Le test d'anonymisation avec ses exemples, le vrai barème des sanctions, le protocole des 72 heures, et le registre de vos outils.
Huit formulations réelles, avec ce qui cloche et la version qui passe. La réponse du modèle est identique dans les deux colonnes : vous ne perdez rien.
Homme, 67 ans, HTA, DT2, vu ce matin
L'âge exact et la date de consultation sont deux identifiants partiels. Croisés avec la pathologie, ils désignent souvent une seule personne de votre patientèle.
Un homme de la soixantaine, hypertendu, diabétique de type 2
Même information clinique utile, aucun identifiant.
Mme B., 34 ans, enseignante à [commune]
Initiale, âge exact, profession et commune. Quatre éléments, dont un suffisamment rare localement.
Une patiente d'une trentaine d'années, en activité
La profession n'apporte rien, sauf si elle est cliniquement décisive. Dans ce cas, écrivez la catégorie d'exposition, pas le métier.
Patient opéré le 12 mars à [établissement]
Une date d'intervention et un établissement identifient une personne dans un registre opératoire.
Patient opéré il y a environ quatre mois, en établissement
Les délais relatifs conservent la chronologie clinique sans donner de repère.
Enfant de 8 ans, maladie rare [nom], scolarisé à [ville]
Le cas le plus dangereux. Une pathologie rare associée à un âge et à un lieu ne laisse aucun doute.
Enfant d'âge scolaire, atteint d'une maladie rare du groupe [catégorie]
Sur les pathologies rares, renoncez au détail ou renoncez à l'outil. Il n'y a pas de troisième voie.
Le test qui tranche Montrez votre formulation à un confrère de votre structure. S'il devine de qui il s'agit, recommencez. S'il répond « ça pourrait être plusieurs de mes patients », vous y êtes. Ce test vaut mieux que n'importe quelle règle écrite, parce qu'il tient compte de votre patientèle réelle.
Le barème exact, par nature de manquement et par autorité. À lire une fois, pour cesser de craindre la mauvaise chose.
| Le manquement | Qui sanctionne, et quoi |
|---|---|
| Révéler une information couverte par le secret | Juge pénal : un an d'emprisonnement et 15 000 euros d'amende. C'est la sanction qui vous concerne le plus directement, et elle ne suppose aucun préjudice démontré. |
| Défaut de sécurité des données, ou absence de notification d'une violation | CNIL : mesures correctrices et amendes administratives. Le plafond théorique est très élevé, mais les sanctions prononcées contre des praticiens libéraux se sont situées à quelques milliers d'euros, assorties d'une publication. |
| Préjudice subi par un patient | Juge civil : indemnisation. Le préjudice moral lié à une divulgation de données de santé est indemnisable même sans conséquence matérielle. |
| Manquement déontologique | Chambre disciplinaire de l'Ordre : de l'avertissement à l'interdiction d'exercer. C'est la sanction la plus lourde en pratique, et celle dont on parle le moins. |
| Héberger des données de santé sans certificat | Juge pénal : trois ans et 45 000 euros. Cette infraction vise celui qui fournit la prestation d'hébergement. Un médecin qui confie ses données à un prestataire non certifié engage sa responsabilité, mais pas sur ce fondement. |
Ce que dit l'affaire de référence Deux radiologues libéraux, sanctionnés par la CNIL en décembre 2020. Origine : une box internet mal configurée et un logiciel d'imagerie mal paramétré. Des milliers d'images accessibles en ligne, avec les noms, prénoms et dates de naissance. Deux griefs retenus : le défaut de sécurité, et le fait de ne pas avoir notifié la violation. Aucun des deux ne suppose une intention, ni même une négligence spectaculaire.
L'infographie du livre les résume. Voici pour chacun le geste précis, celui qui prend dix secondes et qui change la situation.
La règle ne dépend pas de l'outil mais du contenu. Un assistant généraliste peut servir à énormément de choses, à condition que rien de ce que vous tapez ne désigne quelqu'un.
Le geste Avant d'envoyer, relisez votre message en cherchant uniquement les chiffres et les noms propres. Deux secondes, et vous attrapez l'essentiel.
Remplacer un nom par une initiale ne fait pas sortir du champ du règlement. Il faut retirer ce qui permet de reconnaître, y compris par recoupement.
