Un cabinet dentaire traite chaque jour des données de santé, que le RGPD range parmi les données sensibles. L'essentiel tient pourtant en quelques gestes, et la CNIL comme l'Ordre national des chirurgiens-dentistes fournissent des modèles prêts à l'emploi. Voici les points qui vous concernent, avec leur source officielle. Toutes les sources citées ont été consultées en octobre 2026.
Ce guide est informatif et ne remplace pas un conseil juridique adapté à votre situation (exercice en groupe, nombreux salariés, centre de santé).
Vous êtes responsable de traitement
Pour les données de vos patients, c'est vous, le praticien, qui êtes responsable de traitement. Le référentiel de la CNIL pour les cabinets médicaux et paramédicaux (publié en juillet 2020, consulté en octobre 2026), qui s'adresse aux professionnels de santé exerçant à titre libéral, le pose clairement : vous devez prendre les mesures techniques et organisationnelles adaptées et être capable de démontrer votre conformité à tout moment.
Ce référentiel n'est pas contraignant, mais il permet en principe d'être conforme : c'est la meilleure base de travail. Si vous vous en écartez, vous devez pouvoir le justifier.
Depuis le RGPD, plus de déclaration de fichier à la CNIL, rappelle l'Ordre dans sa fiche « Conséquences pour les chirurgiens-dentistes » (consultée en octobre 2026). En échange, c'est à vous de documenter.
Le registre des activités de traitement
Le registre est la pièce centrale. La CNIL prévoit une dispense partielle pour les structures de moins de 250 salariés, mais elle ne couvre pas les traitements de données de santé (CNIL, page sur le registre, consultée en octobre 2026). Un cabinet dentaire doit donc tenir le sien.
La méthode de l'Ordre (fiche citée plus haut) : lister les activités qui manipulent des données personnelles (suivi des patients, rendez-vous, paie, fournisseurs, sécurisation des locaux), puis rédiger une fiche générale et une fiche par activité, qui précise notamment :
- l'objectif du traitement et les personnes concernées ;
- les catégories de données, en signalant les données sensibles ;
- la durée de conservation ;
- les destinataires, les sous-traitants et les éventuels transferts hors de l'Union européenne ;
- les mesures de sécurité.
L'Ordre met à disposition un modèle de registre déjà prérempli pour deux activités, à adapter à votre cabinet. Le registre se garde au cabinet : selon la CNIL, on ne l'envoie pas, on le présente en cas de contrôle.
Informer vos patients : l'affiche en salle d'attente
Vos patients doivent savoir ce que vous faites de leurs données. Selon l'Ordre, une affiche dans la salle d'attente ou près du lieu d'encaissement suffit. Elle doit indiquer au minimum la finalité du traitement, la durée de conservation, qui a accès aux données et comment exercer ses droits. L'Ordre propose un modèle d'affiche (version du 13 mars 2025, consultée en octobre 2026) : il suffit de l'imprimer.
Inutile en revanche de faire signer un consentement pour tenir le dossier. Selon la fiche de la CNIL pour les professionnels de santé libéraux (juin 2018, consultée en octobre 2026), le consentement n'est pas requis pour les données nécessaires aux soins. Le référentiel de la CNIL précise que la tenue du dossier médical repose sur une obligation légale : le patient ne peut donc pas s'y opposer par principe. Il garde un droit d'accès à son dossier, et, sous conditions, des droits de rectification, d'effacement et de limitation. Le consentement aux soins, lui, est une autre question, traitée dans le guide du consentement éclairé dentaire.
Combien de temps garder le dossier patient
Plusieurs textes, parfois contradictoires, jouent sur cette durée (prescription de la responsabilité, droit d'accès du patient). L'Ordre a donc fixé une recommandation dans sa note « Délais de conservation des données médicales » (consultée en octobre 2026). Il préconise de conserver le dossier :
- 20 ans à compter de la date de la dernière prise en charge ;
- jusqu'au 28e anniversaire du patient si ces 20 ans s'achèvent avant ;
- 10 ans après le décès si le patient décède moins de 10 ans après sa dernière prise en charge.
