Stenno

Guides

Dossier patient de l'ostéopathe : contenu, conservation, hébergement

Publié le

Trois questions reviennent quand on exerce seul : ce que le dossier d'un patient doit contenir, combien de temps le garder, et ce qui se passe quand un logiciel ou un prestataire le stocke pour vous. Aucun texte réglementaire ne répond aux trois à la fois pour un ostéopathe.

Les réponses viennent de quatre endroits. Le code de déontologie d'Ostéopathes de France pour le contenu. Le référentiel de la CNIL sur la gestion des cabinets pour la durée. Le code de la santé publique pour l'hébergement. Le règlement européen sur les données, le RGPD, pour la nature de ce que vous écrivez.

Ce guide cite chaque texte avec ses mots, dit à qui il s'adresse et ce qu'il ne dit pas. Vous décidez du reste.

Ce que vous notez est une donnée de santé

Le RGPD définit la donnée de santé ainsi, dans la reprise qu'en fait la CNIL : « les données relatives à la santé physique ou mentale, passée, présente ou future, d'une personne physique (y compris la prestation de services de soins de santé) qui révèlent des informations sur l'état de santé » (CNIL, page du 8 janvier 2018).

La CNIL en distingue trois sortes. Par nature : antécédents, diagnostics, traitements, résultats d'examens. Par croisement : des données anodines seules, révélatrices une fois associées (son exemple : poids, apports caloriques et nombre de pas). Par destination : des données traitées à des fins médicales.

Le motif de consultation, les antécédents relevés à l'anamnèse, les manipulations pratiquées entrent dans la première catégorie. Le décret du 25 mars 2007 décrit votre champ comme des manipulations « ayant pour seul but de prévenir ou de remédier à des troubles fonctionnels du corps humain » (article 1).

Le traitement de ces données est interdit par principe (RGPD, article 9, paragraphe 1). L'interdiction tombe dans plusieurs cas que le règlement énumère. Deux concernent un cabinet : le « consentement explicite » de la personne « pour une ou plusieurs finalités spécifiques » (9.2.a), et le traitement « nécessaire aux fins de la médecine préventive […], de diagnostics médicaux, de la prise en charge sanitaire ou sociale » (9.2.h).

Ce que le dossier contient

Aucun texte réglementaire ne fixe le contenu du dossier d'un ostéopathe. Le décret de 2007 n'en parle pas. Le texte qui en parle est le code de déontologie d'Ostéopathes de France, une association professionnelle, qui le présente comme « applicable à l'ensemble de la profession d'ostéopathe » et qu'elle fait prêter en serment à ses membres.

Son article 24, « Traçabilité des soins », dit ceci :

L'ostéopathe doit tenir un dossier pour chaque patient, sous quelque forme que ce soit. Ce dossier, strictement confidentiel, comporte l'ensemble des informations concernant la santé du patient et nécessaires à son traitement, aux échanges avec d'autres confrères ainsi qu'avec d'autres professionnels de la santé. Chaque dossier est obligatoirement conservé par le praticien dans les termes et délais prévus par les textes sous la forme de son choix. Il doit être communiqué au patient ou à son représentant dûment mandaté, aux confrères ou autres professionnels de la santé afin d'assurer la continuité des soins, ainsi qu'à toute juridiction ou expert désigné qui en formulent la demande.

Code de déontologie, Ostéopathes de France, article 24, lu le 6 octobre 2026

Deux mots pèsent : « nécessaires » et « échanges ». Le dossier sert à votre suite de soins et à ce que vous transmettez. Le décret de 2007 décrit deux situations où quelque chose se transmet ou se reçoit : vous êtes tenu « d'orienter le patient vers un médecin lorsque les symptômes nécessitent un diagnostic ou un traitement médical » (article 2) ; certains actes sur le nourrisson de moins de six mois et sur le rachis cervical ne sont possibles qu'« après un diagnostic établi par un médecin attestant l'absence de contre-indication médicale à l'ostéopathie » (article 3, II). Le décret ne dit pas d'en garder trace. Le code de déontologie, lui, demande un dossier qui porte ce qui est nécessaire aux échanges.

La CNIL donne de son côté la liste des données qui, pour la gestion d'un cabinet, « sont en principe considérées comme pertinentes », avec une consigne : « ne collecter et utiliser que les données pertinentes et nécessaires » à vos propres besoins (référentiel cabinets, 2020, section 5).

