Guides
Secrétaire IA dentaire et RGPD : ce qu'il faut vérifier
Par La rédaction — SecretaireIADentaire.frPublié le 3 min de lecture
Un appel vers un cabinet dentaire peut contenir des informations de santé — un motif de consultation, un traitement en cours. Confier ces appels à une secrétaire IA soulève donc des questions RGPD précises, à poser avant la mise en place plutôt qu’après. Ce guide n’est pas un avis juridique : pour une situation donnée, un délégué à la protection des données ou un conseil juridique reste la référence.
Le cabinet reste responsable de traitement
En bref
Le cabinet dentaire reste responsable de traitement au sens du RGPD, même lorsqu’il confie la gestion des appels à un prestataire externe. Le prestataire agit comme sous-traitant, sur instruction du cabinet.
Cette distinction n’est pas seulement théorique : c’est le cabinet qui doit pouvoir répondre aux questions des patients sur l’usage de leurs données, et c’est lui qui porte l’obligation d’avoir choisi un prestataire offrant des garanties suffisantes.
Les données d’appel sont des données de santé
En bref
Un motif d’appel (douleur, type de soin, suivi d’un traitement) peut constituer une donnée de santé, catégorie particulière de données personnelles soumise à des règles renforcées.
Le RGPD classe les données de santé parmi les catégories dites « particulières », qui nécessitent une base légale spécifique pour être traitées — par exemple la nécessité du traitement à des fins de médecine préventive ou de gestion des systèmes de santé. En pratique, cela signifie que le prestataire doit traiter ces données avec un niveau de protection adapté, pas comme une donnée de contact ordinaire.
Le contrat de sous-traitance
En bref
Un contrat écrit avec le prestataire doit préciser l’objet du traitement, sa durée, les catégories de données concernées, et les obligations du prestataire en matière de sécurité et de confidentialité.
Ce document — souvent appelé accord ou clause de sous-traitance — encadre ce que le prestataire a le droit de faire des données, et ce qu’il doit garantir en retour : mesures de sécurité, confidentialité du personnel qui pourrait accéder aux enregistrements, et conditions de restitution ou de suppression des données à la fin du contrat.
Hébergement et conservation
En bref
Le cabinet doit savoir où les enregistrements et transcriptions sont hébergés, et combien de temps ils sont conservés avant suppression.
Deux questions concrètes à poser à tout prestataire : la localisation de l’hébergement (au sein de l’Union européenne ou non, avec quelles garanties si ce n’est pas le cas), et la durée de conservation des enregistrements et transcriptions — qui doit être limitée à ce qui est nécessaire, pas indéfinie.
Information des patients
En bref
Les patients doivent être informés qu’une IA peut traiter leur appel et savoir comment exercer leurs droits (accès, rectification, effacement) sur ces données.
Cette information peut prendre la forme d’un message en début d’appel, d’une mention sur le site du cabinet, ou d’une affiche en salle d’attente. Le point important est que le patient ne découvre pas après coup qu’une IA a traité son appel, ni ne sache pas comment demander l’accès ou la suppression de ses données.
Ce que doit garantir une secrétaire IA dentaire
En bref
Un prestataire sérieux documente clairement l’hébergement, la conservation, les accès aux données, et propose un contrat de sous-traitance conforme — sans que le cabinet ait à le lui demander.
Ces garanties doivent être écrites noir sur blanc, pas seulement mentionnées à l’oral pendant une démonstration commerciale. C’est un point à vérifier avant de choisir une secrétaire IA dentaire, au même titre que le prix ou le périmètre fonctionnel.
Questions fréquentes
Qui est responsable de traitement, le cabinet ou le prestataire IA ?
Le cabinet reste responsable de traitement ; le prestataire agit comme sous-traitant, sur instruction du cabinet et dans le cadre défini par le contrat.
Faut-il le consentement du patient pour utiliser une secrétaire IA ?
La base légale exacte dépend du contexte, mais dans tous les cas le patient doit être informé qu'une IA peut traiter son appel, et savoir comment exercer ses droits.
Les enregistrements peuvent-ils être conservés indéfiniment ?
Non : le principe de limitation de la conservation du RGPD impose une durée définie, adaptée à la finalité du traitement, puis une suppression ou un archivage encadré.
Un contrat de sous-traitance est-il obligatoire ?
Oui : dès qu'un prestataire traite des données personnelles pour le compte du cabinet, un contrat encadrant ce traitement (objet, durée, obligations de sécurité) est requis par le RGPD.