Remplaçant de passage, données pour la vie : le RGPD dans un cabinet qui n'est pas le vôtre

La question paraît théorique, elle est en réalité très concrète. Le fichier patients du cabinet — dossiers médicaux, antécédents, comptes rendus — relève de la responsabilité du médecin titulaire, responsable de traitement au sens du RGPD : c'est lui qui a choisi le logiciel, l'hébergeur (obligatoirement certifié HDS pour les données de santé) et les mesures de sécurité.

Mais le remplaçant n'est pas pour autant un simple « utilisateur invité ». Dès qu'il consulte, complète ou transmet des données de santé, il engage sa propre responsabilité sur trois terrains distincts :

• déontologique : le secret professionnel (article R.4127-4 du Code de la santé publique) s'impose à lui personnellement ;
• pénale : la violation du secret médical est punie d'un an d'emprisonnement et de 15 000 € d'amende (article 226-13 du Code pénal) ;
• civile : un patient dont les données ont fuité par la négligence du remplaçant peut lui demander réparation directement.

En clair : le titulaire répond du système, le remplaçant répond de ses usages. Et c'est précisément sur les usages que se produisent la plupart des incidents.

Trois pratiques, observées dans une majorité de cabinets, concentrent l'essentiel du risque :

1. Travailler sous la session du remplacé. « Je te laisse ma session ouverte, c'est plus simple » : cette phrase anodine détruit toute traçabilité. Les actes du remplaçant apparaissent au nom du titulaire dans le logiciel, le DMP et les téléservices. En cas de litige — sur un acte médical comme sur une consultation illégitime de dossier —, impossible de prouver qui a fait quoi. Le remplaçant doit exiger un compte utilisateur à son nom, et utiliser sa propre carte CPS pour la facturation et l'accès aux téléservices.

2. Le mot de passe sur le Post-it. L'accès au logiciel métier protégé par un mot de passe unique, partagé, affiché sous l'écran de la secrétaire : en cas de violation de données, la CNIL qualifie systématiquement ce type de manquement de négligence caractérisée.

3. Consulter des dossiers hors soins. Le remplaçant a techniquement accès à toute la patientèle. Ouvrir le dossier d'un voisin, d'un proche ou d'une personnalité locale sans le prendre en charge constitue un accès illégitime — l'un des motifs de sanction les plus fréquents dans le secteur de la santé, y compris contre des soignants individuels.

Le remplaçant itinérant est champion des transmissions : résultats de biologie à faire suivre au titulaire, courrier à l'hôpital, photo d'une plaie envoyée à un dermatologue. Chaque envoi hors canal sécurisé est une violation de données de santé.

Envoyer un compte rendu depuis sa boîte Gmail personnelle « juste pour cette fois » déclenche, en droit, une obligation de notification à la CNIL sous 72 heures, et d'information des patients si le risque est élevé. Peu de remplaçants le savent ; aucun n'a envie de le découvrir en situation.

Les règles sont simples à énoncer : messagerie MSSanté pour tout échange contenant des données patients (chaque médecin, remplaçant compris, peut ouvrir la sienne gratuitement via l'Ordre), jamais de données identifiantes par SMS ou messagerie grand public, et pas de photo de patient stockée dans la galerie personnelle du smartphone. WhatsApp entre confrères pour un avis, oui — mais alors sans nom, sans date de naissance, sans visage reconnaissable.

Quant aux ordonnances et arrêts de travail, ils doivent mentionner l'identité du remplaçant (« Dr X, remplaçant le Dr Y ») : une prescription émise sous la seule identité du titulaire est irrégulière et complique toute défense ultérieure.

Contrairement au médecin installé, le remplaçant transporte son environnement numérique de cabinet en cabinet : ordinateur portable personnel, smartphone, parfois une clé USB « avec deux ou trois modèles de courriers »… et des reliquats de données patients accumulés au fil des remplacements.

Le scénario noir est banal : un portable non chiffré volé dans une voiture, contenant des courriers nominatifs de trois cabinets différents. Trois responsables de traitement à prévenir, trois notifications CNIL potentielles, des patients à informer, et un remplaçant dont la négligence est au centre du dossier. Le coût direct d'un tel incident pour un professionnel isolé (assistance juridique, notification, expertise informatique) se chiffre couramment entre 5 000 et 25 000 €, avant toute sanction.

• Chiffrez le disque de votre ordinateur (BitLocker, FileVault) et votre téléphone : c'est gratuit et cela change la qualification juridique d'un vol.
• Ne stockez rien localement : travaillez dans le logiciel du cabinet, point.
• Méfiez-vous du Wi-Fi : demandez le réseau professionnel du cabinet, jamais le Wi-Fi invité partagé avec la salle d'attente.
• Purgez vos téléchargements et votre messagerie après chaque remplacement.

Le risque numérique du remplaçant a une particularité : il est diffus et personnel. Ce n'est pas le serveur d'un cabinet qui est en jeu, mais la responsabilité d'un professionnel qui circule entre plusieurs systèmes avec ses propres outils.

Une assurance cyber adaptée à cette situation intervient sur trois plans : la prise en charge de la gestion de crise (expertise informatique, accompagnement de la notification CNIL, communication vers les patients), la couverture de la responsabilité civile si des patients ou un cabinet remplacé demandent réparation après une fuite imputable au remplaçant, et l'assistance juridique en cas d'enquête de la CNIL ou de plainte pénale pour violation du secret.

Elle complète — sans la remplacer — la RC professionnelle médicale, qui couvre l'acte de soin. Pour un jeune médecin dont tout l'outil de travail tient dans une sacoche, la combinaison des deux constitue le socle assurantiel cohérent, détaillé sur notre fiche métier consacrée aux médecins remplaçants. Le réflexe à retenir : vos obligations numériques commencent dès la première connexion au logiciel du cabinet, pas le jour de votre installation.