Former l’équipe du cabinet au RGPD et à la cybersécurité

Utilisateur averti : les réflexes de toute l’équipe

Sensibilisation cybersécurité et RGPD des équipes de santé : 5 thèmes courts, cas réels sourcés, quiz et attestation.

1. Thème · environ 12 min

   Comprendre pourquoi votre compte intéresse les pirates

   Vous n'êtes pas « trop petit pour intéresser un pirate » : votre compte ouvre le fichier patients de tout le cabinet, et c'est exactement ce qui est recherché.

   • expliquer pourquoi un compte d'utilisateur vaut plus qu'une faille technique pour un attaquant
   • citer ce qui est en jeu pour le patient, pour le cabinet et pour vous personnellement
   • reconnaître ce qu'est une donnée de santé, y compris dans un « commentaire libre »
2. Thème · environ 13 min

   Repérer les messages et appels piégés (hameçonnage)

   Les escrocs n'attaquent pas votre ordinateur, ils vous parlent : un logo connu, une urgence, une demande qui paraît normale. Ce thème vous donne les réflexes de vérification.

   • repérer les signaux d'un e-mail, SMS ou appel frauduleux (urgence, pièces à fournir, lien, changement de RIB)
   • appliquer la règle « vérifier par un autre canal » avant toute action
   • savoir quoi faire après avoir cliqué ou répondu
3. Thème · environ 12 min

   Mots de passe, comptes et sessions

   Ce que la CNIL a reproché à un hôpital en 2026 tient en une phrase : un seul compte, sans deuxième facteur, voyait tous les patients. Au cabinet, les mêmes règles s'appliquent, à votre échelle.

   • construire et gérer des mots de passe solides sans les mémoriser tous
   • expliquer ce qu'apporte la double authentification (MFA) et pourquoi elle est exigée pour les accès à distance
   • appliquer les réflexes de session : verrouiller, ne pas partager, ne pas enregistrer dans le navigateur
4. Thème · environ 12 min

   Le secret médical au quotidien

   Le secret n'est pas qu'une affaire de pirates : une conversation à l'accueil, un e-mail au mauvais destinataire, un dossier lu par curiosité sont des violations au même titre qu'un piratage.

   • identifier les situations quotidiennes où une information de santé peut fuir (accueil, téléphone, e-mail, papier, réseaux sociaux)
   • savoir à qui l'on peut, ou non, communiquer une information sur un patient
   • connaître le droit du patient à son dossier et le délai à respecter
5. Thème · environ 11 min

   Un incident : que faire, tout de suite

   La différence entre un incident maîtrisé et une catastrophe se joue dans la première heure — et elle dépend surtout de la vitesse à laquelle vous prévenez.

   • reconnaître ce qui est une violation de données (pas seulement un piratage)
   • appliquer les gestes immédiats : isoler, ne pas effacer, prévenir
   • comprendre pourquoi le référent a besoin de votre alerte dans l'heure (délai CNIL de 72 h)

14 mini-formations sur les sujets du quotidien

Quatorze capsules de 10 à 17 minutes : IA, sauvegardes, messagerie, mobilité, arrivées et départs, faux support, vidéosurveillance, Wi-Fi, impression et fax, fin de vie du matériel, agendas en ligne, objets connectés, coffres-forts de mots de passe, adresses e-mail « + ». Cas réels sourcés, quiz, badge.

1. Capsule · environ 12 min

   L'IA au cabinet : à faire, à ne pas faire

   Les assistants d'IA font gagner du temps sur un courrier ou une synthèse. Mais ce qu'on leur donne part chez un tiers, souvent hors HDS, parfois pour entraîner le modèle — et l'autorité néerlandaise de protection des données a déjà qualifié cela de violation de données.

   • distinguer un outil d'IA grand public d'un outil professionnel contractualisé et hébergé HDS
   • savoir ce qu'on peut saisir dans un assistant (rien d'identifiant) et comment reformuler
   • garder la main : vérifier toute production d'un logiciel avant de s'en servir pour un patient
2. Capsule · environ 11 min

   Sauvegarder, même avec un logiciel en ligne

   « C'est dans le cloud, donc c'est sauvegardé » : c'est l'erreur qu'ont faite des clients d'OVH en 2021 et que 23 000 médecins ont mesurée en novembre 2025 quand leur logiciel en ligne s'est arrêté quatre jours. Le cabinet reste responsable de ses dossiers pendant vingt ans.

