Conservation du dossier médical et sécurité des données de santé : durées, journaux d'accès et violations

La plupart des textes sur la sécurité des données de santé s'arrêtent au pare-feu et à la sensibilisation au phishing. Les questions qui arrivent chez le responsable d'un cabinet sont plus étroites : combien de temps garde-t-on ce dossier ? Qui l'a ouvert mardi dernier ? Faut-il déclarer l'ordinateur perdu ? Et sous quel délai remettre sa copie au patient ?

Ce guide répond à ces quatre questions pour la France. La conservation du dossier médical repose, pour les établissements, sur l'article R1112-7 du Code de la santé publique. Le RGPD règle la sécurité (art. 32) et les violations de données (art. 33 et 34), et l'article L1111-7 du même code l'accès du patient. Les règles américaines de HIPAA servent de point de comparaison, pas de modèle.

Le piège : ces règles suivent un dossier pendant toute sa vie. Un formulaire de consentement signé en 2026 peut encore relever de votre responsabilité en 2046.

Côté signature, notre autre guide explique comment faire signer les formulaires patients à distance. La page Chaindoc dédiée à la santé liste les documents que les cabinets nous confient.

Aux États-Unis, l'essentiel de la sécurité passe par un seul règlement, et les chiffres ci-dessus montrent où il est mis à l'épreuve : quatre grandes violations sur cinq étaient du piratage ou des incidents informatiques, et les données se trouvaient le plus souvent sur un serveur du réseau. En France, les exigences se répartissent entre plusieurs textes. Pour des dossiers stockés, ils posent tous la même question : qui accède au serveur, le remarqueriez-vous, et pourriez-vous le remettre en marche ?

L'article 32 du RGPD demande des mesures techniques et organisationnelles adaptées au risque, et en donne des exemples. Les données de santé font partie des catégories particulières de l'article 9, ce qui relève le niveau d'attente. Pour l'hébergement, l'article L1111-8 du Code de la santé publique demande une certification HDS à celui qui héberge des données de santé pour le compte de ceux qui les produisent ; nous y revenons plus bas.

Conservation du dossier médical : les mesures de sécurité à exiger

• Pseudonymisation et chiffrement (art. 32, § 1, point a) : le texte les cite en exemple. Si vous y renoncez, écrivez ce qui protège à la place.
• La capacité à garantir en permanence la confidentialité, l'intégrité, la disponibilité et la résilience des systèmes (point b).
• Rétablissement (point c) : remettre les données à disposition rapidement après un incident physique ou technique.
• Une procédure pour tester et évaluer régulièrement l'efficacité des mesures (point d).
• Des comptes nominatifs, retirés le jour du départ : sans eux, aucune traçabilité n'est possible.
• Le secret professionnel de l'article L1110-4, qui couvre toutes les informations venues à la connaissance du professionnel.

Tout cela se documente : l'article 5, paragraphe 2, du RGPD vous demande de pouvoir démontrer que vous respectez les principes.

Franchement, la ligne que les cabinets sous-estiment le plus est le rétablissement. Une sauvegarde dont vous n'avez jamais restauré le contenu est un espoir, pas un plan.

Qui cherche la durée de conservation du dossier médical tombe sur « 20 ans ». C'est exact, mais pour les établissements de santé. L'article R1112-7 du Code de la santé publique fixe ce délai à compter du dernier séjour du patient ou de sa dernière consultation externe dans l'établissement. Trois ajustements : si le patient est mineur, la conservation est prolongée jusqu'à son 28e anniversaire ; s'il décède moins de dix ans après son dernier passage, la règle devient dix ans à compter du décès ; et un recours gracieux ou contentieux mettant en cause la responsabilité médicale suspend ces délais.

Et au cabinet ? Là, aucune durée n'est fixée par la loi pour un médecin libéral, comme le rappelle service-public.gouv.fr (page vérifiée le 28 février 2025). Cela ne veut pas dire « n'importe quand ». Vous restez tenu de protéger ce que vous gardez, et la prudence conseille de s'aligner sur les 20 ans de l'hôpital. D'autres durées existent selon les pièces : pour la mention des actes transfusionnels, la même page indique 30 ans. Pour l'archivage du dossier médical, la CNIL distingue la base active de l'archivage intermédiaire, où l'accès est restreint, et renvoie pour les cabinets à son référentiel dédié ; lisez-le avant de fixer votre durée.