Le geste Remplacez systématiquement l'âge exact par une décennie et la date par un délai relatif. À elles deux, ces substitutions règlent la majorité des situations.
« Nos serveurs sont en Europe » ne répond pas à la question. Le référentiel en vigueur impose déjà la localisation européenne : la certification est l'exigence, l'Europe en est une composante.
Le geste Demandez le certificat par écrit, avec sa version et sa date d'expiration. Un fournisseur conforme l'envoie en vingt-quatre heures.
L'Académie nationale de médecine qualifie cette obligation d'absolue et précise que l'omission constitue une faute potentielle. L'information doit être tracée.
Le geste Une phrase à l'oral, une ligne au dossier la première fois. Elle vaut ensuite pour la suite du suivi.
La supervision humaine n'est effective que si elle laisse une trace. Un clic de validation ne démontre rien.
Le geste Quand une sortie a pesé sur une conduite, trois lignes au dossier : ce qu'elle proposait, ce que vous avez retenu, pourquoi.
Ce que personne ne prépare, et qui décide de la gravité des suites. Une violation notifiée dans les délais et corrigée n'a presque jamais les mêmes conséquences qu'une violation découverte par un tiers.
Coupez l'accès, supprimez ce qui peut l'être, et notez immédiatement par écrit : que s'est-il passé, quand, quelles données, combien de personnes concernées, et comment vous l'avez découvert. Cette note écrite au moment des faits vaut plus que tout ce que vous reconstituerez ensuite.
Les données étaient-elles accessibles à des tiers, et lesquelles ? Y a-t-il un risque pour les personnes concernées, et de quelle nature : divulgation d'un état de santé, usurpation, préjudice moral ? Cette évaluation détermine la suite.
La notification à la CNIL doit intervenir dans les meilleurs délais et au plus tard soixante-douze heures après la prise de connaissance, sauf si la violation est peu susceptible d'engendrer un risque. En cas de doute, on notifie : une notification de trop ne coûte rien, une notification manquante est un manquement autonome.
Lorsque la violation est susceptible d'engendrer un risque élevé, les personnes concernées doivent être informées dans les meilleurs délais, en termes clairs et simples. Pour un cabinet, cela signifie un courrier, pas une mention sur un site.
Toute violation doit être documentée dans un registre interne, y compris celles qui ne sont pas notifiées, avec les faits, les effets et les mesures prises. Ce registre est ce que l'autorité demandera en premier en cas de contrôle.
FICHE D'INCIDENT · VIOLATION DE DONNÉES Date et heure de découverte : Découvert par : Comment : NATURE DE L'INCIDENT Type : perte / accès non autorisé / divulgation / altération / indisponibilité Description factuelle en cinq lignes : DONNÉES CONCERNÉES Catégories : identité / coordonnées / données de santé / autres Volume estimé : Nombre de personnes concernées : Période pendant laquelle les données ont été exposées : ÉVALUATION DU RISQUE Risque pour les personnes : faible / modéré / élevé Justification : MESURES IMMÉDIATES PRISES Heure : Nature : DÉCISIONS Notification à l'autorité : oui / non · Date et heure : Information des personnes concernées : oui / non · Date et modalité : Motif si absence de notification : SUITES Cause identifiée : Mesures correctives durables : Date de clôture : Rédigé par :
Un tableau de dix lignes, tenu une fois par an. C'est ce qui transforme une conviction en preuve.
Outil | Éditeur | Usage au cabinet | Données traitées (aucune donnée de santé / données de santé) | Hébergeur | Certificat HDS : numéro, version, expiration | Contrat de sous-traitance signé (oui/non, date) | Engagement de non-entraînement (référence contractuelle) | Utilisateurs formés (noms de fonction, date) | Dernière vérification Exemple : [Nom] | [Éditeur] | Rédaction de courriers administratifs | Aucune donnée de santé | Sans objet | Sans objet | Non applicable | Conditions générales du [date], archivées | Médecin, secrétariat, 12/03/2026 | 01/07/2026
Pourquoi la colonne « données traitées » est la première à remplir Parce qu'elle détermine toutes les autres. Un outil qui ne voit jamais de donnée de santé n'appelle ni certificat ni hébergeur, et cela représente la majorité des usages décrits dans ce livre. Le distinguer explicitement évite d'appliquer des exigences là où elles ne s'imposent pas, et de les oublier là où elles s'imposent.
