Checklist RGPD pour cliniques — ce que la CNIL contrôle

Avertissement : cet article est un guide opérationnel basé sur la pratique sectorielle, pas un conseil juridique. Pour des situations particulières ou une procédure de sanction en cours, consultez un avocat spécialisé en RGPD et droit de la santé.

La CNIL (Commission Nationale de l’Informatique et des Libertés) contrôle régulièrement les cabinets de santé privés — avec une fréquence plus élevée pour les structures de plus de 500 patients actifs, et un contrôle quasi garanti dès qu’une plainte est déposée. Les sanctions vont du simple avertissement jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial annuel — le montant le plus élevé étant retenu (art. 83 RGPD).

La check-list qui suit couvre les 11 points qu’un contrôleur de la CNIL vérifie lors d’une visite standard dans un cabinet français. Si votre clinique coche les 11, le contrôle se termine par un procès-verbal positif. Si 3 points ou plus échouent, une sanction tombe.

1. Consentement éclairé pour les actes invasifs, signé et archivé

Quoi : pour tout acte invasif (chirurgie ambulatoire, épilation laser, mésothérapie, peeling, etc.), le patient doit avoir signé un consentement éclairé avant la première séance (art. L.1111-4 CSP). Le document détaille le déroulement de l’acte, les effets attendus, les effets indésirables, les alternatives possibles.

Comment vérifier : ouvrez la fiche de 3 à 5 patients ayant bénéficié d’un acte invasif au cours des 6 derniers mois. Vous devez trouver le PDF signé avec date, heure et piste d’audit dans chaque dossier.

Échec typique : le consentement traîne dans un classeur papier à part, ou n’a jamais été signé (remis au patient sur papier, jamais rapporté).

2. Consentement RGPD pour le traitement des données de santé

Quoi : à distinguer du consentement éclairé pour l’acte médical. Il s’agit du consentement général autorisant votre cabinet à traiter les données de santé du patient — catégorie particulière au sens de l’art. 9 RGPD. Obligatoire et à signer dès le premier contact.

Comment vérifier : ouvrez la fiche de 3 à 5 nouveaux patients du dernier mois. Vous devez trouver le PDF signé avec une date claire, antérieure à la première consultation programmée.

Échec typique : confusion avec le consentement éclairé de l’acte médical. Il s’agit de deux documents distincts, reposant sur des bases légales différentes (art. 9.2.h RGPD pour le soin, art. 9.2.a pour les traitements hors finalité de soin).

3. Consentement marketing séparé (Loi Informatique et Libertés)

Quoi : pour toute communication promotionnelle (offres, newsletter, “cette semaine -20%”), il vous faut un consentement marketing signé séparément. Une case générique “j’accepte tout” ne suffit pas — la CNIL exige un consentement explicite et granulaire (art. L.34-5 CPCE pour les e-mails et SMS commerciaux).

Comment vérifier : ouvrez la fiche des patients destinataires de la newsletter ou des promotions. Vous devez y trouver un consentement marketing distinct du consentement opérationnel, daté et horodaté.

Échec typique : tous les patients reçoivent la newsletter promotionnelle parce qu’ils “ont signé à l’inscription” — or cette signature couvrait le soin, pas le marketing. Sanction quasi-garantie si un patient porte plainte.

4. Contrat de sous-traitance avec chaque prestataire (art. 28 RGPD)

Quoi : tout service externe accédant aux données patient — logiciel de gestion, plateforme e-mail, plateforme WhatsApp, hébergeur, comptable — doit faire l’objet d’un contrat de sous-traitance signé (art. 28 RGPD), précisant les données traitées, la finalité, les mesures de sécurité et les obligations en cas de violation.

Comment vérifier : pour chaque prestataire amené à manipuler des données patient, vous devez disposer d’un contrat signé et archivé.

Échec typique : la clinique utilise Calendly + Mailchimp + Google Workspace + Zoom — aucun contrat de sous-traitance n’a été signé. La CNIL en réclame la preuve dès le contrôle.

