RGPD infirmier libéral : le guide de conformité 2026

En décembre 2020, la CNIL a sanctionné deux médecins libéraux de 3 000 € et 6 000 € d’amende : des milliers de clichés d’imagerie médicale étaient librement accessibles sur internet à cause d’une box et d’un logiciel mal configurés, et les images n’étaient pas chiffrées (délibérations SAN-2020-014 et SAN-2020-015 du 7 décembre 2020, manquements aux Art. 32 et 33 du RGPD). Un infirmier libéral manipule des données tout aussi sensibles — pathologies, traitements, coordonnées, parfois données sociales — mais souvent avec moins de structure qu’un cabinet de groupe. Voici, concrètement, ce que le RGPD exige de vous et par où commencer.

L’infirmier libéral est responsable de traitement de données de santé

Dès lors que vous tenez un fichier de patients, un dossier de soins, un agenda de tournées ou que vous télétransmettez des feuilles de soins, vous êtes responsable de traitement au sens de l’Art. 4(7) du RGPD. Cette qualification vaut que vos dossiers soient informatisés (logiciel métier) ou papier : la CNIL rappelle expressément que le RGPD s’applique aux deux supports.

Ces données ne sont pas ordinaires. Les informations relatives à la santé sont des données sensibles dont le traitement est en principe interdit par l’Art. 9(1) du RGPD. Vous ne les traitez licitement que parce qu’une exception s’applique — ce qui, en pratique, vous impose un niveau de rigueur supérieur à celui d’un commerçant classique. C’est aussi ce qui explique pourquoi le secteur de la santé concentre une part importante des contrôles de la CNIL.

Sur quelle base juridique traiter les données de vos patients ?

C’est la première question à documenter, et elle se règle en deux temps.

D’abord, lever l’interdiction de l’Art. 9. Pour un infirmier, l’exception mobilisée est l’Art. 9(2)(h) : le traitement est nécessaire aux fins de médecine préventive, de diagnostic médical, de prise en charge sanitaire et de gestion des services de soins. Cette exception n’est valable qu’à une condition posée par l’Art. 9(3) : les données doivent être traitées par un professionnel soumis au secret professionnel. C’est votre cas : le secret est un pilier de la déontologie infirmière (décret n° 2016-1605 du 25 novembre 2016 portant code de déontologie) et une obligation du Code de la santé publique (Art. L.1110-4).

Ensuite, identifier une base de licéité au sens de l’Art. 6. Selon la finalité, elle repose le plus souvent sur l’obligation légale (Art. 6(1)© — tenue du dossier, télétransmission et facturation à l’assurance maladie) ou sur l’exécution d’une mission d’intérêt public dans le domaine de la santé (Art. 6(1)(e)). Le référentiel de la CNIL « gestion des cabinets médicaux et paramédicaux » (délibération n° 2020-081 du 18 juin 2020) détaille ces bases pour les professions paramédicales, dont les infirmiers.

Point de vigilance qui fait tomber beaucoup de monde : vous n’avez pas besoin de recueillir le consentement de vos patients pour traiter leurs données de soins. La CNIL est explicite. Ne confondez pas le consentement « données personnelles » (non requis ici) avec le consentement « acte de soin » (qui, lui, relève du droit de la santé). Faire signer un formulaire de consentement RGPD à chaque patient est non seulement inutile, mais juridiquement contre-productif : cela laisse croire que le patient pourrait retirer son consentement et vous obliger à effacer un dossier que vous avez l’obligation légale de conserver.

Le dossier de soins : collecter juste, conserver le temps nécessaire

Le principe de minimisation (Art. 5(1)©) commande de ne collecter que des données adéquates, pertinentes et limitées à la prise en charge. Concrètement : identité, coordonnées, numéro de sécurité sociale, prescriptions, actes réalisés, transmissions ciblées, éventuellement l’entourage utile aux soins. En revanche, les détails sur la vie familiale, la situation professionnelle ou les convictions du patient n’ont, sauf nécessité de soin démontrée, pas leur place dans le dossier.

Sur la durée de conservation, il n’existe pas de délai légal unique propre aux infirmiers libéraux. La bonne pratique consiste à distinguer une base active (le temps de la prise en charge) puis un archivage intermédiaire. Pour fixer l’horizon d’archivage, deux repères se combinent : la recommandation appliquée aux médecins (20 ans à compter du dernier contact, préconisée par le Conseil national de l’Ordre) et le délai de prescription des actions en responsabilité médicale (10 ans à compter de la consolidation du dommage, Art. L.1142-28 CSP). Par prudence, beaucoup de praticiens retiennent un horizon de l’ordre de 10 à 20 ans après le dernier acte, puis suppriment. L’essentiel, en cas de contrôle, est de pouvoir justifier la durée que vous avez fixée : je recommande de l’écrire noir sur blanc dans votre politique de conservation et votre registre.

