Accueil › Formation référent RGPD santé
Formation · Module I
Formation référent RGPD santé : piloter le RGPD au cabinet
Formation du référent RGPD d'un cabinet de santé : 6 thèmes, cas réels sourcés, quiz, et prise en main guidée du registre, de l'audit, de l'AIPD, des documents et du registre des violations. Pour le praticien titulaire ou la personne qui pilote le RGPD au cabinet. Formation courte, avec attestation de suivi, non certifiante : elle ne prépare pas à la certification des compétences de DPO et ne remplit pas la condition de 35 heures de formation que le référentiel de la CNIL prévoit pour certains candidats.
- 6 thèmes
- environ 2 h 30
- cas réels sourcés
- quiz de 12 questions par thème
- attestation nominative
Le programme, thème par thème
Chaque thème part d’une sanction ou d’un incident réel, puis va à l’essentiel, sans jargon.
- Thème · environ 25 min
Le référent RGPD au cabinet : rôle, acteurs, principes
Un médecin exerçant seul a été sanctionné en 2020 pour un serveur mal configuré : au cabinet, le responsable de traitement, c'est le titulaire. Le référent est celui qui l'aide à ne pas se retrouver dans cette situation.
- distinguer responsable de traitement, référent RGPD, DPO, sous-traitant et personnes concernées, et déterminer si le cabinet doit désigner un DPO
- citer les six principes du RGPD et les traduire en pratiques de cabinet
- identifier ce qui déclenche une sanction CNIL pour un libéral (et ce qui est le plus sanctionné)
- lancer l'audit de conformité du cabinet
- Thème · environ 30 min
Tenir le registre des traitements du cabinet
Le registre n'est pas un formulaire de plus : c'est la carte de tout ce que le cabinet fait avec des données. Sans lui, impossible de répondre à un patient, à un prestataire ou à un contrôleur.
- lister les traitements types d'un cabinet et en ajouter un
- choisir la base légale (art. 6) et l'exception santé (art. 9.2) adaptées
- renseigner chaque rubrique de l'art. 30 : personnes, données, destinataires, durées, transferts, sécurité
- créer trois traitements complets dans le registre de l'espace client
- Thème · environ 20 min
Informer les patients et répondre à leurs droits
Le droit d'accès au dossier revient souvent dans les sanctions de libéraux prononcées par la CNIL. Une procédure simple, connue de l'accueil, règle presque tout.
- rédiger et afficher l'information des patients (art. 13)
- traiter une demande de dossier dans le délai légal, avec vérification d'identité et traçabilité
- distinguer les droits applicables au soin (accès, rectification) de ceux qui ne le sont pas (effacement du dossier médical)
- générer l'affiche et la procédure de droit d'accès dans l'espace client
- Thème · environ 25 min
Sous-traitants, logiciels et hébergement
En 2022, la CNIL a sanctionné une société de 1,5 M€, notamment pour des défauts de sécurité ayant conduit à la fuite des données médicales de près de 500 000 personnes. Vos prestataires font partie de votre conformité — et de votre surface d'attaque.
- identifier tous les sous-traitants du cabinet et ce qu'ils traitent
- vérifier qu'un contrat art. 28 existe et contient les clauses essentielles
- déterminer quand la certification HDS est obligatoire et comment la vérifier
- encadrer les accès de maintenance des prestataires
- Thème · environ 25 min
Sécurité au cabinet (art. 32) et analyse d'impact
Deux médecins sanctionnés pour une box mal configurée, un hôpital sanctionné pour un compte sans MFA, un autre paralysé par un VPN compromis : l'art. 32 ne demande pas la perfection, il demande des mesures proportionnées — et prouvables.
