Données patients et nLPD : ce que tout cabinet doit savoir en 2026

Depuis septembre 2023, la nLPD (nouvelle loi fédérale sur la protection des données) encadre plus strictement le traitement des données personnelles en Suisse. Pour un cabinet, les données de santé figurent parmi les plus sensibles qui soient, et la responsabilité qui pèse sur le praticien est réelle. Ce guide fait le tour, sans jargon, de ce que la nLPD attend concrètement de votre cabinet, de ce que vous risquez en cas de fuite, et des bonnes questions à poser à vos prestataires.

1. Responsable du traitement ou sous-traitant : la distinction clé

C'est le point le plus important, et le plus souvent mal compris.

• Le cabinet est le responsable du traitement. C'est lui qui décide pourquoi et comment les données de ses patients sont traitées. La responsabilité juridique lui revient.
• Le prestataire technique est un sous-traitant. L'hébergeur, l'éditeur du logiciel ou le créateur du site agissent pour le compte du cabinet, selon ses instructions.

La conséquence est nette : en cas de problème, c'est le cabinet qui répond vis-à-vis du patient et de l'autorité, même quand la cause technique vient d'un prestataire. D'où l'importance d'encadrer ce prestataire par un contrat clair (souvent appelé contrat de sous-traitance) qui précise où sont les données, comment elles sont sécurisées, et ce qu'il advient d'elles à la fin du contrat.

2. Quelles données êtes-vous en train de traiter ?

On pense « dossier médical », mais le périmètre est plus large. Voici les principales catégories qu'un cabinet manipule.

Type de donnée	Exemples	Sensibilité
Données d'identité	Nom, adresse, date de naissance, téléphone	Personnelle
Contact et rendez-vous	Email, créneaux, historique de visites	Personnelle
Données de santé	Diagnostics, traitements, notes, documents	Sensible (protection renforcée)
Données administratives	Assurance, facturation	Personnelle à sensible

Les données de santé bénéficient d'une protection renforcée par la nLPD. Mais même un simple agenda de rendez-vous, qui révèle que telle personne consulte tel spécialiste, est déjà une donnée à protéger sérieusement.

3. Où doivent être stockées les données ?

La nLPD n'interdit pas en soi l'hébergement à l'étranger, mais elle impose un niveau de protection adéquat et de la transparence. En pratique, pour des données de santé, stocker ces données en Suisse (ou à défaut dans l'Union européenne avec de vraies garanties) est le choix le plus simple à défendre.

Ce qui compte, c'est de savoir où les données des patients sont stockées, qui y accède et sur quelle base contractuelle. Un stockage en Suisse facilite la démarche, mais il ne suffit pas à lui seul : demandez aussi un contrat de sous-traitance, un chiffrement des données (en transit et au repos), un contrôle d'accès tracé et des sauvegardes restaurables. Pour un cabinet, pouvoir répondre précisément à ces questions est une position solide en cas de contrôle ou de demande d'un patient.

4. Le secret médical s'ajoute à la nLPD

La protection des données n'est pas le seul cadre. Le secret médical (art. 321 du Code pénal) s'applique aussi. Les auxiliaires du cabinet, y compris un prestataire technique qui a accès à ces données dans le cadre de sa mission, sont eux aussi tenus au secret. Il est prudent de le rappeler expressément dans le contrat avec le prestataire. Un sous-traitant sérieux l'accepte sans difficulté.

5. Ce que risque concrètement un cabinet

En cas de fuite (vol d'un ordinateur, rançongiciel, mauvaise configuration, email envoyé au mauvais destinataire), le cabinet a des obligations. Au-delà de la sanction possible, le vrai risque est ailleurs : la confiance des patients et l'atteinte au secret médical. Une fuite de données de santé ne se « répare » pas comme une carte bancaire bloquée. Ce qui est exposé l'est durablement.

