Vos fiches patients valent de l'or : ce que le RGPD impose à votre cabinet d'étiopathie

Un cabinet d'étiopathie qui tient un suivi sérieux conserve, pour chaque patient, bien plus qu'un nom et un numéro de téléphone. On y trouve typiquement : antécédents, motifs de consultation, zones traitées, ressenti douloureux, parfois des courriers de médecins, des comptes rendus d'imagerie apportés par le patient, des informations sur la profession, la grossesse, le mode de vie.

Au regard du Règlement général sur la protection des données (RGPD), une grande partie de ces informations constitue des données concernant la santé, c'est-à-dire des données dites « sensibles ». Elles bénéficient d'un régime de protection renforcé.

Le fait que l'étiopathie ne soit pas une profession de santé réglementée ne change rien : dès qu'un dossier décrit l'état physique d'une personne, ce sont des données de santé qui sont traitées.

Concrètement, le praticien devient « responsable de traitement ». Il doit pouvoir justifier d'une base légale, d'une finalité claire, d'une durée de conservation définie, et de mesures de sécurité proportionnées au caractère sensible des informations détenues.

Pas besoin d'être juriste pour mettre son cabinet en conformité. Les attentes principales du RGPD se traduisent en gestes simples :

• Informer le patient de la collecte, de sa finalité (assurer le suivi) et de ses droits (accès, rectification, effacement) via une note d'information affichée ou remise.
• Limiter l'accès aux fiches : mot de passe sur le logiciel et la session, écran verrouillé, armoire fermée pour le papier.
• Définir une durée de conservation raisonnable et ne pas garder indéfiniment des dossiers de patients qui ne reviennent plus.
• Sécuriser les sauvegardes : chiffrement, copies hors site, vérification régulière qu'elles sont exploitables.
• Encadrer les sous-traitants : l'éditeur du logiciel de gestion, l'hébergeur, doivent présenter des garanties écrites.

Le point souvent négligé : la violation de données. En cas de piratage, de vol d'ordinateur ou d'envoi par erreur d'un fichier à la mauvaise personne, le responsable de traitement doit, lorsque le risque pour les personnes est avéré, notifier la CNIL en principe sous 72 heures et, dans les cas les plus graves, informer chaque patient concerné.

Imaginons. Un matin, l'ordinateur du cabinet affiche un message : vos fichiers sont chiffrés, une rançon est exigée. Le logiciel de gestion est inaccessible, l'agenda aussi, et surtout l'intégralité des dossiers patients est compromise. Voici l'enchaînement réaliste des coûts :

Sans compter une éventuelle sanction administrative si l'enquête révèle une sécurité manifestement insuffisante. Pour un cabinet indépendant, la note dépasse vite 10 000 €, à un moment où l'activité est par ailleurs à l'arrêt.

C'est exactement le champ d'une assurance cyber : elle finance la cellule de crise, l'expertise technique, l'accompagnement juridique de la notification, et indemnise les conséquences de la violation. Le matériel détruit ou à remplacer relève, lui, d'une assurance du matériel informatique.

La bonne nouvelle : la protection repose à 80 % sur des réflexes gratuits, et à 20 % sur une couverture assurantielle ciblée. Côté hygiène numérique :

• Mots de passe robustes et distincts pour la session, le logiciel et la messagerie ; activation de la double authentification quand elle existe.
• Sauvegardes automatiques et chiffrées, testées régulièrement, avec une copie déconnectée du poste principal.
• Mises à jour systématiques du système et des logiciels.
• Vigilance sur les courriels : la grande majorité des rançongiciels entrent par une pièce jointe ou un lien piégé.

Côté assurance, vérifiez que votre contrat prévoit bien la prise en charge des frais de notification et de gestion de crise, et pas seulement la reconstitution des données. Beaucoup de praticiens découvrent trop tard que leur garantie « informatique » couvre la panne du disque dur, mais pas l'attaque ni la responsabilité liée à la fuite de données patients.

Une fiche patient égarée n'est pas un incident technique : c'est un événement réglementé, avec des délais, des obligations et un risque de sanction. L'anticiper coûte une fraction de ce qu'il faut débourser quand l'incident survient.