Que doit contenir le registre des traitements d’un cabinet médical ?
Une fiche par traitement. Pour chacune : son objet, les personnes et les données concernées, qui y a accès, où les données vont, combien de temps elles sont gardées, et comment elles sont protégées. C’est un document interne, que vous ne transmettez pas à la CNIL mais que vous devez pouvoir produire.
Un cabinet n’a jamais un seul traitement. Il en a plusieurs : les dossiers patients, la prise de rendez-vous, la télétransmission et la facturation, la comptabilité, le personnel s’il y en a.
Réponse vérifiée sur les textes en vigueur le 9 septembre 2026.
La dispense des moins de 250 salariés ne vous couvre pas
C’est la confusion la plus fréquente. Le règlement prévoit bien une dispense de registre pour les organismes de moins de 250 salariés, ce que tout cabinet est. Mais cette dispense tombe dès que le traitement porte sur des données relevant des catégories particulières, dont les données concernant la santé.
Un cabinet médical traite des données de santé de façon régulière, par construction. La dispense ne joue donc pas, et la CNIL l’écrit explicitement pour les professionnels de santé libéraux.
Article 30 du règlement général sur la protection des données, notamment son paragraphe 5, lu avec son article 9. texte en vigueur
CNIL, « RGPD et professionnels de santé libéraux : ce que vous devez savoir ». texte en vigueur
Les sept mentions de chaque fiche
Qui est responsable
Votre nom et vos coordonnées comme responsable du traitement, ceux du délégué à la protection des données si vous en avez désigné un, et ceux d’un éventuel responsable conjoint.
La finalité
À quoi sert ce traitement, dit en une phrase : suivi médical des patients, prise de rendez-vous, télétransmission des feuilles de soins, gestion de la paie.
Les personnes et les données
Les catégories de personnes concernées — patients, salariés, correspondants — et les catégories de données traitées, en signalant les données de santé pour ce qu’elles sont.
Les destinataires
Qui reçoit les données : votre secrétariat, votre éditeur de logiciel, votre hébergeur, l’assurance maladie, un correspondant, votre comptable.
Les transferts hors de l'Union
S’il y en a, le pays destinataire et la garantie qui les encadre. À vérifier du côté de votre logiciel et de votre messagerie, où la réponse n’est pas toujours celle qu’on croit.
Les durées de conservation
Le délai au terme duquel chaque catégorie de données est effacée. Un « tant que nécessaire » ne remplit pas cette mention.
Les mesures de sécurité
Une description générale : comptes nominatifs, mot de passe, chiffrement du poste, sauvegardes et leur test, verrouillage des locaux, contrat avec l’hébergeur.
CNIL, référentiel relatif aux traitements de données personnelles pour les cabinets médicaux et paramédicaux. texte en vigueur
Ce que le Diagnostic regarde sur ce point
- Si le registre existe, et s’il couvre tous vos traitements ou seulement les dossiers patients.
- Les durées de conservation écrites, comparées à ce que fait réellement votre logiciel.
- L’information délivrée aux patients, et l’endroit où elle l’est.
- La manière dont une demande d’accès au dossier est traitée aujourd’hui, et en combien de temps.
Les autres questions
Cette réponse vaut pour la règle. Le Diagnostic vaut pour votre cabinet.
Le questionnaire ouvre bientôt. Écrivez-nous et vous serez prévenu.