Plusieurs horloges tournent donc en même temps : la durée légale quand elle existe, la vôtre quand elle n'existe pas, les procédures en cours et les attentes de votre assureur. La plus longue l'emporte. Notre comparatif sur la façon d'empiler les délais en un seul calendrier montre comment les réunir.

La conservation est la partie de la sécurité qu'on oublie, parce que rien ne casse le jour où l'on se trompe. Une habitude à emprunter aux grands hôpitaux : écrire la date de destruction le jour où le dossier est créé. Une décision à prendre dans vingt ans devient une ligne dans un tableau.

C'est ici que la sécurité devient démontrable. Le droit français demande à la fois que les informations restent confidentielles (art. L1110-4 du Code de la santé publique) et que vous puissiez prouver vos mesures (art. 5, § 2, et art. 32 du RGPD), sans énumérer les champs d'un journal. À vous de le construire. Un journal que personne ne lit prouve seulement qu'il existe, et l'article 32, § 1, point d, demande aussi de vérifier l'efficacité de vos mesures.

Ce que consigne un journal d'accès utile

Imaginez un patient qui demande : « Qui a regardé mon dossier ? » Chaque entrée doit contenir :

1. 1.
   La personne, avec son propre identifiant. Les comptes partagés rendent cela impossible.
2. 2.
   Le dossier consulté.
3. 3.
   Ce qu'elle a fait : ouvert, modifié, exporté, imprimé ou supprimé.
4. 4.
   Quand, à la minute près.
5. 5.
   D'où, et si l'opération a abouti. Les tentatives échouées sont souvent les plus intéressantes.

L'intégrité est l'autre moitié. L'Allemagne est plus directe que nous : le § 630f BGB n'autorise une correction que si le contenu d'origine et la date de la modification restent reconnaissables, y compris dans un dossier électronique. C'est une bonne règle même là où personne ne l'impose. Notre guide sur ce que doit consigner un historique d'accès défendable détaille chaque champ.

Combien de temps conserver les journaux d'accès

L'article 32 du RGPD ne chiffre pas la durée de conservation des journaux. Notre avis : gardez-les aussi longtemps que des patients peuvent demander des comptes ou engager une action, car un journal supprimé ne dira jamais qui a ouvert un dossier. Mais les journaux contiennent eux-mêmes des données personnelles de vos collaborateurs. Fixez donc la durée par écrit, justifiez-la, puis supprimez.

Quand la sécurité des données échoue, les articles 33 et 34 du RGPD décident de la suite. Le point de départ est la violation de données à caractère personnel : une destruction, une perte, une altération ou une divulgation non autorisée. L'ordinateur oublié dans le train, le compte rendu envoyé au mauvais destinataire, le rançongiciel sur le serveur du cabinet : tout compte. On ne notifie que celles qui risquent d'avoir des conséquences pour les droits et libertés des personnes. Avec des données de santé, l'évaluation penche rarement du côté du « pas de risque ».

Les délais, tels que le RGPD et la CNIL les posent :

La CNIL. Vous notifiez « dans les meilleurs délais et, si possible, 72 heures au plus tard » après en avoir pris connaissance (art. 33, § 1). Passé ce délai, la notification explique les motifs du retard. La CNIL propose pour cela un téléservice en ligne, réservé aux responsables de traitement. Elle décrit la violation (catégories, nombre approximatif de personnes), votre point de contact, les conséquences probables et les mesures prises. Il vous manque des éléments ? Une première notification suffit, complétée ensuite.

Les patients. En cas de risque élevé, vous les informez dans les meilleurs délais, en termes clairs et simples. L'article 34 ne donne pas de nombre de jours. La communication devient inutile si les données sont protégées par des mesures comme le chiffrement, si des mesures ultérieures ont écarté le risque élevé, ou si elle exigerait des efforts disproportionnés ; une communication publique la remplace alors.