Que faire si une fuite survient ? Les bons réflexes, dans l'ordre :

• Contenir : couper l'accès, changer les mots de passe, isoler ce qui peut l'être.
• Évaluer : quelles données, combien de personnes, quel risque pour elles.
• Notifier si nécessaire : en cas de violation présentant probablement un risque élevé pour les personnes concernées, annoncer l'incident au Préposé fédéral à la protection des données et à la transparence (PFPDT) dans les meilleurs délais (art. 24 nLPD) ; informer aussi les personnes concernées lorsque leur protection l'exige ou que le PFPDT le demande.
• Documenter : garder une trace de ce qui s'est passé et des mesures prises.

Anticiper ces étapes à froid, avant tout incident, fait toute la différence le jour où cela arrive.

6. Les bonnes questions à poser à votre prestataire

Vous n'avez pas besoin d'être juriste ni informaticien. Il suffit de poser les bonnes questions et d'écouter si les réponses sont claires :

• Où sont hébergées les données de mes patients (pays et région) ?
• Qui y a accès, et comment cet accès est-il tracé ?
• Y a-t-il des sauvegardes automatiques, et peut-on les restaurer en cas de besoin ?
• La connexion à mon espace de gestion est-elle protégée par une double sécurité ?
• Que deviennent mes données si j'arrête le contrat (restitution, suppression) ?
• Le secret médical (art. 321 CP) est-il prévu au contrat ?

Un prestataire qui répond clairement à ces six questions vous protège. Un prestataire qui élude ou qui noie la réponse dans le jargon doit vous alerter.

Questions fréquentes

La nLPD s'applique-t-elle aussi à un petit cabinet ?

Oui. La taille du cabinet ne change rien au principe : dès que vous traitez des données de patients, vous êtes responsable de leur protection. Les mesures attendues sont proportionnées, mais l'obligation existe.

Suis-je responsable même si c'est mon prestataire qui a fait l'erreur ?

Vis-à-vis du patient et de l'autorité, c'est le cabinet qui répond en tant que responsable du traitement. D'où l'importance de choisir des prestataires sérieux et de les encadrer par contrat. Entre vous, le contrat peut prévoir les responsabilités de chacun.

Mes données peuvent-elles être hébergées à l'étranger ?

Ce n'est pas interdit, à condition d'un niveau de protection adéquat et de transparence. Mais pour des données de santé, le stockage en Suisse reste le choix le plus simple à défendre, à condition d'un contrat de sous-traitance et de mesures de sécurité claires.

Faut-il chiffrer les données ?

Le chiffrement (en transit et au repos) fait partie des mesures techniques attendues pour des données sensibles. Demandez à votre prestataire comment il protège les données, sans avoir besoin d'en maîtriser tous les détails techniques.

Que veut dire « tenir un registre des activités de traitement » ?

C'est documenter quelles données vous traitez, pourquoi, où elles sont, qui y accède et quand elles sont supprimées. La nLPD prévoit ce registre des activités de traitement (art. 12) ; les petites structures peuvent en être dispensées à certaines conditions (art. 24 de l'ordonnance sur la protection des données), mais pas lorsqu'elles traitent des données sensibles à grande échelle. Dans le doute, tenez-le : il peut rester court et concret, et c'est un excellent moyen d'y voir clair sur sa propre organisation.

L'essentiel à retenir

La nLPD n'est pas un piège, c'est un cadre. Le cabinet qui le prend au sérieux protège ses patients et se protège lui-même. Si vous ne deviez retenir qu'une seule chose : vous restez responsable des données de vos patients, même quand vous déléguez la technique. Choisissez donc des prestataires capables de répondre, clairement et sans détour, aux questions ci-dessus.

Sources

• Préposé fédéral à la protection des données et à la transparence (PFPDT) · autorité de surveillance de la nLPD.
• Loi fédérale sur la protection des données (nLPD, RS 235.1) · texte officiel, en vigueur depuis le 1er septembre 2023 (Fedlex).
• Code pénal suisse, art. 321 (secret professionnel) · Fedlex.
• Ordonnance sur la protection des données (OPDo, RS 235.11) · texte officiel (Fedlex), notamment l'art. 24 sur la dispense de registre.