---
title: "Cliniques dentaires et données de santé : EIPD, DPO et consentements"
description: "Quelles obligations RGPD a une clinique dentaire du fait de traiter des données de santé : quand faut-il un délégué à la protection des données (DPO), quand faut-il réaliser une EIPD et quels consentements demander aux patients. Avec des sources officielles et un cas réel de sanction."
published: "2026-07-16"
updated: "2026-07-16"
author: "Tranquilia"
canonical: "https://tranquilia.es/fr/blog/clinicas-dentales-datos-salud-eipd-dpo-consentimientos"
note: "Information générale sur la réglementation. Ne remplace ni l’avis d’un avocat ni l’analyse de votre cas précis."
---


# Cliniques dentaires et données de santé : EIPD, DPO et consentements

**Réponse directe :** une clinique dentaire traite des données de santé dans
chaque dossier médical, ce qui déclenche le niveau le plus strict du RGPD
(art. 9). En pratique, cela signifie trois choses : vous avez besoin d'un
délégué à la protection des données (DPO) sauf si vous exercez entièrement
seul (art. 34.1.l LOPDGDD, la loi espagnole sur la protection des données), il
est souhaitable de réaliser une analyse d'impact (EIPD) lorsque le dossier
médical se combine avec un autre facteur de risque, comme des patients mineurs
(art. 35 RGPD), et les consentements pour les photos ou le marketing sont
toujours séparés des soins cliniques. Ce guide, revu le 16 juillet 2026,
explique chaque point avec sa base légale.

## Sommaire

1. [Pourquoi une clinique dentaire a-t-elle des obligations renforcées ?](#por-que-reforzadas)
2. [Quelles données de santé une clinique dentaire traite-t-elle et sur quelle base légale ?](#que-datos)
3. [Ma clinique a-t-elle besoin d'un délégué à la protection des données (DPO) ?](#dpo)
4. [Quand faut-il une EIPD dans une clinique dentaire ?](#eipd)
5. [Quels consentements faut-il demander aux patients ?](#consentimientos)
6. [Que se passe-t-il en cas de non-respect ? Un cas réel](#que-pasa-si-no-cumplo)
7. [Checklist en 15 minutes](#checklist)
8. [Questions fréquentes](#faq)

## Pourquoi une clinique dentaire a-t-elle des obligations renforcées ? {#por-que-reforzadas}

Le RGPD distingue les données personnelles ordinaires des **données de
catégorie particulière** : santé, origine ethnique, religion, orientation
sexuelle, empreinte ou visage, entre autres (art. 9 RGPD). Ces données
bénéficient d'une protection renforcée parce qu'un usage abusif peut faire
plus de mal à la personne.

Le dossier médical d'un patient dentaire y entre pleinement : antécédents
médicaux, allergies, médication, diagnostic, traitement et, souvent,
radiographies ou photographies intrabuccales. Par ailleurs, la loi (Ley
41/2002, de autonomía del paciente, la loi espagnole sur l'autonomie du
patient, art. 14 et 17) vous oblige à le tenir et à le conserver pendant une
durée minimale — ce n'est pas une décision de gestion, c'est une obligation
sanitaire qui entraîne des obligations de protection des données.

Cette combinaison —donnée sensible + obligation légale de la conserver— est la
raison pour laquelle une clinique dentaire a un parcours de conformité plus
long que, par exemple, un salon de coiffure ou un garage. Ce n'est pas de la
paperasse gratuite : c'est proportionné au risque réel pour vos patients.

## Quelles données de santé une clinique dentaire traite-t-elle et sur quelle base légale ? {#que-datos}

En pratique, une clinique dentaire gère plusieurs traitements de données
différents, chacun avec sa propre base légale :

- **Dossier médical du patient** (nom, antécédents médicaux, allergies,
  diagnostic, traitement, radiographies). Base légale : exécution du contrat
  de soins (art. 6.1.b RGPD) plus l'obligation légale de le conserver (Ley
  41/2002). Pour la donnée de santé elle-même, la base particulière est l'art.
  9.2.h RGPD (soins de santé) — **ici, il n'est pas nécessaire de demander le
  consentement du patient** : signer la notice d'information n'est pas signer
  un consentement, ce sont deux choses différentes.
- **Données de patients mineurs**, lorsque vous faites de l'odontologie
  pédiatrique : c'est le titulaire de l'autorité parentale ou de la tutelle
  qui signe (art. 7 LOPDGDD, en dessous de 14 ans).
- **Photographies cliniques** de l'avant et de l'après : si elles sont
  destinées au dossier, elles vont avec le dossier médical. Si elles sont
  destinées à votre site web ou à vos réseaux, c'est un traitement différent
  et il lui faut son propre consentement (art. 9.2.a RGPD).
- **Rendez-vous et rappels** : ce ne sont pas des données de santé en soi,
  mais il est souhaitable que le message ne dise pas de quel traitement il
  s'agit, seulement le jour et l'heure.

