Un patient demande à consulter l'ensemble de son dossier. Au secrétariat, Lucie F. s'aperçoit qu'elle ne saurait pas dire où se trouvent, exactement, toutes ces informations : une partie dans le logiciel du cabinet, une autre dans des e-mails, quelques scans sur une clé. Dre Anne P., de son côté, se pose une question plus simple et plus vertigineuse : a-t-on le droit de fonctionner comme ça ?
Protection des données : ce que la nLPD attend vraiment
Depuis le 1er septembre 2023, la Suisse applique la nLPD — la nouvelle loi fédérale sur la protection des données. Elle ne vise pas que les grands groupes : toute organisation qui détient des données personnelles est concernée, y compris un cabinet médical de quartier. Aux yeux de la loi, ce cabinet est un « responsable du traitement » : celui qui décide pourquoi et comment des données personnelles sont utilisées. C'est lui qui porte la responsabilité, pas son logiciel ni son prestataire.
Deux mots changent tout dans le cas d'un cabinet. D'abord, « données sensibles » : les informations de santé en font partie, au même titre que les opinions religieuses, l'appartenance syndicale ou les données biométriques. La loi les protège plus strictement que votre liste de fournisseurs. Ensuite, sécurité « appropriée » : la nLPD ne réclame nulle part une protection parfaite ni un coffre-fort numérique digne d'une grande banque. Elle demande des mesures proportionnées au risque — plus une donnée est sensible et présente en quantité, plus le niveau attendu monte. Pour un cabinet, la barre est donc placée un cran plus haut que pour un commerce de quartier, mais elle reste largement atteignable.
En clair, comme le dirait Camille, notre conseillère : la nLPD ne vous demande pas d'être parfait, elle vous demande d'être sérieux et de pouvoir le montrer. Pour les gestes concrets, l'Office fédéral de la cybersécurité (OFCS, ex-NCSC) publie des recommandations pratiques pensées pour les PME — une bonne boussole quand on ne sait pas par où commencer.
Concrètement, « traiter des données » ne se limite pas à les enregistrer dans un logiciel. C'est aussi les consulter, les imprimer, les envoyer, les copier sur une clé, les archiver ou les effacer. Chacun de ces gestes du quotidien entre dans le périmètre de la loi. C'est pour cela que la sécurité « appropriée » n'est pas qu'une affaire de pare-feu : elle passe aussi par des choses très humaines, comme savoir qui a ouvert quel dossier. Un secrétariat qui partage un même compte pour tout le monde ne peut pas répondre à cette question — et c'est précisément le genre de détail que la loi regarde, parce qu'il conditionne la traçabilité en cas de problème.
Et le RGPD, ce règlement européen dont tout le monde parle ? Il ne vous concerne que si vous traitez les données de personnes situées dans l'Union européenne — par exemple des patients frontaliers résidant en France. Pour la très grande majorité des PME suisses, c'est la nLPD qui prime, et c'est par elle qu'il faut commencer. Inutile de se noyer dans le droit européen si votre patientèle est suisse.
Ce qu'il faut retenir
Trois idées suffisent à cadrer le sujet.
La première : la nLPD raisonne en responsabilité, pas en certificat. Personne ne viendra vous délivrer un tampon « conforme ». On attend de vous que vous sachiez expliquer, si un patient ou une autorité le demande, quelles données vous détenez et comment vous les protégez. C'est une posture à tenir dans la durée, pas un examen que l'on réussit une fois pour toutes.
La deuxième : « approprié » veut dire proportionné. Vous n'avez pas à tout chiffrer ni à tout verrouiller demain matin. Vous devez d'abord savoir ce qui, chez vous, mériterait le plus d'attention — et ce sont presque toujours les données de santé et les accès qui y mènent. Un compte nominatif par personne, une durée de conservation décidée plutôt que subie, un ancien collaborateur dont l'accès a bien été coupé : ce sont des mesures modestes, mais ce sont exactement celles que la notion d'« approprié » recouvre pour une structure de soins.
La troisième : en cas de fuite, la loi prévoit une annonce. Si une violation de la sécurité des données risque d'entraîner un risque élevé pour les personnes concernées, le responsable du traitement doit prévenir le PFPDT — le Préposé fédéral à la protection des données et à la transparence, l'autorité suisse de surveillance — dans les meilleurs délais. Ce n'est pas le délai fixe de 72 heures du RGPD, mais l'esprit est identique : on ne dissimule pas un incident, on le signale.
Les gestes à installer cette semaine
1. Cartographiez vos données sensibles
Prenez une feuille — vraiment — et listez ce que vous détenez : dossiers patients, résultats d'analyses, factures avec l'assurance, données du personnel. Pour chaque catégorie, notez où c'est stocké, qui y a accès et combien de temps vous le gardez. Cette liste porte un nom dans la loi : le registre des activités de traitement, c'est-à-dire la simple description de ce que vous faites des données. Les petites entreprises en sont en principe dispensées, mais dès qu'on traite des données sensibles — le cas d'un cabinet — le registre redevient la norme. C'est aussi, accessoirement, ce qui vous permettra de répondre en dix minutes à un patient qui réclame son dossier, au lieu de fouiller partout comme Lucie F.
2. Réservez un canal sûr aux données de santé
L'e-mail ordinaire est une carte postale : lisible par plus de monde qu'on ne le croit, et rarement hébergé en Suisse. Envoyer un résultat d'analyse par ce biais, c'est le geste le plus courant et le plus risqué d'un cabinet. La plupart des logiciels de cabinet proposent une messagerie sécurisée ou un espace patient : faites-en le canal par défaut pour tout ce qui touche à la santé. Et posez une règle simple pour l'équipe : aucune donnée sensible ne part par e-mail standard ni sur une clé USB non chiffrée (une clé dont le contenu n'est pas rendu illisible sans mot de passe).
3. Préparez le réflexe « violation »
Personne n'a envie d'y penser, et c'est justement pour ça qu'il faut le faire à froid. Rédigez une demi-page : que fait-on si un ordinateur portable disparaît, si un dossier part au mauvais destinataire, ou si le cabinet est touché par un rançongiciel (un logiciel qui bloque vos fichiers jusqu'au versement d'une rançon) ? Qui prévient-on en interne, qui décide, et dans quels cas contacte-t-on le PFPDT ? Avoir ces réponses écrites avant l'incident vous fait gagner les heures qui comptent vraiment le jour venu.
Où en êtes-vous vraiment ?
La bonne nouvelle, c'est qu'aucun de ces gestes ne demande un gros budget ni un informaticien à demeure. La moins bonne, c'est qu'il est difficile, seul, de savoir si l'on en fait assez — ou si l'on s'épuise sur un détail en laissant une porte grande ouverte.
C'est exactement là que sert une auto-évaluation structurée face aux exigences de la nLPD. Cyber Passport ne certifie rien et ne délivre aucun label : il vous fait passer en revue, question par question, ce que la loi attend et ce que vous avez réellement mis en place, puis vous montre noir sur blanc où vous êtes solide et où vous reposez encore sur la seule bonne volonté. Et pour transformer cette photographie en plan d'action sur la protection des données — du registre aux droits des patients — notre blueprint dédié déroule la marche à suivre, étape par étape.
