Cabinet médical : ouvrir les dossiers des patients à distance sans fragiliser le secret
Ou : le dossier médical n’est pas plus secret qu’un dossier d’avocat, mais les règles d’accès sont écrites noir sur blanc.
La réponse courte : les données de santé sont une catégorie particulière du RGPD, dont le traitement est interdit sauf exceptions, et le secret médical s’y ajoute. Pour l’accès à distance, la France a écrit des règles précises. Le référentiel de la CNIL pour les cabinets médicaux, adopté en 2020, demande de « sécuriser les accès distants des appareils informatiques nomades par un VPN » et une authentification forte par carte de professionnel de santé « ou tout moyen alternatif à deux facteurs ». La politique de sécurité des systèmes d’information de santé va plus loin : un accès par VPN reste un accès à distance, et seul un VPN ouvert avec deux facteurs dispense de les redemander ensuite. En Belgique, les règles sont moins détaillées, mais le Code de déontologie médicale impose de conserver les dossiers « de manière sécurisée ». C’est le secteur dont les règles d’accès sont les plus détaillées parmi les exigences réglementaires des PME.
Le risque n’est pas théorique. Par une délibération du 21 juillet 2026, rendue publique en septembre, la CNIL a infligé 500 000 euros d’amende à l’Hôpital privé de la Loire après une attaque qui avait touché les données de 524 867 patients. Selon l’autorité, l’authentification des utilisateurs externes au dossier patient informatisé, notamment des médecins libéraux, « n’était pas suffisamment robuste, en raison de l’absence de VPN et de moyen d’authentification multifacteur. L’attaquant a profité de cette vulnérabilité pour accéder aux données. »
VPN et données de santé : ce que demandent la France et la Belgique
| Exigence | Belgique | France |
|---|---|---|
| Secret | Code pénal de 2024, article 352 ; déontologie, article 25 | Code pénal, article 226-13 |
| Identification du soignant | eID avec code, itsme, application MyGov.be ou code temporaire (eHealth) | Carte CPS, e-CPS, Pro Santé Connect |
| Accès à distance | Authentification et gestion des accès (Ordre des médecins, 2026) | VPN pour les appareils nomades, deux facteurs (CNIL, PGSSI-S) |
| Hébergement externe | RGPD, secret médical | Hébergeur certifié HDS, stockage dans l’Espace économique européen |
La précision française sur le VPN mérite d’être retenue, parce qu’elle est contre-intuitive. Le référentiel d’identification électronique de l’Agence du numérique en santé considère qu’une connexion depuis Internet, en télétravail ou même depuis le Wi-Fi invité d’un établissement, est un accès à distance, « même si le poste est distribué et géré par l’établissement et/ou si un VPN a été mis en place ». Le VPN chiffre le trajet, il ne prouve pas qui est au clavier. Les moyens d’identification « de transition » n’y sont plus admis depuis le 1er janvier 2026. Pour l’hébergement, la version 2 du référentiel HDS, applicable aux demandes de certification depuis le 16 novembre 2024, impose de stocker les données de santé exclusivement dans l’Espace économique européen.
En Belgique, la plateforme eHealth donne accès à ses applications web par la carte d’identité électronique et son code, l’application itsme, l’application MyGov.be ou un code temporaire. L’Ordre des médecins a publié en janvier 2026 un avis sur la télémédecine qui exige des outils offrant « les garanties nécessaires pour protéger le secret professionnel », en citant le système d’authentification, la gestion des accès et la sécurité des communications. Un avis plus ancien, de 2016, consacré aux rançongiciels qui touchaient déjà des médecins, recommande de porter plainte auprès de la police fédérale et de garder une sauvegarde fréquente hors du réseau. Depuis le 4 mars 2024, l’article 10 de la loi relative aux droits du patient garantit en outre la protection de la vie privée lors du traitement des données de santé, y compris en dehors de la relation de soins.
Pour un cabinet, deux nuances allègent la charge. NIS2 ne le concerne pas directement : la santé figure bien parmi les secteurs visés, mais seulement pour les structures de taille moyenne ou plus, comme les hôpitaux. Et le considérant 91 du RGPD précise qu’un médecin exerçant à titre individuel ne traite pas des données « à grande échelle », ce qui le dispense de l’analyse d’impact obligatoire. En Suisse, les données de santé sont des données sensibles au sens de la loi fédérale, avec les mêmes conséquences sur le niveau de sécurité attendu.
Le secret de l’avocat
Médecins et avocats relèvent du même article du Code pénal belge, avec des règles d’accès beaucoup moins détaillées côté barreau. La comparaison est dans le VPN du cabinet d’avocats.
L’analyse d’impact des établissements
Un cabinet de groupe ou un centre de santé peut sortir de l’exception du praticien seul. Les critères sont détaillés dans l’AIPD pour l’accès distant.
Le télétravail du secrétariat
Un secrétariat médical qui travaille à domicile accède aux mêmes dossiers, avec les mêmes obligations pour l’employeur. Elles sont réunies dans le RGPD en télétravail.