Une nuance importante au quotidien : **le laboratoire de prothèse dentaire
reçoit lui aussi des données du patient** (moulage, mesures, parfois le nom)
lorsque vous lui commandez une pièce. Cela en fait un sous-traitant et il lui
faut un contrat au titre de l'art. 28 RGPD. La pratique la plus prudente
consiste à lui envoyer un code patient plutôt que son nom complet.

## Ma clinique a-t-elle besoin d'un délégué à la protection des données (DPO) ? {#dpo}

C'est là que les doutes sont les plus nombreux, et la réponse a une base
légale très précise. L'art. 34.1.l de la LOPDGDD impose de désigner un délégué
à la protection des données aux **« centres de santé légalement tenus de
conserver les dossiers médicaux des patients »**.

Une clinique dentaire y correspond : c'est un centre de santé (soumis à
l'autorisation de la comunidad autónoma, la région) et elle est légalement
tenue de tenir et de conserver le dossier médical de ses patients (Ley
41/2002). Par conséquent, **l'obligation de DPO s'applique par défaut**.

Il existe une exception, écrite dans la lettre même de la loi, ce n'est pas
une interprétation : **les professionnels de santé qui exercent à titre
individuel en sont exclus**, sans société ni personnel. Si vous êtes un
dentiste qui travaille entièrement seul, il est probable que vous n'ayez pas
besoin d'un DPO — mais il est souhaitable que votre gestoría (le cabinet qui
gère vos formalités administratives) le confirme au cas par cas, car la
frontière entre « exercer seul » et « avec une structure » n'est pas toujours
évidente (une clinique avec un seul dentiste mais avec une réception ou une
hygiéniste salariée a déjà une structure).

Un détail que l'on oublie souvent : si vous nommez un DPO —même volontairement,
sans y être obligé— vous devez **le communiquer à l'AEPD (l'autorité espagnole
de protection des données) dans un délai de dix jours** (art. 34.3 LOPDGDD,
art. 37.7 RGPD). Le DPO peut être quelqu'un de votre équipe disposant de
connaissances suffisantes, ou un service externe, comme celui que propose
habituellement une gestoría ou un cabinet de conseil en protection des données.

## Quand faut-il une EIPD dans une clinique dentaire ? {#eipd}

L'EIPD (analyse d'impact relative à la protection des données) est une analyse
que la loi exige avant de traiter des données lorsque le traitement est
susceptible d'engendrer un risque élevé pour les personnes (art. 35 RGPD). Ce
n'est pas une amende déguisée en formalité : c'est, pour l'essentiel,
s'arrêter pour réfléchir à ce qui peut mal tourner et à ce que vous faites
pour l'éviter, par écrit.

Ici, il convient d'être précis, car tout traitement de données de santé ne
déclenche pas automatiquement l'EIPD du seul fait qu'il s'agit d'une donnée de
santé. L'art. 35.3.b RGPD l'exige lorsque le traitement de données
particulières est effectué **« à grande échelle »** — une clinique de quartier
avec cinq ou six personnes peut raisonnablement discuter qu'elle n'atteint pas
cette échelle.

C'est pourquoi le fondement le plus solide n'est pas cet article isolé, mais
l'**art. 35.4 RGPD conjugué à la liste des types de traitement qui requièrent
une EIPD publiée par l'AEPD**, qui fonctionne par accumulation de critères de
risque (profilage, données de catégorie particulière, personnes vulnérables,
entre autres). Dans une clinique dentaire, ce seuil est généralement atteint
par la combinaison de **données de santé (dossier médical) plus des patients
mineurs** (odontologie pédiatrique), qui constituent une catégorie de
personnes particulièrement vulnérable.

Le critère prudent —et celui que nous recommandons— est de réaliser l'EIPD
lorsque cette combinaison se présente, même si la clinique est petite : le
document est bref, il reste archivé comme preuve de responsabilité proactive
(art. 24 RGPD), et il évite d'avoir à discuter ensuite, devant une éventuelle
inspection, du point de savoir si votre volume atteignait ou non la « grande
échelle ».

## Quels consentements faut-il demander aux patients ? {#consentimientos}

Une règle fixe en protection des données, et particulièrement facile à
enfreindre par inadvertance dans une clinique dentaire : **un consentement par
finalité, jamais un seul qui regroupe plusieurs choses différentes**. Trois
cas concrets :

- **Soigner le patient** : cela ne nécessite pas de consentement en tant que
  tel (voir plus haut, art. 9.2.h RGPD). Cela nécessite en revanche que vous
  l'informiez clairement de ce que vous faites de ses données.
- **Photos pour les réseaux sociaux ou le site web** : consentement à part,
  spécifique, éclairé et que le patient peut retirer quand il le souhaite.
  Jamais la même case que la photo clinique du dossier.
- **Publicité et actualités** : case vide par défaut, jamais précochée.
  Attention à une erreur habituelle dans le secteur : segmenter les offres
  selon le traitement du patient (« des implants seulement à qui a besoin
  d'implants ») utilise une donnée de santé à des fins commerciales et exige
  un consentement explicite à part (art. 9.2.a RGPD) — le consentement
  générique de marketing ne suffit pas.

