Profession de santé et thérapeutes : où stocker les notes patient sans trahir le secret médical ni le RGPD

Vous êtes psychologue, kinésithérapeute, infirmier libéral, ostéopathe, sage-femme ou psychothérapeute, et vos notes de séance s'accumulent : bilans, comptes rendus, photos de suivi, courriers, tests. Un jour la question tombe, souvent après un article sur une fuite de données ou une remarque d'un confrère : "En fait, ai-je le droit de mettre ça dans Notion, Google Drive ou Dropbox ?" La réponse honnête est inconfortable, parce qu'elle mélange deux régimes juridiques stricts (le secret professionnel et le RGPD) et une réalité technique que la plupart des outils grand public ne remplissent pas.

Cet article répond à la question de fond, sans jargon inutile et sans vendre de solution miracle. Précision importante d'emblée : ceci n'est pas un conseil juridique. C'est un cadrage pour vous aider à poser les bonnes questions et à faire des choix défendables. Pour un cas précis, un délégué à la protection des données (DPO), votre ordre professionnel ou un avocat spécialisé reste votre référence.

Quick Answer

Une note qui concerne la santé d'une personne identifiable est une "donnée de santé" au sens du RGPD (catégorie particulière, article 9) et relève du secret médical. Vous ne pouvez pas la stocker n'importe où. Deux principes cumulatifs s'appliquent. D'abord le secret professionnel : l'information ne doit être accessible qu'à vous et aux personnes légitimement associées au soin. Ensuite le RGPD : minimisation, sécurité, et si vous confiez l'hébergement à un tiers cloud, cet hébergeur doit en principe être certifié HDS (Hébergeur de Données de Santé) pour la France. Conséquence concrète : les outils grand public non chiffrés de bout en bout et non certifiés HDS (Notion, Google Drive, Dropbox standard) sont un mauvais choix pour des données de santé identifiantes. Le stockage local chiffré sur votre propre machine, lui, n'est pas de l'hébergement pour le compte de tiers et évite une grande partie du problème, à condition d'être réellement chiffré et sauvegardé.

Pourquoi c'est un vrai risque pour vous, pas une théorie

Le secret médical n'est pas une simple règle déontologique : c'est une obligation pénalement sanctionnée. En France, sa violation est punie par le Code pénal (article 226-13) et rappelée par le Code de la santé publique (article L.1110-4). Le point clé souvent mal compris : le secret ne se limite pas à "ne pas raconter". Il vous oblige aussi à protéger l'information contre les accès non autorisés. Si vos notes patient sont lisibles par le fournisseur d'un service cloud, par un administrateur système, ou par quiconque met la main sur votre ordinateur non chiffré, vous êtes déjà en difficulté, même si personne n'a rien divulgué volontairement.

Le RGPD ajoute une deuxième couche. Les données de santé sont des "catégories particulières" : leur traitement est encadré plus strictement que celui d'un simple nom ou email. On vous demande une base légale valable, la minimisation (ne collecter que le nécessaire), une durée de conservation définie, et des mesures de sécurité "appropriées au risque". Pour un professionnel de santé isolé, la CNIL recommande depuis longtemps le chiffrement comme mesure de base pour les données sensibles stockées ou transportées. Ce n'est pas une obligation formelle universelle, mais en cas de contrôle ou de fuite, l'absence de chiffrement sera très difficile à défendre.

Et les fuites arrivent. Ordinateur volé dans une voiture, clé USB perdue, compte cloud piraté par réutilisation de mot de passe, sauvegarde mal configurée exposée sur Internet. Le jour où ça arrive, tout se joue sur une seule question : les données étaient-elles lisibles par celui qui les a récupérées ? C'est exactement ce qui distingue un incident gênant d'une catastrophe déclarable, un sujet que je détaille dans mon comparatif entre chiffrement local et cloud classique au moment d'une fuite.

La réponse de fond : trois modèles de stockage, honnêtement comparés

Il n'existe pas une seule bonne réponse. Il existe des compromis, et le bon dépend de votre volume, de votre besoin de mobilité et de qui d'autre accède aux dossiers.

Le cœur du problème : qui détient la clé de déchiffrement

Avant de comparer des marques, comprenez le seul critère qui compte techniquement. Beaucoup d'outils annoncent "chiffré". La vraie question est : chiffré, mais qui peut déchiffrer ?