   • appliquer la règle 3-2-1 (trois copies, deux supports, une hors ligne) au cabinet
   • savoir ce qu'il faut sauvegarder en plus du logiciel métier (et quoi exporter d'un logiciel en ligne)
   • vérifier les clauses de restitution de l'éditeur et tester une restauration
3. Capsule · environ 11 min

   Messagerie et échanges avec les patients

   Un e-mail groupé envoyé en « À » au lieu de « Cci », une réponse à un avis Google, une photo sur Instagram : trois façons documentées de violer le secret sans aucun pirate.

   • choisir le bon canal selon le contenu (données de santé ou non)
   • éviter les erreurs d'envoi (destinataire, copie visible, pièce jointe)
   • savoir ce qu'on ne fait jamais en ligne : répondre à un avis, publier une image de patient
4. Capsule · environ 10 min

   Travailler hors du cabinet sans exposer les dossiers

   Deux médecins ont été sanctionnés pour un disque non chiffré branché sur leur box ; un hôpital pour un accès distant sans double authentification. Les règles de la mobilité tiennent en trois réflexes : chiffrer l'appareil, passer par un accès sécurisé (VPN), activer la double authentification (MFA).

   • préparer un appareil qui sort du cabinet : chiffrement, verrouillage, effacement à distance
   • se connecter à distance sans exposer le cabinet : VPN ou logiciel en ligne, avec double authentification
   • gérer les supports physiques (clé USB, CD, papier) comme des dossiers
5. Capsule · environ 12 min

   Arrivées et départs : comptes, accès, cartes CPS, CPE, CPF

   Aux États-Unis, un ancien salarié d'un prestataire a accédé à 1,2 million de dossiers deux jours après son licenciement ; en France, la CNIL sanctionne les habilitations trop larges. La check-list d'arrivée et de départ est la mesure la moins chère qui existe ; dès novembre 2026, elle vaut aussi pour les docteurs juniors de médecine générale accueillis en cabinet.

   • créer un compte nominatif adapté au poste, temporaire pour un remplaçant ou un stagiaire
   • fermer tous les accès le jour du départ (logiciel, messagerie, agenda en ligne, VPN, prestataires)
   • savoir quelle carte revient à qui (CPS du praticien, CPE du secrétariat, CPF de l'interne ou du docteur junior) et qu'aucune ne se prête
6. Capsule · environ 12 min

   Faux support technique et prise en main à distance

   Une fenêtre qui bloque l'écran et affiche un numéro, un « technicien » qui appelle un vendredi soir : l'arnaque au faux support est l'une des plus signalées par les particuliers en France. Dans un cabinet, céder la main sur un poste, c'est ouvrir les dossiers des patients et parfois le compte bancaire.

   • reconnaître une fausse alerte à l'écran et un faux appel de support
   • savoir quand une prise en main à distance est légitime : vous l'avez demandée, vous restez devant l'écran
   • réagir si l'accès a déjà été donné : couper, prévenir, changer les mots de passe, évaluer la violation de données
7. Capsule · environ 12 min

   Vidéosurveillance au cabinet

   Après un vol ou une agression, une caméra rassure. Mais filmer la secrétaire en continu, une salle de soins, ou garder trois mois d'images expose le cabinet : la CNIL sanctionne aussi les petites structures, et une caméra connectée mal protégée peut montrer vos patients au monde entier.

   • savoir où une caméra est admise (entrée, couloirs, salle d'attente) et où elle ne l'est jamais (soins, poste de travail en continu, pauses, toilettes)
   • connaître les formalités : panneau, information du personnel, autorisation du préfet pour un lieu ouvert au public, un mois de conservation au maximum
   • protéger l'accès aux images : mot de passe changé, un compte par personne, aucune transmission hors sécurité
8. Capsule · environ 11 min

   Le Wi-Fi du cabinet et de la salle d'attente

   Afficher la clé de la box en salle d'attente, c'est donner à chaque téléphone de passage un accès au réseau où circulent vos dossiers, vos impressions et votre logiciel métier. Les bonnes règles tiennent en quelques réglages.

   • séparer le Wi-Fi offert aux patients du réseau du cabinet
   • régler la box : WPA2 ou WPA3, WPS désactivé, nom de réseau personnalisé, mises à jour
   • reconnaître un faux réseau et savoir ce qu'implique le fait d'offrir Internet au public
9. Capsule · environ 11 min

   Imprimantes, copieurs, fax et scanners

   Une ordonnance oubliée sur l'imprimante de l'accueil, un fax composé de travers, un copieur rendu au loueur avec cinq ans de scans dans son disque dur : les fuites de données de santé ne passent pas toutes par des pirates.