5. Hébergement chez un prestataire certifié HDS

Quoi : spécificité française. Toute donnée de santé à caractère personnel doit être hébergée chez un prestataire certifié HDS (Hébergeur de Données de Santé), au titre de l’article L.1111-8 CSP. Certification délivrée par un organisme accrédité par le COFRAC.

Comment vérifier : votre CRM doit héberger ses données chez AWS, OVHcloud, Azure, Outscale ou tout autre hébergeur certifié HDS. Le certificat est accessible publiquement ou fourni dans le contrat de sous-traitance.

Échec typique : CRM hébergé chez un prestataire bas de gamme non certifié HDS. L’un des manquements les plus lourdement sanctionnés par la CNIL dans le secteur de la santé.

6. Politique de confidentialité publiée et accessible

Quoi : votre site doit présenter une politique de confidentialité accessible depuis chaque page (généralement en pied de page), couvrant les données collectées, les finalités, les sous-traitants, les durées de conservation et les droits du patient (art. 13 RGPD).

Comment vérifier : politique présente en pied de chaque page, accessible sans connexion, mentionnant les points ci-dessus.

Échec typique : politique copiée d’un modèle générique qui ne mentionne pas vos sous-traitants réels (point 4).

7. Bandeau cookies conforme aux lignes directrices CNIL

Quoi : si votre site dépose des cookies analytiques (Google Analytics, Hotjar, etc.) ou marketing, affichez un bandeau de consentement avant tout dépôt. Selon les lignes directrices CNIL (2020, mises à jour en 2023), refuser doit être aussi simple qu’accepter — pas de bouton “Refuser” relégué à un deuxième niveau.

Comment vérifier : ouvrez votre site en navigation privée. Le bandeau doit s’afficher avant tout chargement de cookies. “Refuser tout” doit être visible au même niveau que “Accepter tout”. Refuser ne doit pas les installer.

Échec typique : le bandeau s’affiche mais les cookies analytiques se chargent malgré tout — cas classique de Google Analytics 4 sans Consent Mode v2.

8. Procédure documentée pour les droits du patient

Quoi : les patients disposent des droits RGPD (accès, rectification, effacement, opposition, limitation, portabilité). Lorsqu’un patient demande “quelles données détenez-vous sur moi ?”, vous devez répondre sous un mois (art. 12.3 RGPD), délai prolongeable de deux mois pour les demandes complexes.

Comment vérifier : procédure écrite ? Adresse e-mail dédiée (dpo@cabinet.fr ou rgpd@cabinet.fr) ? Registre des demandes et des réponses ?

Échec typique : personne ne connaît la procédure ; la demande se perd dans la boîte e-mail générique ; la réponse arrive au bout de 60 jours, voire jamais.

9. Chiffrement des données en transit et au repos

Quoi : les données de santé relèvent des catégories particulières (art. 9 RGPD). Le chiffrement est obligatoire en transit (HTTPS) comme au repos (base chiffrée avec une clé non partagée avec des tiers non autorisés). Point rappelé par la CNIL dans son guide sécurité 2024.

Comment vérifier : site public en HTTPS ? Base de données du CRM chiffrée ? Si SaaS, le prestataire mentionne-t-il le chiffrement au repos dans son contrat de sous-traitance ?

Échec typique : site public en HTTPS, mais outil interne en HTTP avec données en clair. Ou base non chiffrée — un vol de serveur expose alors l’intégralité des dossiers.

10. Secret médical et accès restreint par rôle (art. R.4127-4 CSP)

Quoi : en France, le secret médical n’est pas qu’une obligation RGPD — sa violation constitue une infraction pénale (art. 226-13 Code pénal, un an d’emprisonnement et 15 000 € d’amende). La secrétaire n’a pas à consulter l’historique médical complet ; le médecin, oui. Les accès au CRM doivent donc être cloisonnés par rôle.

Comment vérifier : avec le compte de la secrétaire, le champ “historique médical” est-il visible ? Si oui, le cloisonnement fait défaut.

