RGPD Cabinet Dentaire : Guide Complet de Conformité 2025

Q: Les cabinets dentaires doivent-ils nommer un DPO ?

Oui, les cabinets dentaires traitant des données de santé à grande échelle doivent désigner un Délégué à la Protection des Données (DPO). Pour les petits cabinets, un DPO mutualisé ou externe est recommandé mais pas obligatoire.

Q: Quelle est la durée de conservation des dossiers patients ?

Les dossiers médicaux dentaires doivent être conservés 20 ans à compter de la dernière consultation, ou jusqu'aux 28 ans du patient si celui-ci était mineur lors des soins.

Q: Quelles sont les sanctions en cas de non-conformité RGPD ?

Les sanctions peuvent atteindre 20 millions d'euros ou 4% du chiffre d'affaires annuel mondial. La CNIL peut également prononcer des avertissements, mises en demeure et sanctions rendues publiques.

Q: Comment recueillir le consentement des patients ?

Le consentement doit être libre, spécifique, éclairé et univoque. Il doit être recueilli par écrit pour le traitement des données de santé, avec une information claire sur la finalité et les droits du patient.

Le RGPD (Règlement Général sur la Protection des Données) s'applique pleinement aux cabinets dentaires. En tant que professionnel de santé, vous traitez quotidiennement des données sensibles : antécédents médicaux, radiographies, historique de soins, coordonnées bancaires pour les règlements...

Ces données de santé bénéficient d'une protection renforcée et leur traitement inadéquat peut entraîner des sanctions allant jusqu'à 20 millions d'euros. Mais au-delà des sanctions, la conformité RGPD est aussi un gage de confiance pour vos patients.

Sanctions CNIL en 2024

La CNIL a infligé plus de 150 millions d'euros d'amendes en France en 2024. Les professionnels de santé ne sont pas épargnés : plusieurs cabinets médicaux ont été sanctionnés pour des manquements à la sécurité des données patients.

Les 6 Obligations Fondamentales du RGPD

1. Licéité du traitement

Vous devez avoir une base légale pour traiter les données de vos patients. Pour un cabinet dentaire, c'est généralement l'exécution d'un contrat de soins ou l'obligation légale (conservation du dossier médical).

2. Finalité déterminée

Les données ne peuvent être collectées que pour des finalités explicites et légitimes : soins dentaires, gestion administrative, télétransmission Sésam-Vitale, facturation.

3. Minimisation des données

Ne collecter que les données strictement nécessaires. Demander l'adresse email est justifié pour les rappels, mais pas pour établir un profil marketing sans consentement.

4. Exactitude des données

Les données doivent être tenues à jour. Mettre en place des procédures pour que les patients puissent signaler facilement un changement d'adresse ou de coordonnées.

5. Limitation de conservation

Les données ne doivent pas être conservées au-delà du temps nécessaire. Pour les dossiers médicaux : 20 ans après la dernière consultation (ou 28 ans si patient mineur).

6. Sécurité et confidentialité

Mettre en œuvre des mesures techniques et organisationnelles appropriées : chiffrement, contrôle des accès, sauvegardes sécurisées, formation du personnel.

Les Droits des Patients sur leurs Données

Le RGPD confère à vos patients des droits spécifiques que vous devez être en mesure de respecter dans un délai d'un mois maximum :

ℹ️

Droit d'information

Informer le patient de la collecte et de l'utilisation de ses données (affichage en salle d'attente, mentions sur les formulaires)

📋

Droit d'accès

Fournir une copie de toutes les données détenues sur le patient qui en fait la demande

✏️

Droit de rectification

Corriger les données inexactes ou compléter les données incomplètes

🗑️

Droit à l'effacement

Supprimer les données sur demande (sauf obligation légale de conservation)

⏸️

Droit à la limitation

Geler temporairement le traitement en cas de contestation

📦

Droit à la portabilité

Transmettre les données à un autre praticien dans un format exploitable

Attention aux délais

Vous disposez d'un mois pour répondre à une demande d'exercice de droits. Ce délai peut être prolongé de 2 mois en cas de demande complexe, mais vous devez informer le patient dans le premier mois.

Sécurité des Données de Santé

Les données de santé sont considérées comme des données sensibles par le RGPD. Leur traitement impose des mesures de sécurité renforcées :

Mesures techniques obligatoires

Hébergement HDS : vos données patients doivent être hébergées chez un hébergeur certifié Hébergeur de Données de Santé
Chiffrement : les données doivent être chiffrées au repos et en transit (HTTPS, base de données chiffrée)
Authentification forte : mot de passe robuste, idéalement double authentification
Contrôle des accès : chaque utilisateur ne doit accéder qu'aux données nécessaires à sa fonction
Traçabilité : journal des accès et des modifications aux dossiers patients
Sauvegardes : sauvegardes régulières, testées et stockées de manière sécurisée

Mesures organisationnelles

Formation du personnel : sensibilisation aux bonnes pratiques de sécurité
Politique de mots de passe : renouvellement régulier, complexité minimale
Procédure en cas de violation : savoir réagir en cas de fuite de données
Clause de confidentialité : pour tous les collaborateurs et prestataires

Bonnes pratiques quotidiennes

Verrouiller les postes en quittant le bureau
Ne jamais partager ses identifiants
Vérifier l'identité avant de communiquer des informations par téléphone
Détruire les documents papier contenant des données patients (broyeuse)

Votre logiciel est-il conforme RGPD ?

