Savoir
Où sont vos données patients et comment elles sont protégées. Sur le serveur, dans le cloud, sur une clé USB, dans votre messagerie, sur le téléphone d'un collaborateur.
Conformité nLPD · Cybersécurité
Protégez les données de vos patients. C'est une obligation légale.
Depuis le 1er septembre 2023, la nouvelle Loi fédérale sur la Protection des Données (nLPD) vous tient personnellement responsable de la sécurité des données de vos patients. Ce guide vous explique vos obligations et les mesures concrètes à mettre en place.
LA SITUATION EN SUISSE
Pourquoi votre cabinet est concerné
Les cyberattaques ne visent pas uniquement les grandes entreprises. Les attaques de masse touchent aussi les cabinets médicaux et dentaires : un seul clic sur un faux e-mail peut suffire.
- 64'733Cyberincidents signalés à l'OFCS en 2025
- 2Attaques en un an contre le Groupe 3R, réseau radiologique romand
- 5 semainesPour que Vidymed récupère l'essentiel de ses données
- 250'000CHF d'amende maximale (nLPD)
Sources : rapport annuel 2025 de l'Office fédéral de la cybersécurité (OFCS), communiqués du Groupe 3R (avril 2025 et avril 2026) et de Vidymed (décembre 2024 et janvier 2025).
Responsabilité personnelle Les amendes de la nLPD visent les personnes physiques, pas l'entreprise, et seulement les violations intentionnelles, le plus souvent sur plainte. Dans un cabinet dentaire, c'est en général le titulaire ou le dirigeant qui est concerné. Le délai de prescription est de 5 ans (Art. 66 nLPD).
CE QUE LA LOI EXIGE
Vos 3 obligations fondamentales
La nLPD ne vous demande pas de devenir informaticien. Elle vous demande de savoir, de réagir et de prouver.
Notifier
En cas de violation de la sécurité des données, le PFPDT doit être informé dans les meilleurs délais (Art. 24 nLPD). Les patients concernés doivent également être informés si nécessaire.
Démontrer
Sur demande, vous devez pouvoir prouver que vous avez pris les mesures techniques et organisationnelles nécessaires : documentation, contrats, formations, registre des traitements.
DONNÉES SENSIBLES
Quelles données sont protégées dans votre cabinet ?
Un cabinet dentaire traite quotidiennement des données de santé, classées comme sensibles au sens de l'Art. 5 let. c nLPD, qui bénéficient du niveau de protection le plus élevé prévu par la loi. Ses autres données personnelles demandent elles aussi une protection soignée.
Données de santé
Radiographies, CBCT, photos intra-orales, diagnostics, plans de traitement, prescriptions, antécédents médicaux, notes cliniques, correspondances avec d'autres praticiens.
Données biométriques et génétiques
Empreintes dentaires numériques, empreintes optiques, modèles 3D. Certains examens peuvent révéler des informations à caractère génétique (Art. 5 let. c ch. 3).
Données administratives
Numéros AVS, dates de naissance, coordonnées, formulaires d'anamnèse, consentements, données d'assurance LAMal et complémentaires.
Correspondance et facturation
Échanges par e-mail avec les patients, bons de commande aux laboratoires, factures, relevés d'assurance, historique de paiement.
MESURES CONCRÈTES
Ce que vous devez mettre en place
Chaque point ci-dessous est détaillé dans le guide de référence téléchargeable gratuitement en bas de page.
Messagerie sécurisée
Toute communication contenant des données patients doit transiter par une messagerie chiffrée de bout en bout. Gmail, Hotmail, Bluewin et WhatsApp ne sont pas conformes pour les données médicales.
Mises à jour
Tous les postes doivent fonctionner sous un système d'exploitation encore supporté par l'éditeur. Le support de Windows 10 a pris fin en octobre 2025. Les logiciels dentaires et les navigateurs doivent également être à jour.
Sauvegardes 3-2-1
3 copies de vos données, sur 2 supports différents, dont 1 hors du cabinet, et idéalement une copie déconnectée ou immuable. La restauration doit être testée régulièrement, au moins une fois par an. Votre prestataire informatique doit mettre en place et documenter cette stratégie.