   • savoir que le copieur multifonction garde une copie de ce qu'il traite, et quoi exiger en fin de location
   • appliquer les bons gestes à l'imprimante partagée et au scanner
   • remplacer le fax par la messagerie sécurisée de santé et vérifier tout destinataire avant l'envoi
10. Capsule · environ 10 min

    Fin de vie du matériel et des archives

    Un ordinateur remplacé, un téléphone revendu, des cartons d'archives qui encombrent la cave : c'est quand le cabinet se sépare d'un support que les données s'échappent le plus facilement. Mettre à la corbeille ou formater ne suffit pas.

    • distinguer supprimer, formater et effacer de façon sécurisée
    • organiser la conservation puis la destruction des archives papier (durées, broyeur, prestataire)
    • savoir qu'on reste responsable quand on confie la destruction à un tiers
11. Capsule · environ 11 min

    Agendas en ligne et plateformes de rendez-vous

    « Tel patient a rendez-vous chez tel spécialiste » : sans même un motif, l'agenda renseigne sur la santé des gens. La plateforme agit pour votre compte, et c'est vous qui réglez ce qu'elle affiche, ce qu'elle envoie et qui y accède.

    • savoir que la plateforme est votre sous-traitant : contrat, hébergement HDS, registre
    • paramétrer des motifs et des rappels sans information médicale inutile
    • protéger l'accès (un compte par personne, double authentification, départs gérés) et reconnaître les faux messages
12. Capsule · environ 12 min

    Objets connectés et télésurveillance des patients

    Pompes à insuline, stimulateurs, capteurs, montres, applications de suivi : les données des patients voyagent de plus en plus hors du cabinet. Certains dispositifs ont présenté des failles, certaines applis ont partagé des données avec des annonceurs. Le rôle de l'équipe : relayer les bonnes consignes, recommander des outils fiables, protéger le réseau du cabinet.

    • distinguer un dispositif de télésurveillance encadré d'un objet ou d'une appli de bien-être
    • réagir à une alerte de sécurité sur un dispositif porté par un patient, sans jamais décider seul d'arrêter un traitement
    • appliquer les règles au cabinet : pas d'objet personnel sur le réseau interne, mots de passe par défaut changés, mises à jour
13. Capsule · environ 17 min

    Coffres-forts de mots de passe

    Messagerie, logiciel métier, amelipro, banque, agenda en ligne, sites des fournisseurs : chacun jongle avec des dizaines de comptes. Réutiliser le même mot de passe, c'est offrir tous ces comptes à qui en vole un seul. Un coffre-fort de mots de passe règle le problème, à condition de bien le choisir et de bien le fermer : en 2022, des pirates ont copié une sauvegarde des coffres chiffrés des clients de LastPass.

    • comprendre pourquoi chaque compte doit avoir son propre mot de passe, et pourquoi seul un coffre le rend tenable
    • choisir un coffre sur des critères vérifiables (chiffrement, hébergement, certification, partage d'équipe, récupération), pas sur une publicité
    • protéger le coffre : phrase de passe maître jamais réutilisée, double authentification, sauvegarde, et savoir ce qui n'y entre jamais
14. Capsule · environ 11 min

    Adresses e-mail « + » : une étiquette par usage

    Le secrétariat donne la même adresse au fournisseur de consommables, au laboratoire, aux webinaires et à la plateforme de commande de brochures. Le jour où l'un d'eux la laisse fuiter, impossible de savoir lequel, et les faux messages arrivent au milieu des vrais. Une adresse « + » (secretariat+fournitures@…) donne à chaque inscription sa propre étiquette, sans créer de boîte : on trie, on sait d'où vient une fuite, on repère plus vite un message qui ne colle pas.

    • comprendre ce qu'est une adresse « + » (sous-adressage) et vérifier en deux minutes que la messagerie du cabinet l'accepte
    • savoir quand l'utiliser (fournisseurs, inscriptions, lettres d'information, comptes en ligne du cabinet) et quand s'en passer (messagerie sécurisée de santé, adresse donnée aux patients, comptes nominatifs)
    • vous en servir pour trier, repérer l'origine d'une fuite et démasquer un faux message, sans la prendre pour une protection

Comment se déroule chaque thème

1. 1 · Les cas réelsce qui est vraiment arrivé, source à l’appui
2. 2 · L’essentielles règles, en langage clair
3. 3 · À vous de déciderune situation du cabinet à trancher
4. 4 · La fiche mémoune page à garder sous la main
5. 5 · Le quiz80 % pour valider, réessais illimités

Questions fréquentes