Ce que la CNIL considère en principe comme pertinentSes exemples
Identité et coordonnéesnom, prénom, date de naissance, adresse postale, adresse électronique, téléphone
Situation familialesituation matrimoniale, nombre d'enfants
Situation professionnelleprofession, conditions de travail
Santépoids, taille, antécédents médicaux, diagnostics médicaux, thérapie suivie, traitements prescrits, nature des actes effectués, résultats d'examens, « tout élément de nature à caractériser la santé du patient et considéré comme pertinent par le professionnel de santé »
Habitudes de vieexercice physique (intensité, fréquence, durée), alimentation, loisirs, dépendance, assistance ; « dès lors qu'elles sont collectées avec l'accord du patient et qu'elles sont nécessaires au diagnostic et aux soins »

La liste comporte aussi deux identifiants, chacun avec sa finalité : l'identifiant national de santé (INS) « pour la prise en charge sanitaire ou médico-sociale d'un patient », et le numéro de sécurité sociale « à des fins de facturation et de prise en charge financière des dépenses de santé ».

Deux précisions sur ce référentiel. Il « s'adresse aux professionnels de santé exerçant à titre libéral » et ne nomme pas les ostéopathes. Et il « n'a pas de valeur contraignante » : celui qui s'en écarte « doit être en mesure de justifier l'existence d'un tel besoin » (sections 1 et 2).

Combien de temps le garder

Le code de déontologie renvoie aux « termes et délais prévus par les textes ». Pour un cabinet libéral, aucun texte réglementaire ne fixe de délai. Ce qui existe est une recommandation de la CNIL, et une obligation écrite pour les établissements de santé, dont la recommandation reprend le chiffre.

La recommandation, dans le référentiel cabinets (section 7) :

Au regard des finalités de gestion du cabinet médical ou paramédical, les données enregistrées dans l'application peuvent être conservées pendant une durée de vingt ans à compter de la date de la dernière prise en charge du patient : en base active, pendant une durée de cinq ans à compter de la dernière intervention sur le dossier du patient, puis, à l'issue de cette période, sous la forme archivée sur un support distinct pendant quinze ans, dans des conditions de sécurité équivalentes à celles des autres données enregistrées dans l'application.

Référentiel relatif aux traitements de données à caractère personnel destinés à la gestion des cabinets médicaux et paramédicaux, CNIL, 2020, lu le 6 octobre 2026

Le verbe est « peuvent ». Le même texte pose la règle générale : « ces données ne peuvent être conservées pour une durée indéfinie », et une durée « doit être fixée en fonction de chaque finalité ». Au bout du délai, « les données sont supprimées ou archivées sous une forme anonymisée », et la CNIL précise qu'effacer les noms et prénoms « ne suffit pas à anonymiser les données ».

L'obligation, elle, est à l'article R. 1112-7 du code de la santé publique et vise les établissements de santé : le dossier médical « est conservé pendant une durée de vingt ans à compter de la date du dernier séjour de son titulaire dans l'établissement ou de la dernière consultation externe en son sein ». Deux cas particuliers suivent dans le même article : si le délai s'achève avant le vingt-huitième anniversaire du patient, la conservation est prolongée jusqu'à cette date ; si le patient décède moins de dix ans après son dernier passage, le dossier est conservé dix ans à compter du décès. Le même article suspend ces délais « par l'introduction de tout recours gracieux ou contentieux tendant à mettre en cause la responsabilité médicale de l'établissement de santé ou de professionnels de santé à raison de leurs interventions au sein de l'établissement ». Ces cas et cette suspension sont écrits pour les établissements ; la recommandation de la CNIL pour les cabinets ne les reprend pas.

Côté archivage, le référentiel attend des éditeurs qu'ils intègrent « des fonctionnalités d'archivage automatique à date d'échéance » ; « à défaut, le professionnel de santé y procèdera manuellement ».

Où vont les données

La réponse dépend d'une chose : qui garde le fichier.

