Registre RGPD en MSP : comment le tenir, les pièges, les documents types (2026)

Registre RGPD MSP : pourquoi aucune structure n'y échappe

Beaucoup de praticiens pensent qu'une petite structure est dispensée de formalités RGPD. C'est faux pour la santé. Le RGPD prévoit bien une dérogation pour les structures de moins de 250 salariés (art. 30, §5) : selon le texte publié par la CNIL, cette dérogation ne s'applique pas « si le traitement (...) porte notamment sur les catégories particulières de données visées à l'article 9 » : les données de santé (catégories dites « sensibles »). Une MSP de 6 praticiens est donc dans la même situation qu'un grand cabinet : registre obligatoire, sans exception de taille.

Co-responsabilité et AIPD maison de santé : ce qui change en exercice coordonné

Côté texte, la question qui revient le plus en MSP est simple : qui est responsable de traitement, la structure ou chaque praticien ? Le RGPD distingue le responsable classique du cas de la co-responsabilité (art. 26) : dès que deux acteurs ou plus déterminent conjointement finalités et moyens d'un traitement, ils sont responsables conjoints, avec un accord qui répartit leurs obligations.

Appliqué à une SISA : un dossier patient partagé ou un système d'information commun relèvent probablement d'un traitement conjoint entre la structure et les praticiens qui l'alimentent. Le dossier individuel qu'un kiné ou un psychologue tient pour son propre suivi patient reste, lui, sous sa seule responsabilité. [À vérifier selon l'organisation retenue] : aucune doctrine CNIL ne tranche formellement le cas des SISA, à poser avec un DPO (délégué à la protection des données) ou un juriste RGPD plutôt que déduit par défaut.

Autre bascule liée à l'exercice collectif : l'analyse d'impact. Dès lors que vous exercez seul, vous n'êtes pas soumis à l'AIPD (analyse d'impact relative à la protection des données). Mais selon la CNIL, l'AIPD devient obligatoire dès que le traitement de données de santé se fait à grande échelle : la CNIL vise l'exercice au sein d'un réseau de professionnels, d'une maison de santé ou d'un centre de santé. Rejoindre une MSP avec dossier partagé peut donc faire basculer une obligation qui n'existait pas en exercice individuel.

Comment remplir le registre des activités de traitement en cabinet

Pour chaque traitement (prise de rendez-vous en ligne, dossier patient informatisé, facturation, newsletter du cabinet), le registre doit mentionner, selon la CNIL : finalités, catégories de personnes concernées, catégories de données collectées, destinataires, durée de conservation, et une description générale des mesures de sécurité.

En MSP, la question pratique est de savoir qui remplit quoi. Deux fiches distinctes sont recommandées : une pour les traitements propres à chaque praticien (patientèle individuelle), une pour les traitements mutualisés portés par la structure (SI partagé, secrétariat commun, facturation groupée). La CNIL rappelle que ce registre reste interne : jamais transmis spontanément, seulement présenté en cas de contrôle.

Documents types RGPD pour la MSP : registre, sous-traitance, HDS

• Le modèle de registre CNIL : un modèle simplifié au format tableur, gratuit, suffisant pour démarrer.
• Un contrat de sous-traitance (art. 28 RGPD) avec chaque éditeur de logiciel métier ou hébergeur qui traite des données pour votre compte : le contrat doit préciser que le prestataire agit « sur instruction documentée » et présente des garanties suffisantes.
• Le certificat HDS de votre éditeur. Si votre logiciel héberge vos données de santé en mode cloud, l'hébergeur doit être certifié « hébergeur de données de santé » au sens de l'article L. 1111-8 du code de la santé publique, une certification délivrée par un organisme accrédité Cofrac, valable trois ans. Ce n'est pas au professionnel de se certifier : c'est à l'hébergeur, dès qu'il stocke pour le compte d'un tiers.
• La documentation des violations (art. 33.5) : même sans violation à déclarer à la CNIL, chaque incident (même mineur) doit être tracé en interne : faits, effets, mesures prises.

Points de vigilance RGPD en MSP

• « Moins de 250 salariés » ne veut pas dire « pas de registre » en santé (piège n°1, déjà vu plus haut).
• Oublier la documentation des violations. Deux médecins libéraux ont été sanctionnés par la CNIL (3 000 € et 6 000 €, décembre 2020) après que des milliers d'images médicales, mal configurées sur leurs serveurs, se sont retrouvées accessibles en ligne, sanctionnés à la fois pour défaut de sécurité (art. 32 RGPD) et pour ne pas avoir notifié la violation.
• Signer avec un éditeur logiciel sans vérifier sa certification HDS. Une non-conformité de l'hébergeur retombe rarement sur lui seul : le professionnel reste responsable de traitement vis-à-vis de ses patients.
• Ne pas se poser la question de l'AIPD parce qu'« on est petit ». En dossier partagé de MSP, la question se pose même à 3 ou 4 praticiens.

Et vous, votre registre a-t-il déjà une fiche pour le dossier partagé de votre MSP ?

Pour aller plus loin

• CNIL — Le registre des activités de traitement
• CNIL — RGPD et professionnels de santé libéraux : ce que vous devez savoir
• CNIL — Quelles formalités pour les traitements de données de santé ?
• Article L. 1111-8 du code de la santé publique — Légifrance
• Agence du Numérique en Santé — Certification HDS

Repère réglementaire général, pas conseil juridique personnalisé, notamment sur le schéma de responsabilité propre à votre SISA, à valider avec un DPO ou un juriste RGPD. Mis à jour le 20/07/2026.