Sécuriser les données de santé : les mesures qui comptent

C’est le manquement le plus souvent sanctionné, comme le montrent les deux médecins de 2020. L’Art. 32 impose des mesures techniques et organisationnelles adaptées au risque — et le risque, sur des données de santé, est élevé. Le socle attendu par la CNIL est concret :

• Authentification personnelle et forte : carte de professionnel de santé (CPS) ou e-CPS, mots de passe robustes et individuels, verrouillage automatique des sessions. Un ordinateur de tournée non verrouillé ou un mot de passe partagé sont des fautes classiques.
• Chiffrement des postes et surtout des appareils mobiles (ordinateur portable, tablette de tournée, clé USB, smartphone). Un terminal volé et chiffré n’est pas une violation exploitable ; le même terminal en clair l’est.
• Sauvegardes régulières et testées, conservées séparément, pour vous prémunir aussi contre les rançongiciels.
• Échanges sécurisés : pour transmettre des données de patients à un médecin, un autre soignant ou un établissement, utilisez une messagerie sécurisée de santé (MSSanté) et non votre boîte mail grand public. Le programme Ségur du numérique en santé, qui s’étend en 2025-2026 aux professions paramédicales dont les infirmiers, finance précisément la mise à niveau des logiciels pour alimenter Mon espace santé (DMP), utiliser MSSanté, l’identité nationale de santé (INS) et l’e-prescription. C’est l’occasion de mettre votre outil en conformité.

La CNIL met à disposition son Guide de la sécurité des données personnelles : il constitue une base de référence opposable pour démontrer que vous avez pris les mesures de l’état de l’art. Pour aller plus loin sur le cadre attendu, voir notre guide sécurité RGPD : les mesures recommandées par la CNIL.

Vos sous-traitants : logiciel métier, hébergeur, télétransmission

Vous ne travaillez jamais seul avec vos données. Votre logiciel de gestion de cabinet, votre solution de télétransmission, votre hébergeur : chacun qui traite des données de patients pour votre compte est un sous-traitant au sens de l’Art. 28. Vous devez signer avec lui un contrat comportant les clauses obligatoires (finalités, durée, sécurité, sort des données en fin de contrat) et vérifier les garanties qu’il apporte.

Un point spécifique à la santé : si vos données sont hébergées chez un tiers (cloud, éditeur en mode SaaS), cet hébergeur doit en principe être certifié hébergeur de données de santé (HDS) au titre de l’Art. L.1111-8 du CSP. Exigez la preuve de cette certification avant de signer. Le sujet mérite votre attention : voyez notre guide dédié à l’hébergement de données de santé (HDS).

Registre, information des patients et droits

Trois obligations documentaires qui ne coûtent que du temps, et dont l’absence se remarque immédiatement en contrôle.

Le registre des activités de traitement (Art. 30) est obligatoire dès que vous traitez des données de façon régulière — ce qui est par définition votre cas. La CNIL propose un modèle de registre adapté aux petites structures. Vous y recensez chaque traitement : gestion des dossiers de soins, télétransmission, comptabilité, éventuels salariés ou remplaçants.

L’information des patients (Art. 13 et 14) est obligatoire, mais elle n’a plus besoin de passer par une déclaration à la CNIL — celle-ci a disparu avec le RGPD. Une mention d’information claire suffit : affiche en évidence, mention dans le classeur de soins ou document remis à la première prise en charge, indiquant qui vous êtes, pourquoi vous traitez les données, combien de temps, et comment exercer ses droits.

Les droits des personnes (accès, rectification, effacement dans les limites de vos obligations de conservation, opposition) doivent pouvoir être exercés facilement. Prévoyez une procédure simple pour répondre dans le délai d’un mois.

DPO et AIPD : ce qui s’applique à l’exercice individuel

Bonne nouvelle pour l’infirmier qui exerce seul : vous n’êtes pas tenu de désigner un délégué à la protection des données (DPO), ni de réaliser une analyse d’impact (AIPD) pour la simple gestion de votre patientèle. Ces deux obligations se déclenchent surtout en cas de traitement de données de santé à grande échelle.