Vous le gardez vous-même, sur un ordinateur du cabinet ou sur papier. L'article L. 1111-8 du code de la santé publique, qui encadre l'hébergement, vise « toute personne qui héberge des données de santé […] pour le compte de personnes physiques ou morales à l'origine de la production ou du recueil de ces données ». Il ne parle pas du praticien qui conserve ses propres dossiers. Ce qui s'applique alors est la sécurité due aux données, formulée par la CNIL : « empêcher qu'elles soient déformées, endommagées ou que des tiers non autorisés y aient accès » (section 10). Les mesures auxquelles elle invite, dans un référentiel qui « n'a pas de valeur contraignante » et dont on ne s'écarte qu'en étant « en mesure de justifier l'existence d'un tel besoin » (section 2) : un identifiant propre à chaque utilisateur, une authentification forte par la carte de professionnel de santé (CPS) « ou tout moyen alternatif à deux facteurs », le verrouillage automatique de la session, des antivirus à jour, le chiffrement systématique des clés USB et disques externes, et une réserve sur les tablettes et téléphones : « limiter le stockage d'informations d'ordre médical sur une tablette ou un ordiphone », et s'ils servent, un niveau de protection « équivalent à celui des autres équipements (chiffrement, codes d'accès, etc.) ». Le code de déontologie va dans le même sens : « veiller à la protection des dossiers, fiches ou supports informatisés relatifs au patient contre toute indiscrétion » (article 13).

Un prestataire le garde pour vous. C'est le cas d'un logiciel en ligne, d'une sauvegarde à distance, d'une plateforme de rendez-vous qui stocke des dossiers. La CNIL écrit :

Lorsque le logiciel de gestion des « dossiers patients » est accessible à distance et est hébergé par un prestataire (en général l'éditeur de logiciel, une plateforme de prise de rendez-vous en ligne ou une plateforme de télémédecine) ou si le stockage des données de santé de patients est confié à un prestataire chargé d'en assurer la conservation dans des serveurs à distance (par exemple, un prestataire de sauvegarde ou de permanence téléphonique), ce prestataire doit être hébergeur agréé ou certifié pour l'hébergement, le stockage, la conservation de données de santé conformément aux dispositions de l'article L. 1111-8 du code de la santé publique.

Référentiel cabinets, CNIL, 2020, section 6

L'article L. 1111-8 lui-même (version en vigueur depuis le 1ᵉʳ juillet 2025) fixe ce que cet hébergeur doit :

Ce que dit l'article L. 1111-8Où
Il vise les données « recueillies à l'occasion d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social » : l'activité, pas la professionI
L'hébergement, « quel qu'en soit le support, papier ou numérique », se fait « après que la personne prise en charge en a été dûment informée et sauf opposition pour un motif légitime »I
La prestation « fait l'objet d'un contrat »I
Sur support numérique, l'hébergeur « est titulaire d'un certificat de conformité », délivré par un organisme de certification accréditéII
Il « ne [peut] utiliser les données qui [lui] sont confiées à d'autres fins que l'exécution de la prestation d'hébergement »V
À la fin de l'hébergement, il « restitue les données aux personnes qui les lui ont confiées, sans en garder de copie »V
Lui et son personnel « sont astreints au secret professionnel »V
« Tout acte de cession à titre onéreux de données de santé identifiantes directement ou indirectement, y compris avec l'accord de la personne concernée, est interdit »VII

Source : article L. 1111-8 du code de la santé publique, Légifrance, lu le 6 octobre 2026.

Un décret du 24 mars 2026, publié au Journal officiel le 26 mars, ajoute l'endroit : « Lorsque l'activité d'hébergement de données de santé à caractère personnel sur support numérique donne lieu à un stockage de ces données, il est mis en œuvre exclusivement sur le territoire d'un État membre de l'Union européenne ou partie à l'accord sur l'Espace économique européen » (article R. 1111-9-1 nouveau). Sa notice ajoute que l'hébergeur informe ses clients, actuels ou potentiels, des mesures prises face aux risques de transfert ou d'accès par des États tiers. Le décret entre en vigueur le lendemain de sa publication, « à l'exception des 2° et 3° de l'article 1er qui entrent en vigueur dans un délai de six mois suivant la date de cette publication » (article 3). L'article R. 1111-9-1 est inséré par le 2° : l'obligation de stocker dans l'Union européenne ou l'Espace économique européen ne s'applique donc que six mois après le 26 mars 2026, soit depuis la fin du mois de septembre 2026.

Au-delà de l'hébergement, tout prestataire qui traite des données pour votre compte est un sous-traitant au sens du RGPD. La CNIL demande un contrat qui prévoit, entre autres, qu'il « ne traite les données à caractère personnel que sur instruction du responsable de traitement », qu'il « ne recrute pas de sous-traitant sans autorisation écrite préalable », qu'il « supprime ou renvoie » l'ensemble des données à l'issue des prestations, et qu'il vous informe « dans les meilleurs délais » d'un incident (section 6). La maintenance du poste ou du logiciel est traitée à part : le technicien doit pouvoir travailler « sans pouvoir lire ces données », par exemple grâce au chiffrement.

