Téléconsultation en activité libérale : le PH est seul responsable des données de santé

De plus en plus de praticiens hospitaliers développent la téléconsultation dans leur secteur libéral : suivi post-opératoire, renouvellements, avis de recours. La tentation est forte d'utiliser les outils déjà en place — dossier patient informatisé de l'établissement, messagerie professionnelle, voire un simple lien de visioconférence grand public.

C'est là que le raisonnement déraille. Pour votre activité statutaire, l'hôpital est responsable de traitement et son DPO veille au grain. Pour votre patientèle libérale, vous devenez responsable de traitement au sens du RGPD, à titre personnel : fichier patients, agenda, comptes rendus, facturation des honoraires. Un enregistrement de téléconsultation privée stocké sur un ordinateur personnel ou un cloud grand public engage votre seule responsabilité — ni le DPO ni l'assurance de l'établissement ne vous suivront sur ce terrain.

Le socle est le même que pour tout médecin libéral, avec la sensibilité maximale attachée aux données de santé :

• Registre des traitements : fichier patients, téléconsultation, prise de rendez-vous en ligne, facturation ;
• Hébergement certifié HDS pour toute donnée de santé stockée par un tiers — un drive grand public est exclu ;
• Plateforme de téléconsultation conforme : chiffrement de bout en bout, pas d'enregistrement par défaut, mentions d'information des patients ;
• Messagerie sécurisée de santé (MSSanté) pour les échanges de comptes rendus, jamais une boîte personnelle ;
• Durées de conservation alignées sur le dossier médical (20 ans après le dernier passage) et minimisation partout ailleurs ;
• Contrats de sous-traitance (article 28 RGPD) avec votre secrétariat externalisé et vos éditeurs.

Bonne nouvelle : un cabinet individuel n'a en général ni DPO obligatoire ni analyse d'impact systématique. Mais l'exigence de sécurité, elle, est entière.

Un ordinateur portable volé, un compte de visioconférence compromis, un export de fichier patients envoyé au mauvais destinataire : la violation de données déclenche une mécanique stricte. Notification à la CNIL sous 72 heures, information individuelle des patients si le risque est élevé, documentation interne de l'incident.

La CNIL a déjà sanctionné des médecins libéraux à titre personnel — plusieurs milliers d'euros d'amende pour des imageries médicales librement accessibles en ligne à cause d'un paramétrage défaillant. Le statut hospitalier ne confère aucune immunité pour l'activité privée.

S'ajoutent le risque pénal de violation du secret professionnel (article 226-13 du Code pénal), le coût technique de l'investigation et de la remise en état, et un dommage réputationnel réel pour une patientèle de recours. Et si l'hôpital subit une cyberattaque qui emporte aussi vos données libérales stockées au mauvais endroit, ses garanties ne joueront pas pour votre compte : vous serez seul face à vos patients.

La feuille de route tient en quelques décisions structurantes :

• une plateforme de téléconsultation dédiée à l'activité libérale, hébergée HDS, distincte des outils de l'établissement ;
• double authentification sur tous les comptes, poste de travail chiffré, sauvegardes automatiques testées ;
• séparation stricte des flux : agenda, facturation et dossiers libéraux ne transitent jamais par les serveurs de l'hôpital ;
• une information claire des patients sur le dispositif et leurs droits.

Reste le risque résiduel, qui ne se supprime jamais totalement : c'est le rôle d'une assurance cyber, qui prend en charge l'expertise technique après incident, les frais de notification CNIL et d'information des patients, la gestion de crise, la cyber-extorsion et la responsabilité civile liée aux données. Pour un praticien hospitalier en secteur libéral, elle complète la RC professionnelle sans la recouper : l'une répond de vos actes de soin, l'autre de votre système d'information. Les deux volets sont détaillés sur la fiche praticien hospitalier en activité libérale.