Chiffrement des disques
BitLocker (Windows) et FileVault (macOS) doivent être activés sur tous les postes et serveurs. Un ordinateur volé sans chiffrement expose immédiatement toutes les données patients.
Mots de passe et double authentification
Minimum 12 caractères, stockés dans un gestionnaire sécurisé. La double authentification (2FA) doit être activée sur tous les accès critiques : messagerie, logiciel de gestion, accès à distance.
Réseau WiFi séparé
Le réseau du cabinet (postes, serveur, imprimantes) doit être physiquement séparé du réseau invité destiné aux patients. Un appareil infecté sur le réseau invité ne doit pas pouvoir atteindre vos données.
Accès à distance sécurisé
Les outils d'accès distant gratuits en veille permanente (TeamViewer, AnyDesk) représentent un risque majeur. Un VPN professionnel ou une solution RMM managée par votre prestataire sont les alternatives conformes.
Protection EDR
Un antivirus seul, dont personne ne suit les alertes, laisse passer des attaques nouvelles. Une solution EDR (Endpoint Detection and Response), surveillée par un professionnel, détecte les menaces par l'analyse comportementale et permet d'y réagir.
Gestion des accès utilisateurs
Un compte nominatif par collaborateur, principe du moindre privilège, désactivation immédiate au départ. Aucun compte partagé.
Contrat de sous-traitance (Art. 9 nLPD)
Un contrat est obligatoire avec tout prestataire qui traite des données patients pour le compte du cabinet : prestataire IT, hébergeur cloud, fiduciaire. Mieux vaut l'écrire, pour pouvoir le prouver. Sans contrat, aucun recours en cas de problème, et confier intentionnellement des données sans respecter ces règles est passible d'une amende jusqu'à 250'000 CHF.
Formation du personnel
Les erreurs humaines sont à l'origine d'une part significative des violations de données. La formation du personnel (phishing, mots de passe, procédure d'urgence, secret professionnel) doit avoir lieu au minimum une fois par an.
Assurance cyber
Même avec un bon niveau de sécurité, le risque zéro n'existe pas. Une assurance cyber couvre les frais d'intervention d'urgence, la perte de chiffre d'affaires et les frais de notification en cas d'incident.
EN CAS D'INCIDENT
Les 6 étapes d'urgence
Si vous suspectez une attaque ou une fuite de données, les premières minutes sont déterminantes. Suivez ces étapes dans l'ordre.
Isoler
Débrancher le câble réseau, désactiver le WiFi. Ne pas éteindre le poste ; cela détruit les preuves.
Appeler votre prestataire IT
Votre prestataire informatique en premier. Si indisponible : OFCS via incidents@ncsc.ch ou report.ncsc.admin.ch.
Documenter
Photographier les écrans, noter l'heure exacte, lister les postes et données potentiellement touchés.
Ne pas payer de rançon
Recommandation officielle de la Confédération. Payer ne garantit rien et finance les réseaux criminels.
Évaluer
Des données patients sont-elles touchées ? Si le risque pour les patients est vraisemblablement élevé, la notification au PFPDT est obligatoire ; en cas de rançongiciel, ce risque est en principe présumé.
Notifier le PFPDT
Via databreach.edoeb.admin.ch, dans les meilleurs délais (Art. 24 nLPD).
Le PFPDT ne fait pas de descente dans votre cabinet. Il lit votre annonce, vérifie que vous avez réagi correctement et peut demander des précisions. La règle d'or : notifier tôt vaut mieux que ne pas notifier.
CAS RÉELS
Des attaques en Suisse romande, pas seulement à la télévision
| Incident | Date | Conséquences |
|---|---|---|
| Groupe 3R, Réseau Radiologique Romand (20 centres, 7 cantons) | Avril 2025 et avril 2026 | Deux attaques par rançongiciel, données de patients volées ; rançon refusée, données publiées en 2026 |
| Vidymed, Lausanne et Epalinges | Décembre 2024 | Informatique suspendue, retour au papier ; l'essentiel des données restauré cinq semaines plus tard |
Ce que coûte une attaque Des jours, parfois des semaines, de travail au ralenti : chez Vidymed, il a fallu cinq semaines pour récupérer l'essentiel des données. S'y ajoutent la remise en état, l'information des patients et la perte de leur confiance.
