPD : un manquement peut donc être à la fois une faute déontologique, une violation de données et une atteinte au secret.
Trois incidents typiques et leur facture
Les sinistres cyber et données ne touchent pas que les grandes structures. Voici les cas les plus fréquents en cabinet libéral.
| Incident | Conséquences | Coût d'ordre de grandeur |
|---|---|---|
| Compte rendu envoyé au mauvais destinataire | Violation de données, atteinte au secret, notification CNIL | 1 000 € à 8 000 € (gestion, conseil, défense) |
| Rançongiciel chiffrant le logiciel de cabinet | Perte d'accès aux dossiers, interruption d'activité | 5 000 € à 25 000 € (restauration, expertise, perte d'exploitation) |
| Vol d'un ordinateur portable non chiffré | Fuite massive de dossiers patients, notification CNIL et patients | 3 000 € à 20 000 € |
En cas de violation de données à caractère personnel, vous devez notifier la CNIL dans un délai de 72 heures, et informer les patients concernés lorsque le risque pour leurs droits est élevé. Au-delà du coût technique, c'est la charge de gestion de crise — juridique, communication, expertise — qui surprend les professionnels seuls.
Ce que couvre une assurance cyber pour un cabinet d'ergothérapie
La RC Pro couvre la faute professionnelle, mais elle n'a pas vocation à financer une crise informatique. C'est le rôle d'une assurance cyber, dont la pertinence devient évidente dès lors que vous manipulez des données de santé.
Une garantie cyber prend généralement en charge :
- la gestion de l'incident : assistance d'experts techniques pour identifier la fuite, contenir l'attaque et restaurer les systèmes ;
- l'accompagnement juridique pour la notification à la CNIL et l'information des patients ;
- la restauration des données et, selon les contrats, la perte d'exploitation liée à l'interruption ;
- la défense en cas de réclamation d'un patient et la prise en charge d'éventuels dommages.
En parallèle, sécuriser votre poste de travail relève d'une bonne hygiène numérique. Un poste à jour, une sauvegarde externe régulière et un matériel correctement protégé réduisent à la fois la probabilité et la gravité d'un incident. La règle de fond reste simple : la donnée de santé exige le plus haut niveau de soin, technique comme juridique.
Questions fréquentes
Oui, sans aucune exception liée à la taille. Dès lors que vous traitez des données de santé, vous êtes responsable de traitement au sens du RGPD : sécurisation, information du patient, gestion des droits et notification d'une éventuelle violation à la CNIL sous 72 heures. L'exercice individuel ne réduit pas ces obligations.
Ce n'est pas recommandé. Un acte de soin à distance impose un outil garantissant la confidentialité et la sécurité des échanges. Les solutions grand public non spécifiquement adaptées au télésoin n'offrent pas toujours ces garanties. Privilégiez un service conçu pour le télésoin et l'hébergement de données de santé.
Non, elle n'est pas obligatoire, contrairement à la RC Pro. Mais dès lors que vous gérez des dossiers patients numériques, des bilans vidéo ou des télésoins, l'exposition au risque cyber est réelle. La garantie cyber complète la RC Pro en couvrant la crise informatique, que la RC Pro ne prend pas en charge.
Il s'agit d'une violation de données. Documentez l'incident, évaluez le risque pour la personne concernée, et notifiez la CNIL sous 72 heures si ce risque n'est pas négligeable. Informez la personne si le risque est élevé. Une garantie cyber vous fournit l'appui juridique pour qualifier l'incident et gérer ces démarches correctement.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Ergothérapeute — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Ergothérapeute →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.