En bref : l’article L. 1110-4 du Code de la santé publique impose à tout paramédical le secret absolu sur les données patient, y compris les bilans reçus par mail ou WhatsApp. En 2026, ce constat se double d’obligations RGPD spécifiques et, pour certaines structures, d’une exigence d’hébergement HDS. Voici ce que ça veut dire concrètement pour un kiné, un ostéo ou un psy en cabinet libéral.
Lundi matin, votre patiente vous envoie le bilan de son chirurgien orthopédique sur WhatsApp. Vous le sauvegardez sur votre iPhone, vous l’ouvrez en consultation, vous le commentez avec elle. À la fin de la séance, le PDF reste dans votre rouleau photos, à côté des selfies du week-end. Vous fermez le cabinet sans y repenser.
Cette scène, je l’ai vue mille fois en accompagnant des kinés, ostéos et psy qui voulaient « moderniser » leur pratique. Elle paraît anodine. Elle viole pourtant frontalement l’article L. 1110-4 du Code de la santé publique, qui impose à tout professionnel de santé — y compris paramédical — un secret absolu sur les informations concernant ses patients. Et le risque déontologique vient avant le risque pénal.
Ce que dit exactement l’article L. 1110-4
Le texte n’a pas changé sur le fond depuis sa rédaction. Il englobe « toute personne prise en charge par un professionnel de santé, un établissement ou un service, un professionnel ou organisme concourant à la prévention ou aux soins ». La formulation est large, voulue ainsi par le législateur : elle couvre les médecins, mais aussi les kinés, ostéos, podologues, psychologues, sages-femmes, infirmiers libéraux et toute la chaîne paramédicale.
« Toute personne prise en charge par un professionnel de santé, un établissement ou un service, un professionnel ou organisme concourant à la prévention ou aux soins dont les conditions d’exercice ou les activités sont régies par le présent code (…) a droit au respect de sa vie privée et du secret des informations la concernant. »
Article L. 1110-4 du Code de la santé publique, alinéa 1er
Le secret porte sur l’ensemble des informations « venues à la connaissance du professionnel de santé, de tout membre du personnel de ces établissements, services ou organismes, et de toute autre personne en relation, de par ses activités, avec ces établissements ou organismes ». Autrement dit : un bilan reçu par WhatsApp ne sort pas du périmètre du secret parce qu’il a été envoyé par messagerie. Il y entre.
Ce que vos outils du quotidien font de ce secret
WhatsApp est chiffré de bout en bout sur les conversations classiques. C’est vrai, et c’est utile. Mais ce chiffrement protège la transmission. Il ne dit rien de la conservation, de la séparation pro-perso, de la sauvegarde, ni des métadonnées que Meta conserve sur les flux. Quand votre téléphone est sauvegardé sur iCloud ou Google Drive, le bilan finit chez Apple ou Google. Vos données patient sortent du périmètre que vous contrôlez.
Les boîtes mail Gmail, Outlook ou Yahoo sont également non chiffrées au repos, du point de vue de l’éditeur. Google peut techniquement lire vos mails — il s’est engagé à ne plus le faire pour la publicité, mais l’architecture le permet. Et Google reste une entreprise américaine, donc soumise au CLOUD Act.
Quant aux Drive, Dropbox et autres OneDrive : mêmes problèmes que les messageries, en pire. Un dossier partagé avec « toute personne ayant le lien » devient un trou de sécurité. J’ai vu des cabinets de psy partager les bilans de leurs patients sur un Drive accessible à un assistant qui n’avait plus de contrat avec eux depuis six mois.
RGPD article 9 : la couche supplémentaire qu’on oublie
Au-delà du secret professionnel français, le Règlement général sur la protection des données européen, dans son article 9, classe les données concernant la santé parmi les « catégories particulières » dont le traitement est, par défaut, interdit. Il existe des exceptions — dont le consentement explicite et la nécessité de la prise en charge médicale — mais ces exceptions imposent un niveau de sécurité technique que la plupart des outils grand public ne fournissent pas.
