Traiter des dossiers patients, c’est traiter des données personnelles de santé. Le RGPD (règlement UE 2016/679), complété par le droit français, fixe un cadre : licéité, minimisation, sécurité, droits des personnes, encadrement des sous-traitants. Pour un orthoptiste libéral, l’enjeu n’est pas de devenir juriste, mais de savoir qui fait quoi et d’éviter les angles morts (exports non maîtrisés, comptes partagés, mails non sécurisés).
Responsable de traitement vs sous-traitant
Dans le cadre de l’usage d’ADvision :
- le professionnel de santé (cabinet) est en principe responsable de traitement des données de ses patients ;
- Albéric Delabie EI (ADvision) agit en sous-traitant pour la fourniture du service ;
- l’hébergeur (Scaleway, certifié HDS) intervient dans la chaîne d’hébergement.
Cette répartition est décrite dans les CGU et la politique de confidentialité. Elle implique un contrat / des clauses de sous-traitance adaptés, pas seulement une case « j’accepte ».
Ce que le cabinet doit continuer d’assumer
- Information des patients (affiche, notes d’information, mentions sur documents).
- Base légale et finalités : soigner, facturer, échanger avec des confrères dans le cadre autorisé.
- Durées de conservation cohérentes avec les obligations métier et légales.
- Habilitations internes : qui a un compte, qui voit quoi, départ d’un collaborateur.
- Postes et pratiques : verrouillage session, mots de passe, pas de dossier patient sur une clé USB baladeuse.
Le meilleur logiciel du monde ne corrige pas un mot de passe collé sous le clavier.
Mesures côté ADvision (vue praticien)
- Hébergement des données sur infrastructure certifiée HDS (Scaleway), en France.
- Chiffrement / sécurité des accès : authentification, possibilités de renforcement (2FA selon paramétrage compte).
- Journalisation et support encadré : interventions limitées au nécessaire.
- Fonctionnalités métier qui réduisent les exports sauvages : dossier centralisé, partage de documents pensé pour le parcours de soins plutôt que le transfert non maîtrisé.
- Procédure d’incident : notification CNIL dans les délais légaux lorsque requis ; contact sécurité indiqué dans la politique de confidentialité (security@ad-vision.fr).
Pour le détail juridique et les droits des personnes (accès, rectification, etc.), reportez-vous à la politique de confidentialité : ce billet n’en est pas le substitut.
Bonnes pratiques rapides au cabinet
- Un compte nominatif par utilisateur ; pas de compte « cabinet » partagé.
- Activer les options de sécurité disponibles ; former l’équipe aux phishing.
- Préférer les canaux prévus pour l’échange de documents plutôt que la pièce jointe générique.
- Révoquer les accès le jour du départ d’un collaborateur.
- Savoir comment exporter / récupérer vos données si vous changez d’outil.
FAQ
ADvision est-il « conforme RGPD » de façon absolue ?
La conformité est un processus partagé (éditeur + cabinet). ADvision met en place des mesures et un cadre contractuel ; le cabinet reste responsable de son usage et de ses obligations propres.
Puis-je utiliser ADvision hors France ?
Le service est destiné aux orthoptistes exerçant en France (voir CGU). Les règles d’hébergement et de facturation sont pensées pour ce cadre.
Que faire en cas de suspicion d’incident ?
Sécurisez les accès, contactez security@ad-vision.fr, et suivez votre procédure interne (et les obligations de notification si elles s’appliquent).
Lire aussi HDS : hébergement de données de santé, ou créer un compte.