Chiffré "au repos" côté serveur (Notion, Google Drive standard) : le fournisseur chiffre les disques, mais détient les clés. Il peut techniquement lire vos données, répondre à une réquisition, et un pirate qui compromet le service le peut aussi. Notion, par exemple, chiffre au repos et en transit mais pas de bout en bout, comme je l'explique dans mon article sur ce que "Notion est-il chiffré" veut vraiment dire.
Chiffré de bout en bout ou zero-knowledge : seule votre clé, dérivée de votre mot de passe, déchiffre. Le fournisseur ne voit que des blocs illisibles. C'est le niveau attendu pour des données de santé. La nuance entre ces deux termes proches est expliquée dans mon article sur end-to-end vs zero-knowledge.

Pour des notes patient, visez le second modèle, ou le stockage 100% local chiffré.

Comparatif des trois approches

Approche	Secret médical	RGPD / HDS	Mobilité	Risque principal
Cloud grand public (Notion, Drive, Dropbox standard)	Faible : le fournisseur peut lire	Hébergeur non HDS, chiffrement non E2E	Excellente	Fuite lisible, réquisition, non-conformité
Logiciel métier / hébergeur HDS certifié	Bon si bien configuré	Conçu pour : hébergeur HDS, traçabilité	Bonne	Coût, dépendance, données confiées à un tiers
Stockage local chiffré sur votre machine	Fort : vous seul avez la clé	Pas d'hébergement tiers, chiffrement à votre charge	Limitée sans sync	Perte ou panne si pas de sauvegarde

Le point mal connu qui simplifie beaucoup les choses : la certification HDS s'applique à l'hébergement de données de santé "pour le compte de tiers". Quand vous stockez vos propres notes sur votre propre ordinateur, vous n'êtes pas un hébergeur tiers, et l'obligation HDS ne s'applique pas de la même manière. Le stockage local chiffré est donc souvent la voie la plus simple à sécuriser pour un praticien isolé, à condition de gérer sérieusement le chiffrement et les sauvegardes. Dès que vous confiez le stockage à un cloud, en revanche, la question HDS revient au premier plan.

Le cas de la sauvegarde : le piège classique

Beaucoup de praticiens chiffrent leur poste puis sauvegardent "en clair" sur un cloud grand public ou une clé USB non chiffrée. La faille se déplace, elle ne disparaît pas. Une sauvegarde de données de santé doit être aussi bien protégée que l'original : chiffrée, et idéalement de façon à ce que le service de sauvegarde ne puisse pas lire le contenu. C'est l'un des sujets les plus négligés, et je lui ai consacré un guide entier sur comment sauvegarder des notes chiffrées sans casser le zero-knowledge.

Ce que ça implique concrètement : votre checklist

Voici des pratiques actionnables, indépendantes de tout outil :

Chiffrez le poste ET les fichiers. Le chiffrement de disque (BitLocker, FileVault) protège contre le vol de la machine éteinte. Le chiffrement par fichier ou par application protège en plus quand la session est ouverte ou quand un fichier part ailleurs. Les deux sont complémentaires. Pour comprendre la brique de base, voir ce qu'est l'AES-256-GCM.
Minimisez. N'écrivez dans vos notes que ce qui est utile au soin. Moins de données sensibles, moins d'exposition en cas de fuite.
Définissez une durée de conservation. Les dossiers de santé ont des durées encadrées ; archivez ou purgez selon la règle applicable à votre profession, ne gardez pas tout indéfiniment "au cas où".
Verrouillez les accès. Mot de passe fort et unique, deuxième facteur quand c'est possible, session verrouillée automatiquement. Un poste laissé ouvert annule tout le chiffrement.
Sauvegardez, mais chiffré. Trois copies, deux supports, une hors site, toutes chiffrées.
Méfiez-vous des tiers cloud non HDS. Si un outil héberge vos données de santé identifiantes sans certification HDS ni chiffrement de bout en bout, considérez-le comme inadapté, quelle que soit sa réputation.
Séparez identité et contenu quand c'est possible. Pseudonymiser (un code au lieu du nom complet dans certains fichiers) réduit l'impact d'une fuite partielle.

Où Filarr peut aider (et où il ne remplace rien)

Je développe Filarr, un espace de travail chiffré et local-first : notes, fichiers et un graph qui les relie, le tout chiffré sur votre disque. Pour ce cas d'usage précis, voici ce qu'il apporte honnêtement, et ses limites.