Concrètement : si vous traitez les données de santé de vos patients via Drive, WhatsApp ou Gmail, vous ne pouvez pas, en cas de contrôle CNIL ou de plainte d’un patient, justifier d’une analyse d’impact relative à la protection des données. Vous ne pouvez pas non plus prouver que les transferts hors Union européenne sont encadrés. Le risque n’est plus seulement déontologique. Il devient administratif et financier.
HDS : pour qui, vraiment
Le référentiel d’hébergeur de données de santé, encadré par l’Agence du Numérique en Santé, est souvent présenté comme un horizon obligatoire. Ce n’est pas tout à fait exact pour tous les paramédicaux. La certification HDS s’impose pour les établissements et les services qui hébergent des données de santé pour le compte d’autrui. Pour un kiné libéral qui héberge ses propres données chez un prestataire, l’obligation porte sur l’hébergeur qu’il choisit, pas sur lui.
Concrètement : si vous installez un coffre-fort numérique sur votre propre WordPress, et que ce WordPress est hébergé chez un hébergeur certifié HDS — OVHcloud Healthcare et Outscale sont les deux principaux acteurs français —, vous êtes dans le périmètre. Si vous l’hébergez chez un mutualisé classique, vous prenez un risque que je ne peux pas vous recommander pour des bilans patient.
Ce que ça coûte de continuer comme avant
Le coût direct d’un manquement à l’article L. 1110-4 est rarement la sanction pénale immédiate. Le secret professionnel est protégé par l’article 226-13 du Code pénal, qui prévoit un an d’emprisonnement et quinze mille euros d’amende. Cette sanction est peu fréquente en pratique — mais elle est possible, notamment quand un patient porte plainte après avoir constaté la diffusion d’informations le concernant.
Le coût indirect est bien plus régulier. Une plainte CNIL peut déboucher sur une mise en demeure, une amende administrative, voire une publication de la sanction. Pour un cabinet libéral, c’est l’équivalent d’une dévaluation de marque. Et les questions du type « est-ce que mon ostéo m’envoie mes bilans en sécurité ? » remontent maintenant des patients vers les pros, pas l’inverse.
Critères d’une solution propre, indépendamment du fournisseur
Avant de regarder Client Vault ou n’importe quel autre outil, voici la grille d’analyse à appliquer à toute solution candidate. Hébergement chez un hébergeur certifié HDS pour les données de santé. Chiffrement au repos des fichiers patient. Espace cloisonné par patient — pas un dossier partagé global. Traçabilité opposable des accès et des modifications. Possibilité de supprimer définitivement les données à la demande du patient. Propriété pleine des données par le professionnel, sans dépendance à un éditeur tiers qui pourrait fermer l’accès.
Cette grille permet d’évaluer Doctolib Pro, Maiia, SimplePractice, ou n’importe quelle solution. Doctolib Pro est solide pour la prise de rendez-vous mais ne couvre pas la collecte structurée de bilans. SimplePractice est conçu pour le marché américain, sous régime HIPAA, ce qui ne le qualifie pas automatiquement pour le RGPD article 9 ni pour le HDS français. Maiia se positionne sur le segment médical mais ne traite pas spécifiquement la chaîne kiné-ostéo-psy en libéral.
Comment Client Vault répond — et où il s’arrête
Client Vault est un plugin WordPress qui crée un espace privé par patient sur votre propre site. Vous demandez un bilan, le patient le dépose, le fichier est validé et horodaté. Chaque accès est tracé. Chaque action — réception, validation, refus, suppression — laisse une empreinte opposable. Le patient peut, à sa demande, obtenir l’effacement définitif de ses données.
La pièce maîtresse, c’est que tout cela vit chez vous. Le serveur est celui que vous choisissez. Si vous hébergez vos données patient, vous prenez un hébergeur certifié HDS — OVHcloud Healthcare ou Outscale en France. Si demain vous voulez changer d’hébergeur, vous le faites sans demander la permission à un éditeur. Si demain Client Vault disparaît, votre cabinet continue à tourner sur le même WordPress, avec les mêmes données, sous votre contrôle.
