Cliniques dentaires et données de santé : EIPD, DPO et consentements

Sommaire

1. Pourquoi une clinique dentaire a-t-elle des obligations renforcées ?
2. Quelles données de santé une clinique dentaire traite-t-elle et sur quelle base légale ?
3. Ma clinique a-t-elle besoin d'un délégué à la protection des données (DPO) ?
4. Quand faut-il une EIPD dans une clinique dentaire ?
5. Quels consentements faut-il demander aux patients ?
6. Que se passe-t-il en cas de non-respect ? Un cas réel
7. Checklist en 15 minutes
8. Questions fréquentes

Pourquoi une clinique dentaire a-t-elle des obligations renforcées ?

Le RGPD distingue les données personnelles ordinaires des données de catégorie particulière : santé, origine ethnique, religion, orientation sexuelle, empreinte ou visage, entre autres (art. 9 RGPD). Ces données bénéficient d'une protection renforcée parce qu'un usage abusif peut faire plus de mal à la personne.

Le dossier médical d'un patient dentaire y entre pleinement : antécédents médicaux, allergies, médication, diagnostic, traitement et, souvent, radiographies ou photographies intrabuccales. Par ailleurs, la loi (Ley 41/2002, de autonomía del paciente, la loi espagnole sur l'autonomie du patient, art. 14 et 17) vous oblige à le tenir et à le conserver pendant une durée minimale — ce n'est pas une décision de gestion, c'est une obligation sanitaire qui entraîne des obligations de protection des données.

Cette combinaison —donnée sensible + obligation légale de la conserver— est la raison pour laquelle une clinique dentaire a un parcours de conformité plus long que, par exemple, un salon de coiffure ou un garage. Ce n'est pas de la paperasse gratuite : c'est proportionné au risque réel pour vos patients.

Quelles données de santé une clinique dentaire traite-t-elle et sur quelle base légale ?

En pratique, une clinique dentaire gère plusieurs traitements de données différents, chacun avec sa propre base légale :

• Dossier médical du patient (nom, antécédents médicaux, allergies, diagnostic, traitement, radiographies). Base légale : exécution du contrat de soins (art. 6.1.b RGPD) plus l'obligation légale de le conserver (Ley 41/2002). Pour la donnée de santé elle-même, la base particulière est l'art. 9.2.h RGPD (soins de santé) — ici, il n'est pas nécessaire de demander le consentement du patient : signer la notice d'information n'est pas signer un consentement, ce sont deux choses différentes.
• Données de patients mineurs, lorsque vous faites de l'odontologie pédiatrique : c'est le titulaire de l'autorité parentale ou de la tutelle qui signe (art. 7 LOPDGDD, en dessous de 14 ans).
• Photographies cliniques de l'avant et de l'après : si elles sont destinées au dossier, elles vont avec le dossier médical. Si elles sont destinées à votre site web ou à vos réseaux, c'est un traitement différent et il lui faut son propre consentement (art. 9.2.a RGPD).
• Rendez-vous et rappels : ce ne sont pas des données de santé en soi, mais il est souhaitable que le message ne dise pas de quel traitement il s'agit, seulement le jour et l'heure.

Une nuance importante au quotidien : le laboratoire de prothèse dentaire reçoit lui aussi des données du patient (moulage, mesures, parfois le nom) lorsque vous lui commandez une pièce. Cela en fait un sous-traitant et il lui faut un contrat au titre de l'art. 28 RGPD. La pratique la plus prudente consiste à lui envoyer un code patient plutôt que son nom complet.

Ma clinique a-t-elle besoin d'un délégué à la protection des données (DPO) ?

C'est là que les doutes sont les plus nombreux, et la réponse a une base légale très précise. L'art. 34.1.l de la LOPDGDD impose de désigner un délégué à la protection des données aux « centres de santé légalement tenus de conserver les dossiers médicaux des patients ».

Une clinique dentaire y correspond : c'est un centre de santé (soumis à l'autorisation de la comunidad autónoma, la région) et elle est légalement tenue de tenir et de conserver le dossier médical de ses patients (Ley 41/2002). Par conséquent, l'obligation de DPO s'applique par défaut.