Votre prestataire. Un sous-traitant qui constate une violation vous la notifie dans les meilleurs délais (art. 33, § 2). Sans délai d'alerte fixé au contrat, son délai et le vôtre s'enchaînent.

Le registre. Vous documentez toute violation en interne, y compris celles que vous ne notifiez pas (art. 33, § 5), et la CNIL précise que c'est valable « dans tous les cas ». La charge de la preuve vous incombe. Tenez ce dossier aussi soigneusement que les dossiers patients.

À titre de comparaison, HIPAA laisse jusqu'à 60 jours, comme l'explique le résumé de la Breach Notification Rule du HHS. Soixante-douze heures, c'est vingt fois plus court.

Comment obtenir son dossier médical ? Le patient adresse sa demande de dossier médical au professionnel de santé ou au directeur de l'établissement qui le détient, par lettre recommandée avec accusé de réception ou par courriel. Pour vous qui le détenez, c'est aussi un sujet de sécurité, mais agréable : vous vérifiez qui demande, vous retrouvez tout et vous remettez le dossier sans révéler les données de quelqu'un d'autre.

Selon l'article L1111-7 du Code de la santé publique, la communication a lieu au plus tard dans les huit jours suivant la demande, et au plus tôt après un délai de réflexion de quarante-huit heures. Le délai passe à deux mois quand les informations datent de plus de cinq ans. La consultation sur place est gratuite ; pour des copies, les frais ne peuvent excéder le coût de la reproduction et, le cas échéant, de l'envoi.

L'article 15, paragraphe 3, du RGPD prévoit une première copie sans frais, et en Allemagne le § 630g BGB donne un accès « unverzüglich », donc sans délai fautif, avec la première copie gratuite. HIPAA accorde 30 jours. En cas de refus d'un médecin libéral, le patient peut saisir l'ordre départemental ou la CNIL.

Ce qui rend les demandes indolores : savoir où se trouve chaque partie d'un dossier et pouvoir l'exporter sans tout ressaisir.

Les lecteurs partagés sont l'endroit où la gestion documentaire médicale déraille sans bruit : une lettre d'adressage scannée dans un dossier personnel, un lien réglé sur « toute personne disposant du lien ». Avant d'y déposer des données de santé en France, vérifiez trois choses.

D'abord le contrat de sous-traitance de l'article 28 du RGPD. C'est à vous, responsable de traitement, de l'exiger ; nous n'affirmons rien ici sur ce que Google ou Dropbox proposent dans leurs contrats. Ensuite l'hébergement : selon l'article L1111-8 du Code de la santé publique, celui qui héberge des données de santé pour le compte de ceux qui les produisent doit être titulaire d'un certificat de conformité, la certification HDS. C'est un contrôle à faire sur n'importe quel prestataire, nous compris : demandez le certificat et le périmètre qu'il couvre. Enfin le secret professionnel (L1110-4), qui concerne aussi vos prestataires dès qu'ils voient un dossier.

Côté États-Unis, voici ce que disaient les pages d'aide des éditeurs le 14 octobre 2026. Elles concernent HIPAA, pas le RGPD.

Dropbox. Les administrateurs de certaines formules d'équipe (Standard, Advanced, Enterprise et Education figurent parmi celles citées) peuvent signer un business associate agreement (BAA) par voie électronique depuis la console d'administration. Cela vaut uniquement pour les clients établis aux États-Unis, et les applications tierces connectées à Dropbox ne sont pas couvertes.

Google Drive. Les administrateurs doivent examiner et accepter un BAA dans la console d'administration avant d'utiliser des données de santé protégées dans les services Google ; sans BAA, ils ne doivent pas en utiliser dans Workspace ni dans Cloud Identity. La liste des services couverts par le BAA figure sur une page Google distincte : vérifiez que Drive en fait partie pour votre édition. La page s'adresse aux clients Workspace et Cloud Identity uniquement ; elle ne dit rien d'un compte personnel.

Pour être juste : les deux font du contrat une étape en libre-service, pas un rendez-vous commercial. Le principe se transpose : aucun produit n'est adapté de lui-même, un compte ne le devient qu'une fois le contrat signé, les partages verrouillés et les applications connectées examinées. En France, l'équivalent du BAA est le contrat de sous-traitance, auquel s'ajoute la certification HDS pour l'hébergement.