Ce que le patient sait, et peut demander

Le patient est informé dès la collecte (RGPD, articles 12 à 14). La CNIL admet deux formes en cabinet : « par voie d'affichage dans les locaux » ou « par la remise d'un document spécifique », un dépliant en salle d'attente ou un courriel de confirmation de rendez-vous (section 8). Si un hébergeur entre en jeu, la loi demande en plus que la personne « en a été dûment informée » (L. 1111-8, I).

Ses droits, tels que la CNIL les liste pour un cabinet : accès « à leur dossier patient, et à toutes les données les concernant » ; rectification ; effacement « sous réserve des conditions » de l'article 17 du RGPD ; limitation ; opposition, avec cette réserve : le référentiel écrit que « le droit d'opposition ne trouvera pas à s'appliquer au dossier médical », parce que sa tenue « répond à une obligation légale » (section 9). Le code de déontologie demande de son côté que le dossier soit « communiqué au patient ou à son représentant dûment mandaté » (article 24), et n'autorise son usage pour des travaux scientifiques qu'avec « l'accord de ce dernier » et sans détail permettant de l'identifier (article 25).

Questions

Un texte impose-t-il une durée de conservation à un ostéopathe libéral ? Aucun texte réglementaire ne la fixe. La CNIL recommande vingt ans à compter de la dernière prise en charge, cinq en base active puis quinze en archive, dans un référentiel qui « n'a pas de valeur contraignante » (2020). La durée de vingt ans écrite dans le code de la santé publique (article R. 1112-7) vise les établissements de santé. Le code de déontologie d'Ostéopathes de France renvoie aux « délais prévus par les textes » (article 24).

Le dossier papier est-il concerné ? Oui, par les textes lus. Le code de déontologie parle d'un dossier « sous quelque forme que ce soit » (article 24). L'article L. 1111-8 vise l'hébergement « quel qu'en soit le support, papier ou numérique » (I) et prévoit, pour la conservation confiée à un tiers « sur support papier ou sur support numérique dans le cadre d'un service d'archivage électronique », un agrément du ministre chargé de la culture (III).

Mon logiciel en ligne doit-il être hébergé chez un hébergeur certifié ? La CNIL écrit que lorsque le logiciel de gestion des dossiers « est accessible à distance et est hébergé par un prestataire (en général l'éditeur de logiciel […]) », ce prestataire « doit être hébergeur agréé ou certifié » au titre de l'article L. 1111-8 (référentiel cabinets, section 6). La loi fait du « certificat de conformité » la pièce qui atteste ce statut sur support numérique (L. 1111-8, II). Même règle, selon la CNIL, pour « un prestataire de sauvegarde » à distance.

Et si je garde tout sur l'ordinateur du cabinet ? L'article L. 1111-8 vise celui qui héberge « pour le compte » d'un autre ; il ne parle pas du praticien qui conserve ses propres dossiers. Restent la sécurité due aux données (CNIL, section 10 : identifiant propre, authentification forte par carte CPS ou autre moyen à deux facteurs, verrouillage de session, chiffrement des supports amovibles, réserve sur tablettes et téléphones) et le code de déontologie : protéger « dossiers, fiches ou supports informatisés […] contre toute indiscrétion » (article 13).

Que deviennent les dossiers si je change de logiciel ? La loi impose à l'hébergeur de restituer les données « aux personnes qui les lui ont confiées, sans en garder de copie » quand l'hébergement prend fin (L. 1111-8, V). La CNIL attend du contrat de sous-traitance que le prestataire « supprime ou renvoie au responsable de traitement l'ensemble des données à caractère personnel à l'issue des prestations » (section 6). Les données elles-mêmes ne peuvent être vendues : « tout acte de cession à titre onéreux » est interdit (L. 1111-8, VII).

Un patient peut-il demander son dossier ? Oui. Le code de déontologie demande qu'il soit « communiqué au patient ou à son représentant dûment mandaté » (article 24) ; la CNIL liste le « droit d'accès à leur dossier patient, et à toutes les données les concernant de manière générale » (section 9). Il peut aussi demander une rectification, et un effacement dans les conditions de l'article 17 du RGPD.

Sources

Stenno consigne ce que vous dictez ; le jugement clinique et le diagnostic restent de votre seule responsabilité. Contenus rédigés avec assistance IA, revus avant publication par l'éditeur.