Et avec des patients mineurs, celui qui signe le consentement et reçoit
l'information est le père, la mère ou le tuteur, et non le mineur (art. 7
LOPDGDD pour les moins de 14 ans).

## Que se passe-t-il en cas de non-respect ? Un cas réel {#que-pasa-si-no-cumplo}

L'AEPD surveille le secteur de la santé comme l'un de ses axes d'action (vous
pouvez consulter ses réclamations publiées en matière de santé). Un cas
rapporté par la presse juridique spécialisée illustre bien le type de
manquement le plus habituel, et il n'est pas propre aux cliniques : selon
ForLOPD et El Economista Jurídico, l'AEPD a sanctionné à hauteur de **16 000
euros** une pharmacie qui conservait dans un fichier Excel, sans chiffrement
ni protection par les mesures adéquates, des identifiants de santé, la
médication demandée et le médecin prescripteur de ses patients — sans les
avoir informés de ce traitement.

Il n'est pas nécessaire d'avoir une attaque informatique sophistiquée pour
avoir un problème : la cause la plus fréquente est un tableur contenant des
données de santé, enregistré sur un ordinateur partagé, sans informer personne
et sans contrôle d'accès. Dans une clinique dentaire, l'équivalent serait une
liste de patients avec leur diagnostic enregistrée en dehors du logiciel de
gestion du cabinet, sur le bureau d'un ordinateur que tout l'accueil peut
voir.

C'est pourquoi cet article ne se termine pas sur un montant d'amende en guise
d'argument : il se termine sur la solution concrète. Le dossier médical va
dans votre logiciel de gestion du cabinet, avec un identifiant et un mot de
passe propres à chaque personne ; pas de données de santé éparpillées dans des
tableurs, des dossiers partagés ou le téléphone personnel de qui que ce soit.

## Checklist en 15 minutes {#checklist}

Pour savoir où en est votre clinique aujourd'hui même, passez en revue ces six
points :

1. Votre dossier médical est-il dans un logiciel avec un identifiant et un mot
   de passe propres à chaque personne, et non sur du papier volant ni dans
   Excel ?
2. Savez-vous s'il vous revient d'avoir un DPO (exercez-vous seul ou avec une
   équipe/une société ?) et, si c'est le cas, est-ce communiqué à l'AEPD ?
3. Avez-vous réalisé l'EIPD si vous recevez des mineurs ou si vous combinez le
   dossier médical avec un autre traitement à risque ?
4. Les photos destinées à votre site web ou à Instagram ont-elles un
   consentement séparé du dossier clinique, signé et avec la possibilité de le
   retirer ?
5. Votre laboratoire de prothèse dentaire a-t-il signé un contrat de
   sous-traitant (art. 28 RGPD) ?
6. Le message de rappel de rendez-vous évite-t-il de dire de quel traitement
   il s'agit ?

Si l'une des réponses est « je ne sais pas », c'est exactement le point de
départ de l'assistant Tranquilia pour le profil de clinique dentaire : il pose
ces questions à votre place et génère les documents qui manquent.

## Questions fréquentes {#faq}

**Une clinique dentaire a-t-elle besoin d'un délégué à la protection des données ?**
Oui, presque toujours, sauf si vous exercez entièrement seul, sans société ni
personnel. C'est l'art. 34.1.l LOPDGDD qui l'exige pour les centres de santé
légalement tenus de conserver des dossiers médicaux.

**Toute clinique dentaire doit-elle réaliser une EIPD ?**
Lorsque le traitement du dossier médical se combine avec un autre facteur de
risque, comme des patients mineurs, la prudence commande de la réaliser. Elle
s'appuie sur l'art. 35.4 RGPD et sur la liste de traitements de l'AEPD, et pas
seulement sur le critère de « grande échelle » de l'art. 35.3.b, qu'une petite
clinique peut discuter.

**La photo d'un traitement dentaire nécessite-t-elle un consentement ?**
La photo clinique destinée au dossier n'a pas besoin d'un consentement à part :
elle fait partie du dossier médical (art. 9.2.h RGPD). La photo destinée à
votre site web ou à vos réseaux sociaux nécessite bien un consentement séparé,
spécifique et que l'on peut retirer (art. 9.2.a RGPD).

**Le consentement du patient est-il nécessaire pour traiter son dossier médical ?**
Non. La base légale est l'exécution du contrat de soins et l'obligation légale
de le conserver (art. 6.1.b et 6.1.c RGPD, Ley 41/2002), ainsi que l'art.
9.2.h RGPD pour la donnée de santé. Informer le patient est bien obligatoire ;
lui demander de signer un consentement pour être soigné, non.

---

*Rapport élaboré avec Tranquilia — il ne constitue ni une certification
officielle ni un avis juridique. Pour votre cas concret, parlez-en à votre
gestoría.*

**Voulez-vous voir exactement quels documents Tranquilia génère pour une
clinique dentaire ?** Consultez le cas d'usage complet avec le parcours pas à
pas : [Clinique dentaire dans Tranquilia](/fr/casos-de-uso/clinica-dental).