Ce que Filarr résout. Vos notes et vos fichiers sont chiffrés en AES-256-GCM par fichier, avec une clé distincte par fichier, directement sur votre machine. La clé est dérivée de votre mot de passe (PBKDF2 600 000 itérations, Argon2id disponible en option) ; personne d'autre ne peut déchiffrer, pas même moi. La récupération passe par une phrase de 24 mots BIP-39 que vous seul détenez. L'app fonctionne 100% hors ligne, sans compte obligatoire, ce qui colle bien au modèle "stockage local, vous seul avez la clé" décrit plus haut. Notes de séance, courriers, PDF, images de suivi peuvent vivre au même endroit, reliés, cherchables, sans passer par un serveur. Si vous partez de Notion, un chemin de migration existe.

Ce que Filarr ne résout PAS, et qu'il faut dire clairement. Filarr est un outil de chiffrement local, pas une certification RGPD ni une garantie de conformité. Se conformer dépend de tout votre traitement (bases légales, information des patients, durées, registre), pas d'un seul logiciel. Point crucial pour la santé : la sync cloud optionnelle de Filarr s'appuie sur Cloudflare R2, qui n'est pas certifié HDS. Même si le serveur ne stocke que des blobs chiffrés opaques qu'il ne peut pas lire, le débat juridique sur le statut des données de santé chiffrées hébergées chez un tiers n'est pas tranché de façon univoque. Ma recommandation prudente : pour des données de santé directement identifiantes, gardez-les en local (n'activez pas la sync cloud), ou consultez votre DPO avant. Filarr sécurise le contenu ; il ne vous dispense pas de la gouvernance ni des obligations propres à votre profession.

En résumé, Filarr est un bon outil pour appliquer le principe "chiffré, vous seul avez la clé, sur votre machine", pas un raccourci vers la conformité. Pour ranger et retrouver l'ensemble sans l'éparpiller, la même logique que dans mon guide pour arrêter de perdre ses fichiers et ses notes s'applique directement aux dossiers d'un cabinet.

FAQ

Ai-je le droit de stocker mes notes patient dans Notion ou Google Drive ? Ce n'est pas interdit en soi, mais c'est fortement déconseillé pour des données de santé identifiantes : ces services ne sont pas certifiés HDS et ne chiffrent pas de bout en bout, donc le fournisseur peut techniquement lire vos données. En cas de fuite ou de contrôle, ce choix sera difficile à défendre. Préférez un stockage local chiffré ou une solution conçue pour la santé.

La certification HDS est-elle obligatoire si je garde tout sur mon ordinateur ? L'obligation HDS vise l'hébergement de données de santé pour le compte de tiers. Stocker vos propres notes sur votre propre machine n'est pas cette situation, donc l'obligation ne s'applique pas de la même façon. En revanche, vous restez responsable de la sécurité (chiffrement, sauvegarde, accès) et du respect du RGPD.

Le chiffrement de mon disque (BitLocker, FileVault) suffit-il ? Il protège la machine éteinte ou volée, ce qui est déjà essentiel. Mais quand votre session est ouverte, les fichiers sont en clair pour tout ce qui tourne sur le poste, et un fichier copié ailleurs perd sa protection. Ajouter un chiffrement par fichier ou par application comble ce trou. Voir la différence entre KEK et FEK, et pourquoi le chiffrement par fichier compte.

Combien de temps dois-je conserver mes notes ? Cela dépend de votre profession et du type de dossier ; les durées de conservation des données de santé sont encadrées et peuvent être longues. Définissez une règle écrite, archivez de façon sécurisée puis purgez à l'échéance. Ne conservez pas indéfiniment par défaut : c'est contraire au principe de minimisation.

Le zero-knowledge me met-il à l'abri d'une réquisition judiciaire ? Si le service ne détient pas la clé, il ne peut pas remettre un contenu lisible, mais vous, oui : en tant que responsable, vous restez soumis aux obligations légales et à d'éventuelles réquisitions vous concernant. Le zero-knowledge protège contre la lecture par le fournisseur et contre les fuites côté serveur, pas contre vos propres obligations. C'est un outil de sécurité, pas un bouclier juridique.

Cet article a une visée informative et ne constitue pas un conseil juridique. Pour votre situation précise, rapprochez-vous d'un DPO, de votre ordre professionnel ou d'un avocat spécialisé.