Chaindoc couvre une partie de la sécurité des données de santé : les documents qui demandent une signature, c'est-à-dire consentements, dossiers d'admission, conventions d'adressage, contrats de personnel et de fournisseurs. Ce n'est ni un logiciel de dossier patient ni le dossier médical lui-même, et il ne devrait jamais être le seul endroit où un dossier existe. Ce qu'il apporte pour les documents qu'il détient :

• Certification. ISO 27001 pour le management de la sécurité de l'information et ISO 9001 pour le management de la qualité ; l'audit de certification ISO 27001 est notre seul audit externe.
• Transport via TLS, et pas de chiffrement de bout en bout. Nos serveurs lisent les fichiers pour les convertir, les analyser et les signer ; seules les clés de signature privées sont chiffrées, en AES-256. Si votre analyse de risque exige un prestataire incapable de lire les fichiers stockés, ce n'est pas nous.
• Qui peut ouvrir quoi. Les rôles dans les espaces de travail d'équipe gardent les dossiers d'admission à l'accueil et les factures à la comptabilité.
• Un journal de signature pour chaque document, exportable en PDF pour vos propres archives.
• Sur la blockchain, et seulement cela. L'empreinte d'une version du document quand vous la publiez, et la preuve de chaque signataire quand il termine. Les fichiers, les contenus, les identités et les consultations restent hors de la chaîne.
• Des vérifications d'identité pour les signataires, optionnelles, jamais une étape obligatoire.

Les fichiers restent dans la bibliothèque propre à Chaindoc, sans connexion à votre Drive ou à S3 : votre calendrier de conservation a donc besoin d'une étape d'export. Prévoyez-la maintenant, pas la dernière semaine d'un contrat.

Ce que nous ne ferons pas : écrire que Chaindoc est « conforme au RGPD ». Ce que le droit des données personnelles exige de vous dépend de votre rôle et de vos contrats. Avant de déposer le premier dossier patient, demandez-nous par écrit le contrat de sous-traitance de l'article 28 et les conditions d'hébergement des données de santé.

À l'étranger, les mêmes questions reviennent avec d'autres délais. Aux États-Unis, HIPAA laisse jusqu'à 60 jours pour notifier. L'Allemagne applique le même article 33 du RGPD et garde le dossier du patient dix ans (§ 630f BGB). L'Espagne fixe un minimum de cinq ans (Ley 41/2002), le Mexique aussi (NOM-004-SSA3-2012). Au Brésil, la LGPD demande des mesures de sécurité (art. 46) et la communication des incidents à l'autorité ANPD (art. 48), et le prontuário se garde 20 ans. Tous les minimums figurent dans le tableau ci-dessus.

Peu de temps ce trimestre ? Passez-le là où pointent les chiffres de 2024.

1. 1.
   Les accès d'abord. Quatre grandes violations américaines sur cinq relevaient du piratage ou d'incidents informatiques. Un identifiant par personne, des accès coupés le jour du départ, l'authentification multifacteur partout où elle existe.
2. 2.
   Des sauvegardes dont vous avez déjà restauré le contenu, hors de portée d'un attaquant présent sur votre réseau.
3. 3.
   Une revue des journaux avec un nom dessus : qui lit les journaux d'accès, à quelle fréquence, où vont les notes.
4. 4.
   Un calendrier de conservation qui liste chaque délai (R1112-7, procédures en cours, durées propres à vos pièces) et la date à laquelle chaque dossier peut partir.
5. 5.
   Un dossier de crise avant la crise : un modèle d'évaluation du risque, un brouillon de courrier aux patients, les étapes du téléservice de la CNIL.
6. 6.
   Une procédure de demande d'accès qui retrouve tout sur un patient et l'exporte dans un format qu'il peut ouvrir.

Rien de cela n'exige un nouveau logiciel. Il faut une personne qui a le temps et l'autorité. Voilà ce que recouvre la conservation et la sécurité du dossier médical au quotidien : des tâches ingrates, faites à date, écrites, reproductibles quand un contrôle ou un patient le demande.