Échec typique : tous les utilisateurs ont accès à tout. Tolérable en TPE (1 à 2 personnes tenues par le même secret), problématique dès 5 utilisateurs.

11. Registre des traitements + plan de violation (art. 30 + 33 RGPD)

Quoi : deux documents en un.

• Registre des activités de traitement (art. 30) : document interne recensant chaque traitement — intitulé, finalité, base légale, catégories de données, durée de conservation, mesures de sécurité. Pour un cabinet privé classique, on compte 8 à 12 traitements distincts.
• Plan de réponse aux violations (art. 33) : en cas de piratage du CRM ou de perte d’une clé USB, notification à la CNIL en moins de 72 heures. Procédure préétablie, pas improvisée.

Comment vérifier : les deux documents existent-ils, à jour ? Pouvez-vous les présenter à la CNIL en moins de 5 minutes ?

Échec typique : ni l’un ni l’autre n’a été rédigé. L’un des manquements les plus fréquents lors d’un premier contrôle.

Comment Zellbox couvre nativement les 11 points

Zellbox est conçu dès le départ pour respecter le RGPD et les recommandations de la CNIL applicables aux cabinets de santé français :

• Consentements signés (1, 2, 3) — envoyés depuis la fiche patient, signés du doigt sur mobile, archivés en PDF signé avec horodatage et piste d’audit. Consentement opérationnel et consentement marketing séparés.
• Contrats de sous-traitance (4) — Zellbox signe un contrat de sous-traitance dès l’inscription ; AWS, Meta, Google et Stripe disposent de leurs propres contrats publiés.
• Hébergement HDS (5) — données hébergées chez AWS, certifié HDS. Certificat fourni sur demande.
• Politique de confidentialité + cookies conformes CNIL (6, 7) — page personnalisable avec vos mentions légales et la liste de vos sous-traitants.
• Procédure droits patient (8) — interface dédiée intégrée au CRM ; piste d’audit pour chaque demande et chaque réponse.
• Chiffrement en transit et au repos (9) — HTTPS + clés KMS dédiées par client sur AWS.
• Accès par rôle (10) — rôles admin / membre avec permissions différenciées, compatibles avec le secret médical.
• Registre + plan de violation (11) — modèle prérempli avec les traitements classiques d’un cabinet ; procédure intégrée de notification à la CNIL via votre DPO.

→ Démarrez gratuitement avec Zellbox (plan gratuit, sans carte bancaire) → Politique de confidentialité Zellbox — modèle de référence pour la vôtre → Calculateur de coût des rendez-vous manqués — chiffrez ce que les no-shows vous coûtent réellement → Callbell vs Zellbox pour cliniques — comparatif des deux plateformes WhatsApp pour le secteur de la santé

Le résumé sans détour

La CNIL ne contrôle pas “par hasard” — elle intervient sur plainte d’un patient, sur signalement d’un salarié, dans le cadre d’une campagne thématique sectorielle (le secteur de la santé est ciblé en 2024-2025), ou par échantillonnage aléatoire. Les trois premières causes sont évitables avec une bonne hygiène opérationnelle ; la dernière relève de la statistique.

Si les 11 points sont couverts avant qu’un contrôleur ne se présente, le contrôle se solde par un procès-verbal positif. Si 3 points ou plus sont en échec, la sanction tombe quelle que soit la taille du cabinet — les délibérations récentes de la CNIL (kinésithérapeute, 5 000 € ; cabinet dentaire, 25 000 €) montrent que les petites structures sont elles aussi sanctionnées.

La différence entre conformité réelle et conformité apparente tient à un seul critère : les consentements sont-ils signés et archivés directement dans la fiche patient, ou égarés dans un classeur papier non numérisé qui ne passera pas le premier contrôle ?

À propos de l’auteur : Nacho Coll est le fondateur de Zellbox. Il écrit sur l’automatisation WhatsApp Business pour les TPE et PME fonctionnant sur rendez-vous.