Gestion d'un cabinet médical : conformité légale

Un cabinet médical cumule trois régimes qui n'ont ni le même contrôleur, ni le même calendrier, ni les mêmes sanctions : les obligations déontologiques et ordinales, celles de l'employeur, et celles applicables aux données de santé. La difficulté n'est pas la complexité de chacun, mais le fait qu'ils progressent en parallèle — et qu'un manquement dans l'un se découvre souvent à l'occasion d'un contrôle portant sur un autre.

L'installation et le cadre d'exercice

L'exercice suppose l'inscription au tableau de l'ordre compétent et l'enregistrement du diplôme. Le contrat d'exercice — association, collaboration libérale, remplacement — doit être communiqué à l'ordre, qui en vérifie la conformité déontologique.

Trois points sont fréquemment sous-estimés à ce stade :

• La clause de non-concurrence ou de non-réinstallation figurant dans un contrat de collaboration doit être limitée dans le temps et dans l'espace, et proportionnée. Une clause excessive est écartée, mais mieux vaut la négocier que la plaider.
• Le contrat de remplacement doit être écrit et transmis à l'ordre, y compris pour un remplacement bref.
• L'assurance de responsabilité civile professionnelle doit être souscrite avant le premier acte, avec une attention particulière à la reprise du passé si un exercice antérieur a eu lieu — sujet développé dans notre article sur la responsabilité civile professionnelle.

Le cabinet comme employeur

Dès la première embauche — secrétaire, assistant, infirmier — le cabinet devient un employeur soumis au droit du travail et à la convention collective applicable.

Les obligations les plus structurantes sont celles dont l'absence se constate immédiatement lors d'un contrôle : déclaration préalable à l'embauche, contrat écrit lorsqu'il est exigé, affichages obligatoires, registre unique du personnel, visite d'information et de prévention, et document unique d'évaluation des risques professionnels.

Ce dernier est le plus souvent manquant dans les petites structures alors qu'il est obligatoire dès le premier salarié. Dans un cabinet médical, il doit couvrir des risques spécifiques : exposition biologique, manutention, risques psychosociaux, et travail sur écran.

S'y ajoute le décompte du temps de travail lorsque les horaires ne sont pas collectifs, dont l'enjeu probatoire est développé dans notre article sur les heures supplémentaires.

Les données de santé au quotidien

C'est le régime dont les manquements coûtent le plus cher, et il se joue sur des gestes ordinaires.

Le cabinet est responsable de traitement des données de ses patients. Il doit tenir un registre des traitements, informer les patients, définir des durées de conservation, et encadrer contractuellement ses sous-traitants — éditeur de logiciel, hébergeur, prestataire de télésecrétariat.

Trois exigences pratiques en découlent :

• L'hébergement des données doit être assuré par un acteur certifié à cet effet, y compris lorsque le logiciel métier est utilisé en ligne.
• Les habilitations doivent être individuelles et différenciées : un compte partagé entre plusieurs personnes rend toute traçabilité impossible et constitue un manquement en soi.
• Les échanges de données de santé entre professionnels supposent une messagerie sécurisée de santé, non une messagerie grand public.

La journalisation des accès et les durées de conservation propres au dossier médical sont détaillées dans notre article sur le dossier médical électronique, et les règles de partage dans celui consacré au secret médical.

L'accueil du public et les locaux

Le cabinet est un établissement recevant du public, ce qui emporte des obligations d'accessibilité et de sécurité incendie proportionnées à sa catégorie. Un registre public d'accessibilité doit être tenu à disposition.

S'y ajoutent l'affichage des honoraires et des conditions de prise en charge, ainsi que l'information sur les modalités de règlement des litiges.

La gestion des déchets d'activités de soins à risques infectieux relève d'une filière dédiée, avec convention avec un prestataire agréé et conservation des bordereaux de suivi. C'est un point de contrôle simple et fréquent.

La facturation et les relations avec l'assurance maladie

La facturation obéit aux nomenclatures applicables et à la réglementation sur les dépassements d'honoraires, dont l'affichage est obligatoire.

Deux obligations documentaires méritent d'être organisées à l'avance : la conservation des feuilles de soins et pièces justificatives selon les durées applicables, et la traçabilité des prescriptions, dont le cadre est exposé dans notre article sur les ordonnances numériques.

Un contrôle de l'assurance maladie porte principalement sur la cohérence entre les actes facturés et les dossiers patients. C'est le point où la qualité de la tenue du dossier produit un effet direct, bien au-delà de sa fonction médicale.

Scénarios d'usage

Première embauche. Traiter dans l'ordre : déclaration préalable, contrat écrit, affiliation à la médecine du travail, document unique. Ce dernier est le plus souvent oublié et le plus systématiquement demandé.

Changement de logiciel métier. Vérifier la certification d'hébergement, la réversibilité des données et le format d'export avant de signer. Une migration sans plan de récupération expose à une perte de dossiers dont les délais de conservation courent toujours.

Association de plusieurs praticiens. Différencier les habilitations d'accès aux dossiers par praticien et par patient. L'appartenance à la même structure ne vaut pas participation à la prise en charge de chaque patient.

Questions fréquentes

Le document unique est-il obligatoire dans un petit cabinet ? Oui, dès le premier salarié, sans seuil d'effectif. Il doit couvrir les risques propres à l'activité, y compris biologiques et psychosociaux.

Faut-il un hébergeur certifié pour un logiciel en ligne ? Oui dès lors que des données de santé sont hébergées pour le compte du cabinet. La vérification incombe au cabinet en tant que responsable de traitement.

Un compte informatique partagé est-il acceptable ? Non. Les habilitations doivent être individuelles, faute de quoi aucune traçabilité des accès n'est possible — ce qui constitue un manquement autonome.

Peut-on échanger des données patients par courriel ordinaire ? Non. Les échanges de données de santé entre professionnels supposent une messagerie sécurisée dédiée.

Quelles obligations pour les déchets de soins ? Une filière dédiée, une convention avec un prestataire agréé, et la conservation des bordereaux de suivi, dont la production est régulièrement demandée en contrôle.

Une clause de non-réinstallation est-elle valable ? Seulement si elle est limitée dans le temps et l'espace et proportionnée à la protection d'intérêts légitimes. Une clause excessive est écartée par le juge.

À retenir

Trois régimes progressent en parallèle, et chacun a son propre contrôleur. Le plus simple à mettre en conformité est le régime employeur, où les manquements sont visibles et les correctifs connus — le document unique en tête. Le plus coûteux est celui des données de santé, où les gestes ordinaires produisent les manquements : compte partagé, messagerie grand public, hébergement non vérifié.

Un dispositif sert les trois à la fois, et c'est celui par lequel commencer : des habilitations individuelles et différenciées, associées à une journalisation des accès. Elles démontrent que la limite du « nécessaire à la mission » a été respectée, elles protègent le praticien lorsqu'un accès lui est reproché, et elles constituent la trace attendue lors d'un contrôle de facturation comme lors d'une mise en cause de responsabilité.