Il existe une exception, écrite dans la lettre même de la loi, ce n'est pas une interprétation : les professionnels de santé qui exercent à titre individuel en sont exclus, sans société ni personnel. Si vous êtes un dentiste qui travaille entièrement seul, il est probable que vous n'ayez pas besoin d'un DPO — mais il est souhaitable que votre gestoría (le cabinet qui gère vos formalités administratives) le confirme au cas par cas, car la frontière entre « exercer seul » et « avec une structure » n'est pas toujours évidente (une clinique avec un seul dentiste mais avec une réception ou une hygiéniste salariée a déjà une structure).

Un détail que l'on oublie souvent : si vous nommez un DPO —même volontairement, sans y être obligé— vous devez le communiquer à l'AEPD (l'autorité espagnole de protection des données) dans un délai de dix jours (art. 34.3 LOPDGDD, art. 37.7 RGPD). Le DPO peut être quelqu'un de votre équipe disposant de connaissances suffisantes, ou un service externe, comme celui que propose habituellement une gestoría ou un cabinet de conseil en protection des données.

Quand faut-il une EIPD dans une clinique dentaire ?

L'EIPD (analyse d'impact relative à la protection des données) est une analyse que la loi exige avant de traiter des données lorsque le traitement est susceptible d'engendrer un risque élevé pour les personnes (art. 35 RGPD). Ce n'est pas une amende déguisée en formalité : c'est, pour l'essentiel, s'arrêter pour réfléchir à ce qui peut mal tourner et à ce que vous faites pour l'éviter, par écrit.

Ici, il convient d'être précis, car tout traitement de données de santé ne déclenche pas automatiquement l'EIPD du seul fait qu'il s'agit d'une donnée de santé. L'art. 35.3.b RGPD l'exige lorsque le traitement de données particulières est effectué « à grande échelle » — une clinique de quartier avec cinq ou six personnes peut raisonnablement discuter qu'elle n'atteint pas cette échelle.

C'est pourquoi le fondement le plus solide n'est pas cet article isolé, mais l'art. 35.4 RGPD conjugué à la liste des types de traitement qui requièrent une EIPD publiée par l'AEPD, qui fonctionne par accumulation de critères de risque (profilage, données de catégorie particulière, personnes vulnérables, entre autres). Dans une clinique dentaire, ce seuil est généralement atteint par la combinaison de données de santé (dossier médical) plus des patients mineurs (odontologie pédiatrique), qui constituent une catégorie de personnes particulièrement vulnérable.

Le critère prudent —et celui que nous recommandons— est de réaliser l'EIPD lorsque cette combinaison se présente, même si la clinique est petite : le document est bref, il reste archivé comme preuve de responsabilité proactive (art. 24 RGPD), et il évite d'avoir à discuter ensuite, devant une éventuelle inspection, du point de savoir si votre volume atteignait ou non la « grande échelle ».

Quels consentements faut-il demander aux patients ?

Une règle fixe en protection des données, et particulièrement facile à enfreindre par inadvertance dans une clinique dentaire : un consentement par finalité, jamais un seul qui regroupe plusieurs choses différentes. Trois cas concrets :

• Soigner le patient : cela ne nécessite pas de consentement en tant que tel (voir plus haut, art. 9.2.h RGPD). Cela nécessite en revanche que vous l'informiez clairement de ce que vous faites de ses données.
• Photos pour les réseaux sociaux ou le site web : consentement à part, spécifique, éclairé et que le patient peut retirer quand il le souhaite. Jamais la même case que la photo clinique du dossier.
• Publicité et actualités : case vide par défaut, jamais précochée. Attention à une erreur habituelle dans le secteur : segmenter les offres selon le traitement du patient (« des implants seulement à qui a besoin d'implants ») utilise une donnée de santé à des fins commerciales et exige un consentement explicite à part (art. 9.2.a RGPD) — le consentement générique de marketing ne suffit pas.

Et avec des patients mineurs, celui qui signe le consentement et reçoit l'information est le père, la mère ou le tuteur, et non le mineur (art. 7 LOPDGDD pour les moins de 14 ans).