Ces délais sont suspendus en cas de recours gracieux ou contentieux sur les soins. Le référentiel de la CNIL retient la même durée de 20 ans et propose de l'organiser en deux temps : 5 ans en base active après la dernière intervention sur le dossier, puis 15 ans en archive sur un support distinct, aussi bien protégé. Il fixe aussi à 3 mois la conservation des doubles de feuilles de soins électroniques (article R. 161-47 du code de la sécurité sociale). Au terme de ces délais, les données sont supprimées ou anonymisées.
Sécurité : les mesures de base
Le référentiel de la CNIL liste des mesures concrètes, que vous adoptez ou dont vous justifiez l'équivalent. Les principales pour un cabinet :
- Un identifiant par personne, et des mots de passe conformes aux recommandations de la CNIL. Pour l'accès aux données de santé, une authentification forte (carte CPS ou autre moyen à deux facteurs), sans jamais confier le code de votre CPS au secrétariat.
- Des accès limités : chaque profil ne voit que ce dont il a besoin (données administratives d'un côté, médicales de l'autre), et les accès inutiles sont supprimés.
- Des postes protégés : verrouillage automatique de session, antivirus à jour, écrans à l'abri des regards. Le référentiel cite aussi le chiffrement des données stockées, et demande de chiffrer systématiquement les données sensibles placées sur une clé USB ou un disque externe.
- Des sauvegardes régulières, avec des supports rangés dans un endroit sûr.
- La maintenance encadrée : données protégées (par exemple par chiffrement) pour que le technicien travaille sans les lire, et effacement complet avant de jeter un ordinateur.
- Le papier aussi : dossiers dans une armoire fermant à clé, documents inutiles passés au broyeur.
Pour aller plus loin, la CNIL publie un guide de la sécurité des données personnelles, vers lequel renvoie aussi l'Ordre.
Hébergement HDS : quand est-il obligatoire ?
Tout dépend de qui stocke les données. D'après le référentiel de la CNIL, dès que votre logiciel de dossiers patients est accessible à distance et hébergé par un prestataire (souvent l'éditeur, une plateforme de rendez-vous en ligne ou de télémédecine), ou que vous confiez le stockage des données à un prestataire sur ses serveurs (sauvegarde externalisée, permanence téléphonique), ce prestataire doit être hébergeur agréé ou certifié pour les données de santé, au sens de l'article L. 1111-8 du code de la santé publique.
L'exigence vise l'externalisation. Quand les données restent sur les ordinateurs du cabinet et qu'aucun prestataire ne les stocke pour vous, la question de l'hébergeur certifié ne se pose pas. Vous restez en revanche responsable de leur sécurité sur place : chiffrement, sauvegardes, accès.
Si vous utilisez un logiciel en ligne, demandez à l'éditeur son certificat. L'Agence du numérique en santé consacre une page à l'hébergement des données de santé.
Logiciels et prestataires : les contrats
Éditeur de logiciel en ligne, plateforme de rendez-vous, société de maintenance : tout prestataire qui traite des données de vos patients pour votre compte est un sous-traitant. Le référentiel de la CNIL demande un contrat (article 28 du RGPD) qui l'engage notamment à :
- ne traiter les données que sur vos instructions ;
- engager son personnel à la confidentialité et sécuriser les données ;
- ne pas recourir à un autre sous-traitant sans votre accord écrit préalable ;
- vous aider à répondre aux demandes des patients ;
- supprimer ou vous rendre les données en fin de contrat ;
- vous prévenir dans les meilleurs délais en cas d'incident.
Pour la prise de rendez-vous en ligne, la CNIL demande une répartition claire des responsabilités selon les services proposés. Chaque prestataire doit aussi apparaître dans votre registre.