Or l’exercice regroupé change la donne. Si vous travaillez au sein d’une maison de santé pluriprofessionnelle, d’un centre de santé ou d’un réseau partageant des dossiers entre plusieurs professionnels, le traitement peut devenir « à grande échelle » : la désignation d’un DPO (souvent mutualisé) et la réalisation d’une AIPD deviennent alors nécessaires. C’est un arbitrage à poser explicitement dès que vous mutualisez un outil ou un dossier patient partagé. Le même raisonnement guide, par exemple, la question du DPO en association.

En cas de fuite de données : le réflexe des 72 heures

Vol d’ordinateur non chiffré, envoi d’un dossier au mauvais destinataire, rançongiciel, dossiers accessibles en ligne : ce sont des violations de données. Sur des données de santé, le risque pour les personnes est presque toujours élevé. Vous devez alors notifier la CNIL dans les 72 heures (Art. 33) et, si le risque est élevé, informer les patients concernés (Art. 34). C’est précisément l’absence de notification qui a aggravé la sanction des deux médecins de 2020. Documentez chaque incident, même celui que vous choisissez de ne pas notifier, dans un registre interne des violations. Notre guide notifier une violation de données détaille la marche à suivre.

Ce qu’il faut retenir

• L’infirmier libéral est responsable de traitement de données de santé sensibles (Art. 9) : le RGPD s’applique à vos dossiers informatiques et papier.
• La base juridique repose sur l’Art. 9(2)(h) (soins) conditionnée au secret professionnel (Art. 9(3)), et sur l’Art. 6(1)©/(e) — jamais sur le consentement du patient.
• Ne collectez que le nécessaire, fixez et justifiez une durée de conservation (repères : 10 à 20 ans après le dernier acte), puis archivez et supprimez.
• La sécurité est le point le plus sanctionné : authentification CPS, mots de passe individuels, chiffrement des appareils mobiles, sauvegardes, et MSSanté pour les échanges.
• Tenez un registre (Art. 30), informez vos patients (Art. 13/14), encadrez vos sous-traitants (Art. 28, hébergeur certifié HDS), et sachez notifier une violation en 72 heures.

FAQ

Un infirmier libéral doit-il désigner un DPO ?

Non, pas s’il exerce seul pour la gestion courante de sa patientèle. L’obligation apparaît en cas de traitement de données de santé à grande échelle, par exemple au sein d’une maison de santé, d’un centre de santé ou d’un réseau partageant les dossiers. Un DPO mutualisé est alors la solution la plus courante.

Faut-il faire signer un consentement RGPD à ses patients ?

Non. La collecte et la conservation des données nécessaires aux soins reposent sur l’Art. 9(2)(h) et sur une obligation légale ou une mission d’intérêt public, pas sur le consentement. Faire signer un consentement est inutile et crée une confusion avec le consentement aux actes de soin, qui relève du Code de la santé publique.

Puis-je envoyer un dossier patient par email classique ?

C’est fortement déconseillé. Pour transmettre des données de santé à un confrère, un médecin ou un établissement, utilisez une messagerie sécurisée de santé (MSSanté). Un email grand public n’offre pas les garanties de sécurité exigées par l’Art. 32 et expose à une violation de données.

Combien de temps conserver le dossier de soins d’un patient ?

Aucun texte ne fixe une durée unique pour les infirmiers libéraux. En pratique, on conserve le dossier pendant la prise en charge (base active), puis on l’archive. Par prudence, un horizon de 10 à 20 ans après le dernier acte est raisonnable, en cohérence avec la recommandation applicable aux médecins et le délai de prescription des actions en responsabilité (Art. L.1142-28 CSP). L’important est de justifier la durée choisie.

Mon logiciel de cabinet doit-il être hébergé chez un prestataire certifié HDS ?

Oui, si vos données de santé sont hébergées par un tiers pour votre compte, celui-ci doit être certifié hébergeur de données de santé (HDS) au titre de l’Art. L.1111-8 du CSP. Demandez la preuve de la certification et un contrat de sous-traitance conforme à l’Art. 28 avant de vous engager.

Recevez nos analyses conformité chaque semaine. Décryptages CNIL, obligations sectorielles et cas pratiques pour les professionnels de santé : abonnez-vous à notre newsletter pour rester à jour sans y passer vos soirées.

Mettre à plat votre registre, vos durées de conservation et l’inventaire de vos mesures de sécurité prend du temps quand on le fait à la main — c’est exactement le type de travail que Legiscope structure et tient à jour à votre place.