- mettre en œuvre les mesures techniques et organisationnelles (réglages informatiques et règles de travail) prioritaires d'un cabinet
- expliquer pourquoi MFA, chiffrement et sauvegarde hors ligne sont non négociables
- déterminer si un traitement du cabinet nécessite une AIPD, et la conduire
- traiter la catégorie « Sécurité » de l'audit et lancer le pré-test AIPD
- Thème · environ 25 min
Violation de données : détecter, réagir, notifier en 72 h
Le Conseil d'État a précisé les limites de l'obligation de notifier d'un médecin libéral ; la CNIL a sanctionné un hôpital pour n'avoir pas informé 202 246 tiers de confiance ; un réseau de laboratoires a dû corriger sa communication. La procédure se prépare avant l'incident.
- qualifier une violation et évaluer le risque pour les personnes
- dérouler la chronologie : gestes immédiats, plainte, CERT Santé, notification CNIL sous 72 h, information des personnes
- tenir le registre des violations (obligatoire même sans notification)
- enregistrer une violation d'exercice et produire la notification dans l'outil
Comment se déroule chaque thème
Cinq étapes courtes, puis une action guidée dans l’outil de conformité correspondant.
- 1 · Les cas réelsce qui est vraiment arrivé, source à l’appui
- 2 · L’essentielles règles, en langage clair
- 3 · À vous de déciderune situation du cabinet à trancher
- 4 · La fiche mémoune page à garder sous la main
- 5 · Le quiz80 % pour valider, réessais illimités
Ce que cette formation couvre, et ce qu’elle ne couvre pas
Elle forme la personne qui pilote le RGPD au cabinet : rôle, registre, droits des patients, sous-traitants et hébergement, sécurité, violations de données. Elle ne prépare pas à la certification des compétences de DPO. Sont seulement repérés, sans être approfondis : les transferts de données hors de l’Espace économique européen, le champ d’application territorial du RGPD, le droit à la limitation du traitement, les codes de conduite et les certifications. Pour une maison ou un centre de santé, elle ne remplace pas la désignation d’un DPO. Pour aller plus loin, la CNIL propose un MOOC gratuit, « L’Atelier RGPD » (une vingtaine d’heures).
Questions fréquentes
Un cabinet médical doit-il désigner un DPO ?
Un praticien exerçant seul n’est pas tenu de désigner un délégué à la protection des données (DPO). C’est obligatoire en cas de traitement de données de santé à grande échelle : centre ou maison de santé, réseau, dossiers partagés entre professionnels. Pour un cabinet groupé qui partage son système d’information, à partir de 10 000 patients par an, la CNIL estime qu’un DPO devrait être nécessaire ; l’Ordre des médecins le présente comme une obligation. Ailleurs, la CNIL recommande de désigner une personne chargée de piloter la conformité : cette formation s’adresse à elle.
Le référent RGPD porte-t-il la responsabilité à la place du praticien ?
Non. Le responsable de traitement reste le titulaire du cabinet (ou la société). Le référent conseille, contrôle et tient la documentation. S’il est désigné DPO auprès de la CNIL, il ne peut être ni relevé de ses fonctions ni pénalisé pour l’exercice de ses missions (art. 38 du RGPD).
Combien de temps dure la formation ?
Environ 2 h 30 au total, en 6 thèmes de 20 à 30 minutes que l’on suit à son rythme. Chaque thème se termine par un quiz de 12 questions ; 80 % de bonnes réponses le valident.
Obtient-on une attestation ?
Oui : après l’évaluation finale, une attestation nominative de suivi est délivrée. Elle atteste de la formation suivie, pas de la conformité du cabinet, qui dépend de vos pratiques réelles.
La formation est-elle reliée aux outils de conformité ?
Oui. Chaque thème se termine par une action guidée dans l’outil correspondant de la plateforme : registre des traitements, audit, documents, analyse d’impact (AIPD) ou registre des violations.
Formez-vous au rythme du cabinet
Formations, audit, registres et documents réunis dans un abonnement annuel, à partir de 19 € par mois TTC. Essai gratuit 15 jours, sans carte bancaire.