Que se passe-t-il en cas de non-respect ? Un cas réel

L'AEPD surveille le secteur de la santé comme l'un de ses axes d'action (vous pouvez consulter ses réclamations publiées en matière de santé). Un cas rapporté par la presse juridique spécialisée illustre bien le type de manquement le plus habituel, et il n'est pas propre aux cliniques : selon ForLOPD et El Economista Jurídico, l'AEPD a sanctionné à hauteur de 16 000 euros une pharmacie qui conservait dans un fichier Excel, sans chiffrement ni protection par les mesures adéquates, des identifiants de santé, la médication demandée et le médecin prescripteur de ses patients — sans les avoir informés de ce traitement.

Il n'est pas nécessaire d'avoir une attaque informatique sophistiquée pour avoir un problème : la cause la plus fréquente est un tableur contenant des données de santé, enregistré sur un ordinateur partagé, sans informer personne et sans contrôle d'accès. Dans une clinique dentaire, l'équivalent serait une liste de patients avec leur diagnostic enregistrée en dehors du logiciel de gestion du cabinet, sur le bureau d'un ordinateur que tout l'accueil peut voir.

C'est pourquoi cet article ne se termine pas sur un montant d'amende en guise d'argument : il se termine sur la solution concrète. Le dossier médical va dans votre logiciel de gestion du cabinet, avec un identifiant et un mot de passe propres à chaque personne ; pas de données de santé éparpillées dans des tableurs, des dossiers partagés ou le téléphone personnel de qui que ce soit.

Checklist en 15 minutes

Pour savoir où en est votre clinique aujourd'hui même, passez en revue ces six points :

1. Votre dossier médical est-il dans un logiciel avec un identifiant et un mot de passe propres à chaque personne, et non sur du papier volant ni dans Excel ?
2. Savez-vous s'il vous revient d'avoir un DPO (exercez-vous seul ou avec une équipe/une société ?) et, si c'est le cas, est-ce communiqué à l'AEPD ?
3. Avez-vous réalisé l'EIPD si vous recevez des mineurs ou si vous combinez le dossier médical avec un autre traitement à risque ?
4. Les photos destinées à votre site web ou à Instagram ont-elles un consentement séparé du dossier clinique, signé et avec la possibilité de le retirer ?
5. Votre laboratoire de prothèse dentaire a-t-il signé un contrat de sous-traitant (art. 28 RGPD) ?
6. Le message de rappel de rendez-vous évite-t-il de dire de quel traitement il s'agit ?

Si l'une des réponses est « je ne sais pas », c'est exactement le point de départ de l'assistant Tranquilia pour le profil de clinique dentaire : il pose ces questions à votre place et génère les documents qui manquent.

Questions fréquentes

Une clinique dentaire a-t-elle besoin d'un délégué à la protection des données ? Oui, presque toujours, sauf si vous exercez entièrement seul, sans société ni personnel. C'est l'art. 34.1.l LOPDGDD qui l'exige pour les centres de santé légalement tenus de conserver des dossiers médicaux.

Toute clinique dentaire doit-elle réaliser une EIPD ? Lorsque le traitement du dossier médical se combine avec un autre facteur de risque, comme des patients mineurs, la prudence commande de la réaliser. Elle s'appuie sur l'art. 35.4 RGPD et sur la liste de traitements de l'AEPD, et pas seulement sur le critère de « grande échelle » de l'art. 35.3.b, qu'une petite clinique peut discuter.

La photo d'un traitement dentaire nécessite-t-elle un consentement ? La photo clinique destinée au dossier n'a pas besoin d'un consentement à part : elle fait partie du dossier médical (art. 9.2.h RGPD). La photo destinée à votre site web ou à vos réseaux sociaux nécessite bien un consentement séparé, spécifique et que l'on peut retirer (art. 9.2.a RGPD).

Le consentement du patient est-il nécessaire pour traiter son dossier médical ? Non. La base légale est l'exécution du contrat de soins et l'obligation légale de le conserver (art. 6.1.b et 6.1.c RGPD, Ley 41/2002), ainsi que l'art. 9.2.h RGPD pour la donnée de santé. Informer le patient est bien obligatoire ; lui demander de signer un consentement pour être soigné, non.

---

Rapport élaboré avec Tranquilia — il ne constitue ni une certification officielle ni un avis juridique. Pour votre cas concret, parlez-en à votre gestoría.

Voulez-vous voir exactement quels documents Tranquilia génère pour une clinique dentaire ? Consultez le cas d'usage complet avec le parcours pas à pas : Clinique dentaire dans Tranquilia.