Pour les agences WordPress qui équipent des cabinets paramédicaux : le vrai service à valeur ajoutée que vous apportez, c’est précisément la médiation technique. Choix de l’hébergeur HDS, configuration du certificat SSL, durcissement WordPress, sauvegardes chiffrées, formation du praticien à la pratique de collecte. C’est un déploiement reproductible, qui se facture en paramétrage initial et en support annuel.
Limites honnêtes
Client Vault n’est pas certifié HDS en tant qu’éditeur. Cette certification porte sur l’hébergeur, pas sur le code applicatif. Vous devez donc vous-même choisir un hébergeur HDS pour les données de santé — c’est cette combinaison qui rend votre installation conforme. Client Vault ne fait pas non plus la prise de rendez-vous : pour ça, Doctolib Pro reste excellent, et il s’intègre très bien à WordPress par redirection ou widget. Enfin, Client Vault ne se substitue pas à un dossier patient médical complet au sens d’un DPI : c’est un coffre de pièces, pas un logiciel de gestion clinique.
Faisons connaissance
Si vous êtes kiné, ostéo, psy, podologue ou sage-femme, et que la conformité de votre collecte de bilans patient vous préoccupe — ou que votre agence WordPress se pose la question pour vous —, échangeons en visio. Vingt à trente minutes pour comprendre votre situation, regarder votre stack actuelle, et voir si la voie souveraine sur WordPress avec hébergeur HDS peut répondre à vos contraintes.
Questions fréquentes
L’article L. 1110-4 s’applique-t-il aux kinés et ostéos ?
Oui. L’article englobe « toute personne prise en charge par un professionnel de santé, un établissement ou un service, un professionnel ou organisme concourant à la prévention ou aux soins ». Les kinésithérapeutes, ostéopathes, psychologues, podologues et sages-femmes en font partie.
Recevoir un bilan patient par WhatsApp est-il illégal ?
Pas en soi, mais ça pose plusieurs problèmes. WhatsApp ne couvre que la transmission, pas la conservation. La sauvegarde iCloud ou Google Drive sort vos données du périmètre HDS. Et la séparation pro-perso devient impossible si le téléphone est partagé. C’est un usage à risque, qu’aucune analyse RGPD sérieuse ne peut valider.
Faut-il être certifié HDS pour héberger un dossier paramédical ?
L’obligation pèse sur l’hébergeur, pas sur le professionnel. Si vous hébergez vos données chez OVHcloud Healthcare ou Outscale, qui sont certifiés HDS, vous êtes dans le périmètre. Si vous les hébergez chez un mutualisé classique, vous prenez un risque difficile à justifier en cas de contrôle.
Drive partagé est-il acceptable pour des bilans patient ?
Non. Un Drive partagé ne fournit ni le cloisonnement par patient, ni la traçabilité opposable des accès, ni la suppression définitive sur demande. Il viole également l’article 9 du RGPD sur les données de santé en l’absence de garanties techniques équivalentes à celles d’un hébergeur HDS.
Que risque un kiné qui stocke des bilans sur son ordi non chiffré ?
En cas de vol ou de perte de l’ordinateur, le secret professionnel est rompu sans qu’il y ait eu intention. La CNIL peut être saisie par un patient. Le risque pénal de l’article 226-13 reste théorique mais l’amende administrative est, elle, bien réelle.
Le RGPD article 9 interdit-il vraiment le stockage cloud non-européen ?
Il ne l’interdit pas en principe, mais il l’encadre fortement. Pour les données de santé, les transferts hors Union européenne sont possibles uniquement avec des garanties supplémentaires — analyse d’impact, mesures techniques, clauses contractuelles. En pratique, héberger des données de santé chez un acteur soumis au CLOUD Act est très difficile à justifier.
Doctolib Pro est-il suffisant pour la conformité paramédicale ?
Doctolib Pro est solide pour la prise de rendez-vous et la téléconsultation, et il s’intègre bien dans une pratique paramédicale. Il ne couvre pas la collecte structurée de bilans patient envoyés par les patients eux-mêmes. C’est cette dernière brique qu’un coffre-fort numérique souverain vient compléter.