En cas de violation de données
Un portable volé, un rançongiciel, un courrier envoyé au mauvais patient : ce sont des violations de données. Selon l'Ordre, toute violation susceptible de présenter un risque pour les patients doit être signalée à la CNIL dans les 72 heures, et les patients doivent aussi être prévenus si le risque est élevé.
La page de la CNIL sur la notification (consultée en octobre 2026) ajoute que la notification se fait par son téléservice, au besoin en deux temps, et que chaque incident doit être documenté en interne, même sans notification.
Faut-il un DPO ?
Pour un praticien qui exerce seul, non. La fiche de la CNIL pour les professionnels de santé libéraux indique que la désignation d'un délégué à la protection des données (DPO) n'est pas obligatoire dans ce cas, pas plus que l'analyse d'impact. Le DPO devient obligatoire si vous traitez des données de santé à grande échelle. Le référentiel de la CNIL donne un repère : un DPO et une analyse d'impact devraient être nécessaires pour un cabinet groupé qui partage un système d'information commun au-delà de 10 000 patients par an.
Le choix des logiciels compte
Une bonne partie de votre conformité se joue dans vos outils. Trois questions à poser :
- Où sont les données ? Sur votre poste, ou sur les serveurs de l'éditeur. Dans le second cas, il vous faut un hébergeur de données de santé agréé ou certifié et un contrat de sous-traitance.
- Sont-elles chiffrées ? En cas de vol, c'est ce qui fait la différence.
- Comment se sauvegardent-elles ? Une sauvegarde simple à faire est une sauvegarde qu'on fait vraiment.
C'est dans cet esprit que nous avons pensé Minimo, notre logiciel pour construire et présenter des plans de traitement clairs, sur Mac et Windows. Il a été conçu pour faciliter votre conformité : les données restent sur le poste du praticien, dans une base chiffrée. Aucune donnée patient n'est transmise à l'éditeur ni stockée dans le cloud ; les seules communications réseau servent à l'activation et à la vérification périodique de la licence, et à la vérification des mises à jour. La sauvegarde se fait en quelques clics, chiffrée par un mot de passe que vous choisissez, et vous gardez le fichier sur le support de votre choix, par exemple un disque externe rangé en lieu sûr. Vous restez responsable de traitement : inscrivez simplement Minimo dans votre registre.
Des plans de traitement clairs, des données qui restent chez vous
Minimo fonctionne sur votre poste, avec une base chiffrée. 39 € par mois, avec 14 jours d'essai gratuit.
Essayer gratuitement 14 joursQuestions fréquentes
Un cabinet dentaire doit-il tenir un registre RGPD ?
Oui. La dispense prévue pour les structures de moins de 250 salariés ne couvre pas les traitements de données de santé, selon la CNIL. L'Ordre des chirurgiens-dentistes propose un modèle de registre à compléter.
Combien de temps conserver le dossier d'un patient au cabinet dentaire ?
L'Ordre des chirurgiens-dentistes préconise 20 ans à compter de la dernière prise en charge, prolongés jusqu'au 28e anniversaire du patient si besoin, et 10 ans après le décès si celui-ci survient moins de 10 ans après la dernière prise en charge.
Un chirurgien-dentiste libéral doit-il désigner un DPO ?
Pas s'il exerce seul, selon la CNIL. Elle estime en revanche qu'un DPO et une analyse d'impact devraient être nécessaires pour un cabinet groupé qui partage un système d'information commun au-delà de 10 000 patients par an.
Faut-il un hébergeur HDS pour son logiciel dentaire ?
Oui si un prestataire stocke les données de vos patients sur ses serveurs (logiciel en ligne, sauvegarde externalisée) : il doit être agréé ou certifié hébergeur de données de santé. Non si les données restent sur les postes du cabinet sans hébergement externalisé.