Confidentialité et cloisonnement
Ce qu'un praticien voit et ne voit pas, la journalisation des lectures d'agenda, la durée de conservation des rendez-vous, et le partage des rôles RGPD.
Mise à jour le 30 juillet 2026
Le principe
Qui voit quoi
| Profil | Ce qu'il voit |
|---|---|
| Compte rattaché à un praticien | Uniquement son agenda, sa patientèle, ses chiffres, ses notes |
| Compte non rattaché (secrétariat, trésorier, administrateur) | L'occupation de tous les créneaux et salles, sans le nom des patients d'autrui ni les notes internes |
| Le patient | Uniquement la confirmation de son propre rendez-vous |
| Le site du cabinet, par l'API | Les praticiens et les créneaux libres, rien d'autre |
Un compte non rattaché garde accès aux contacts, parce que la note d'honoraires est adressée au patient et que la facturation a besoin de son nom. C'est la lecture de l'agenda d'autrui qui lui reste fermée, pas le carnet d'adresses.
Comment c'est appliqué
Le filtre est posé dans la requête à la base, pas à l'affichage. La différence compte : une donnée exclue n'est pas chargée, donc elle ne peut pas fuiter par une exportation, un appel direct ou une erreur de rendu.
Trois exemples de ce que cela produit :
- L'agenda ne rapporte que les rendez-vous du praticien connecté, et le nom du patient comme la note interne sont mis à blanc pour les autres.
- La patientèle exclut les contacts qui n'ont de rendez-vous qu'avec d'autres praticiens. Un patient partagé entre deux praticiens reste visible des deux.
- Le tableau de bord ignore le filtre praticien pour un compte rattaché : il ne rend que ses chiffres, même si l'adresse demande autre chose.
Un praticien qui tenterait d'agir sur l'agenda d'un confrère reçoit « Vous ne pouvez agir que sur votre propre agenda. »
Les lectures d'agenda sont tracées
Chaque affichage de l'agenda écrit une entrée au journal d'audit, avec la période consultée, le praticien concerné et le nombre de lignes lues.
La conservation des rendez-vous
Menu Paramètres › Cabinet, bloc Conservation des rendez-vous. Le texte y pose la règle : « Par défaut, rien n'est purgé : les rendez-vous restent tant que le cabinet ne fixe pas de durée. Fixer une durée est une décision de conformité (limitation de conservation, art. 5.1.e) : elle est journalisée. Les notes d'honoraires, elles, restent conservées pour la durée comptable légale. »
- Saisissez une durée, de 12 à 240 mois. Valeur proposée :
60. - Cliquez Appliquer, ou Ne rien purger pour revenir à l'absence de purge.
Avant de trancher, l'écran annonce combien de rendez-vous seraient effacés à la prochaine exécution.
Le plancher de douze mois n'est pas arbitraire : en dessous, la purge mordrait sur l'exercice comptable en cours. Une durée hors bornes donne « Indiquez une durée entre 12 et 240 mois, ou aucune purge. »
La purge tourne une fois par nuit et efface définitivement les lignes concernées.
Ce réglage est réservé aux administrateurs, et chaque modification est journalisée.
Supprimer un patient
Supprimer un contact efface aussi ses rendez-vous, y compris à venir, et libère les créneaux correspondants. Deux entrées sont écrites au journal d'audit.
Les notes d'honoraires déjà émises, elles, restent : l'article 17.3.b du RGPD réserve le droit à l'effacement quand une obligation légale impose la conservation.
Ce qui n'est jamais stocké
La seule zone libre est la note administrative du rendez-vous, limitée à 200 caractères et libellée pour ce qu'elle est : « Note administrative (jamais de contenu clinique) ».
À lire ensuite
Isolation des données, pour le cloisonnement entre organisations, qui est un dispositif distinct.