Données de santé et ergothérapie libérale : ce que dit vraiment le RGPD

Par Rémi ALTINA — publié le 24 août 2026 — 11 min de lecture

Le RGPD est le sujet sur lequel les ergothérapeutes libéraux reçoivent le plus d'informations contradictoires. Faut-il un hébergeur certifié ? A-t-on le droit d'envoyer un compte-rendu par mail ? Combien de temps garde-t-on un dossier ?

Cet article distingue trois choses qu'on mélange en permanence : ce qui est obligatoire, ce qui est prudent, et ce qui relève de la légende.

Ce que vous traitez, et à quel titre

Dès que vous notez le nom d'un enfant, sa date de naissance et une observation clinique, vous traitez des données de santé. Le simple fait qu'elles soient sur un carnet papier ne change rien au régime — seulement aux mesures de sécurité pertinentes.

Vous êtes responsable de traitement : c'est vous qui décidez pourquoi et comment ces données sont traitées. Vos outils — logiciel métier, hébergeur de mails, service de sauvegarde, prestataire d'IA — sont vos sous-traitants. La distinction n'est pas administrative : elle veut dire que la responsabilité ne se délègue pas. Si votre outil fait n'importe quoi, c'est vous que ça engage.

La base légale, en une phrase

Le traitement de données de santé est en principe interdit, avec des exceptions. Celle qui vous concerne est la prise en charge sanitaire, exercée par un professionnel soumis au secret professionnel.

Conséquence pratique : vous n'avez pas besoin du consentement du patient pour tenir son dossier. Vous en avez besoin, en revanche, pour ce qui sort du soin — transmettre un bilan à l'école, par exemple, ou utiliser un cas dans une publication.

C'est une confusion fréquente, et elle a un coût dans les deux sens : on fait signer des consentements inutiles pour le dossier, et on transmet à l'école sans accord écrit.

HDS ou pas HDS ?

La question qui revient le plus, et celle sur laquelle circulent le plus d'affirmations péremptoires.

L'hébergement de données de santé certifié (HDS) s'impose à qui héberge des données de santé pour le compte d'un tiers. Un hébergeur qui stocke les dossiers de milliers de praticiens est concerné. Un praticien qui garde ses dossiers sur son propre poste ne s'héberge pas « pour le compte d'un tiers » : il est chez lui.

Ce qu'il faut en retenir :

• Si vous utilisez un logiciel métier en ligne qui stocke des données nominatives de santé, la question de la certification de son hébergeur se pose légitimement — posez-la, et attendez une réponse écrite.
• Si l'outil ne stocke aucune donnée nominative, parce que les dossiers y sont pseudonymisés, la question change de nature. C'est tout l'intérêt de la pseudonymisation : elle déplace le problème au lieu de le gérer.
• Sur votre poste, la certification n'est pas le sujet. Le chiffrement du disque, la sauvegarde et le mot de passe le sont.

La pseudonymisation, et ce qu'elle change vraiment

Pseudonymiser, c'est remplacer l'identité par une référence, et garder la correspondance ailleurs, sous votre contrôle.

Elle ne rend pas les données anonymes — la ré-identification reste possible, donc le RGPD continue de s'appliquer. Mais elle réduit massivement la portée d'un incident : une base pseudonymisée qui fuit expose des scores et des observations rattachés à « patient 47 », pas à un enfant nommé, scolarisé à telle adresse.

C'est la mesure au meilleur rapport effort/protection de toute cette liste, et c'est celle qui manque le plus souvent.

Vos sous-traitants

Chaque outil qui touche à des données de patients est un sous-traitant, et le RGPD demande un contrat qui encadre ce qu'il en fait : un accord de sous-traitance, souvent appelé DPA.

Les questions à poser, et à obtenir par écrit :

• Où sont hébergées les données ? Un hébergement dans l'Union européenne évite toute la question des transferts hors UE, qui est un dossier à elle seule.
• Qui y a accès ? Le support technique du prestataire peut-il lire vos dossiers ?
• Combien de temps sont-elles conservées après résiliation, et sous quelle forme ?
• Servent-elles à autre chose ? Statistiques, amélioration du produit, entraînement de modèles.
• Que se passe-t-il si vous partez ? Pouvez-vous récupérer vos données dans un format exploitable ?

Un prestataire sérieux répond à ces cinq questions sans se faire prier. Un prestataire qui botte en touche vous dit quelque chose.

Le cas particulier de l'IA

Le sujet le plus récent et le plus mal cadré. Coller un compte-rendu contenant le nom d'un enfant, sa date de naissance et ses résultats dans un service grand public, c'est transmettre des données de santé à un tiers, hors de tout cadre contractuel.

La règle est la même que partout : ne jamais envoyer de données nominatives. Un prénom remplacé par une initiale ne change rien à la qualité d'une reformulation, et change tout au niveau de risque. Le sujet est développé dans l'IA peut-elle rédiger un bilan d'ergothérapie.

Combien de temps conserve-t-on ?

Il n'existe pas de durée unique gravée dans un texte pour le libéral. Ce qui existe :

• une obligation de ne pas conserver indéfiniment : la durée doit être justifiée par une finalité ;
• des durées longues communément retenues pour les dossiers de soin, de l'ordre de deux décennies après la fin de la prise en charge, alignées sur les délais applicables aux établissements de santé ;
• des règles distinctes pour la comptabilité, qui n'ont rien à voir avec le dossier clinique.

Ce qui est certain, c'est qu'il faut écrire votre durée quelque part et l'appliquer. Une politique de conservation explicite, même imparfaite, vaut mieux qu'une absence de politique — et c'est ce qu'une demande de la CNIL vous demanderait de produire.

Les droits des patients, version cabinet libéral

Les parents peuvent demander l'accès au dossier de leur enfant, sa rectification, et une copie. Trois points pratiques :

• L'accès se prépare. Un dossier tenu de façon lisible se communique ; un dossier fait de notes éparses est un problème le jour où on le demande.
• Vos notes personnelles — hypothèses de travail, impressions — n'ont pas vocation à figurer dans le document transmis. Elles ne doivent pas non plus se retrouver dans un compte-rendu, comme le rappelle la trame du bilan.
• Le droit à l'effacement ne s'applique pas de la même façon aux données de soin qu'à une liste de diffusion. Une obligation de conservation prime sur une demande de suppression.

Ce qui est obligatoire, prudent, ou légende

La dernière ligne mérite un mot. Un hébergeur certifié protège l'infrastructure ; il ne protège pas d'un mot de passe partagé, d'une session ouverte dans une salle d'attente, ou d'un compte-rendu envoyé au mauvais destinataire. La très grande majorité des incidents réels viennent de là, pas du datacenter.

Par où commencer

Trois choses, dans cet ordre, et vous aurez fait l'essentiel du chemin :

1. Écrire votre registre. Une page suffit : quelles données, pour quoi faire, où elles sont, combien de temps, qui y accède.
2. Faire la liste de vos sous-traitants et poser les cinq questions à chacun. Vous serez surpris de ce que vous découvrirez sur certains.
3. Pseudonymiser ce qui peut l'être. C'est la mesure qui réduit le plus le risque pour le moins d'effort.

Le RGPD n'est pas un obstacle à la pratique : c'est une formalisation de ce que le secret professionnel demandait déjà. La différence, c'est qu'il faut désormais pouvoir le montrer.