Une heure, à date fixe. Le premier janvier ou le jour de votre anniversaire d'installation, peu importe, pourvu que ce soit une date.
Y compris les outils ajoutés en cours d'année, et ceux que j'ai cessé d'utiliser.
Version et date d'expiration vérifiées, pas seulement l'existence du certificat.
Une attestation datée. C'est une obligation depuis février 2025 pour les organisations qui déploient ces outils.
Une page, datée, que quelqu'un pourrait lire à ma place.
La fiche d'incident est imprimée et rangée à un endroit connu. Pas à chercher le jour où il faudra la remplir.
Configuration du réseau, chiffrement des postes, sauvegardes. C'est précisément là que se situait la faute des deux radiologues sanctionnés.
Un courrier parti par erreur se rattrape. Une donnée partie se duplique. C'est l'irréversibilité qui fonde la règle. Aucune sanction, aussi lourde soit-elle, ne rend à un patient la confidentialité qu'il a perdue.
Pour un cabinet libéral traitant des données de santé dans le cadre normal du soin, la désignation n'est pas systématiquement obligatoire, mais elle est fortement recommandée dès que la structure grandit. En cas de doute, la mutualisation entre plusieurs cabinets ou au sein d'une maison de santé est la solution la plus simple.
Non. La certification concerne l'hébergement de données de santé. Si vous rédigez des courriers administratifs, préparez de la veille ou créez des supports d'information, la question ne se pose pas. Elle se pose dès qu'un élément identifiant entre dans l'outil.
Restreignez immédiatement l'usage aux tâches sans donnée de santé, demandez les pièces par écrit à l'éditeur, et documentez la date à laquelle vous avez découvert le problème et ce que vous avez fait. Une réaction tracée change tout si la question revient plus tard.
La notification s'impose sauf si la violation est peu susceptible d'engendrer un risque pour les personnes. Avec des données de santé, ce cas est rare. En pratique, dans le doute, on notifie et on documente le raisonnement.
Entièrement, et c'est souvent par là que les incidents arrivent. Le secret couvre l'ensemble des personnes qui participent à la prise en charge. Une page de règles écrite et une heure de formation protègent d'abord vos collaborateurs.
Elles peuvent l'être, et la publication est souvent perçue comme plus lourde que le montant. Dans les affaires concernant des praticiens libéraux, les décisions ont été publiées de manière anonymisée, mais commentées largement dans la presse professionnelle.
| Élément | Source |
|---|---|
| Obligation de certification pour l'hébergement de données de santé pour le compte d'un tiers, et exigence de localisation dans l'Espace économique européen | Code de la santé publique, article L.1111-8, et référentiel de certification en vigueur |
| Sanction pénale de la prestation d'hébergement sans certificat : trois ans d'emprisonnement et 45 000 euros, visant le prestataire d'hébergement | Code de la santé publique, article L.1115-1 |
| Violation du secret professionnel : un an d'emprisonnement et 15 000 euros | Code pénal, article 226-13, et Code de la santé publique, article L.1110-4 |
| Sécurité des traitements et notification des violations de données à l'autorité dans un délai maximal de soixante-douze heures, information des personnes en cas de risque élevé, documentation interne des violations | RGPD, articles 32, 33 et 34 |
| Sanction de deux médecins radiologues libéraux en décembre 2020 pour défaut de sécurité et absence de notification, à la suite d'un contrôle en ligne, amendes de 3 000 et 6 000 euros, l'une réduite à 2 500 euros par le Conseil d'État en juillet 2022 | CNIL, délibérations de la formation restreinte du 7 décembre 2020 |
| Obligation absolue d'informer le patient de l'utilisation de l'IA, et traçabilité de cette information | Académie nationale de médecine, rapport adopté le 7 octobre 2025 |
| Obligation de maîtrise des outils d'IA pour les organisations qui les déploient | Règlement (UE) 2024/1689 |
Les montants de sanction cités correspondent aux textes en vigueur et aux décisions publiées. Les plafonds administratifs prévus par le règlement européen sont beaucoup plus élevés, mais les sanctions prononcées contre des praticiens libéraux se sont situées à un tout autre niveau.