Matisse intègre nativement toutes les mesures de sécurité requises : hébergement HDS, chiffrement, traçabilité des accès, gestion des consentements...

Découvrir Matisse

Plan de Mise en Conformité en 5 Étapes

Étape 1 : Cartographie des traitements

Identifier tous les traitements de données personnelles : dossiers patients, agenda, comptabilité, emailing, vidéosurveillance... Documenter pour chaque traitement : finalité, base légale, durée de conservation, destinataires.

Étape 2 : Tenir le registre des traitements

Obligatoire pour tous les professionnels de santé. Ce document recense l'ensemble de vos traitements et doit être mis à jour régulièrement. La CNIL propose un modèle gratuit.

Étape 3 : Informer les patients

Afficher la politique de confidentialité en salle d'attente, inclure les mentions obligatoires sur les formulaires de consentement, mettre à jour vos documents (devis, factures, site web).

Étape 4 : Sécuriser les données

Vérifier les mesures de sécurité de votre logiciel (hébergement HDS, chiffrement), mettre à jour les mots de passe, sensibiliser le personnel, documenter vos procédures.

Étape 5 : Organiser les procédures

Mettre en place une procédure pour répondre aux demandes des patients (accès, rectification, effacement), définir la procédure en cas de violation de données (notification CNIL sous 72h).

Le Rôle Crucial du Logiciel Dentaire

Votre logiciel de gestion de cabinet est le principal outil de traitement des données patients. Il doit donc être un allié dans votre conformité RGPD.

Ce que doit garantir votre logiciel

✓

Hébergement HDS certifié

Les données de santé doivent obligatoirement être hébergées chez un prestataire certifié

✓

Chiffrement des données

Chiffrement en transit (HTTPS) et au repos pour protéger contre les interceptions

✓

Gestion des accès utilisateurs

Profils différenciés (praticien, assistant, secrétaire) avec droits adaptés

✓

Traçabilité des actions

Journal des connexions et des modifications pour auditer les accès

✓

Export des données patient

Fonctionnalité d'export pour répondre aux demandes de portabilité

✓

Gestion des consentements

Traçabilité des consentements recueillis (SMS, email, données sensibles)

✓

Sauvegardes automatiques

Sauvegardes régulières et sécurisées avec possibilité de restauration

Questions Fréquentes sur le RGPD Dentaire

Les cabinets dentaires doivent-ils nommer un DPO ?

Les cabinets dentaires traitant des données de santé à grande échelle doivent désigner un Délégué à la Protection des Données (DPO). Pour un cabinet individuel ou de petite taille, un DPO n'est pas obligatoire mais fortement recommandé. Vous pouvez mutualiser un DPO avec d'autres cabinets ou faire appel à un DPO externe (consultant, avocat spécialisé).

Quelle est la durée de conservation des dossiers patients ?

Les dossiers médicaux dentaires doivent être conservés 20 ans à compter de la dernière consultation. Si le patient était mineur lors des derniers soins, la conservation doit aller jusqu'à ses 28 ans. Au-delà de ces délais, les données doivent être supprimées ou anonymisées.

Quelles sont les sanctions en cas de non-conformité ?

Les sanctions peuvent atteindre 20 millions d'euros ou 4% du CA annuel mondial (le montant le plus élevé). La CNIL peut également prononcer : avertissements, mises en demeure publiques, injonctions de mise en conformité, interdiction temporaire de traitement. Sans parler des dommages réputationnels auprès de vos patients.

Comment recueillir le consentement des patients ?

Le consentement doit être : libre (pas de contrainte), spécifique (une finalité à la fois), éclairé (information claire) et univoque (acte positif). Pour les données de santé, le consentement écrit est recommandé. Conservez une preuve du consentement avec sa date. Le patient doit pouvoir retirer son consentement aussi facilement qu'il l'a donné.

Que faire en cas de violation de données ?

En cas de violation (fuite, vol, perte de données), vous devez : 1) Notifier la CNIL dans les 72 heures si la violation présente un risque pour les droits des personnes. 2) Informer les patients concernés si le risque est élevé. 3) Documenter l'incident dans un registre interne. 4) Prendre les mesures pour éviter que cela se reproduise.

Passez à un logiciel conforme RGPD

Matisse vous accompagne dans votre mise en conformité avec une solution nativement sécurisée et un support dédié.

Demander une démo gratuite

Dr. Marie Laurent

Consultante RGPD Santé

Ancienne praticienne reconvertie dans le conseil en conformité RGPD pour les professionnels de santé. Accompagne les cabinets dentaires dans leur mise en conformité depuis 2018.