CONTACTS D'URGENCE
Numéros et portails à conserver
| Organisme | Rôle | Contact |
|---|---|---|
| OFCS | Signalement cyberattaque | incidents@ncsc.ch · report.ncsc.admin.ch |
| PFPDT | Notification violation de données | +41 58 462 43 95 (lu-ve 10h-12h) · databreach.edoeb.admin.ch |
| Police cantonale | Vol de matériel, plainte | 117 |
RESSOURCES GRATUITES
Documents à télécharger
Tous les documents ci-dessous sont gratuits et librement téléchargeables. Ils sont conçus pour être utilisés directement dans votre cabinet.
- DS1
- DS2
Fiche Réflexe - Incident de sécurité
Procédure d'urgence. Recto-verso, à imprimer et afficher en cabinet.
- DS3
Modèle - Politique de sécurité
Politique interne complète avec attestation de prise de connaissance.
- DS4
Modèle - Attestation de formation
Formulaire avec sujets à cocher, à conserver dans le dossier du personnel.
- DS5
Modèle - Procédure d'incident (employés)
Les 6 étapes et contacts d'urgence. À remettre à chaque collaborateur.
- DS6
Modèle - Règles personnel temporaire
Document d'une page pour stagiaires, remplaçants et intervenants externes.
- DS7
Modèle - Contrat de sous-traitance (générique)
Contrat Art. 9 nLPD pour tout prestataire qui traite des données patients pour le cabinet.
- DS8
Registre des activités de traitement
Inventaire structuré de tous les traitements de données du cabinet.
- DS9
Déclaration de protection des données patients
Information aux patients sur le traitement de leurs données personnelles.
- DS10
Modèle - Réponse à une demande d'accès
Lettre type pour répondre aux demandes d'accès des patients (Art. 25 nLPD).
- DS11
Formulaire de documentation d'incident
Formulaire interne pour documenter chaque incident de sécurité.
Utilisation libre Ces documents sont fournis à titre informatif et éducatif. Ils ne constituent pas un avis juridique. Adaptez-les à la situation spécifique de votre cabinet et consultez un juriste spécialisé pour toute question relative à la nLPD.
Besoin d'accompagnement pour votre conformité ?
DentalSystems Sàrl accompagne les cabinets dentaires en Suisse romande sur la cybersécurité, la conformité nLPD et l'infrastructure informatique.
DentalSystems Qualité, Sécurité, Transparence
Quiz - nLPD & Cybersécurité
Mentions du guide
Mentions légales et conditions d'utilisation
Ce document a été rédigé par DentalSystems Sàrl à des fins d'information et de sensibilisation. Il ne constitue pas un avis juridique. Les informations contenues dans ce document sont à jour en date d'octobre 2026 et sont susceptibles d'évoluer en fonction des modifications législatives et réglementaires.
Pour toute question juridique relative à la nLPD, au RGPD ou à la protection des données dans le contexte médical, consultez un juriste spécialisé.
Propriété intellectuelle
Ce document est la propriété exclusive de DentalSystems Sàrl. L'ensemble de son contenu — textes, structure, mise en page et éléments graphiques — est protégé par le droit d'auteur conformément à la Loi fédérale sur le droit d'auteur et les droits voisins (LDA, RS 231.1).
Utilisation autorisée
Le guide et la fiche réflexe peuvent être librement téléchargés, imprimés et diffusés au sein d'un cabinet dentaire ou d'une structure médicale, sans modification et avec la mention de leur auteur (DentalSystems Sàrl). Les modèles (DS3 à DS11) peuvent être modifiés et utilisés sous le nom du cabinet, y compris auprès de ses patients, de ses collaborateurs et de ses prestataires, sans conserver nos mentions.
Utilisations interdites
Sauf accord écrit préalable de DentalSystems Sàrl, il est interdit de vendre ces documents, même modifiés, ou de les proposer au téléchargement à des tiers (sites de téléchargement, plateformes de partage, revendeurs).
Limitation de responsabilité
Ces documents sont fournis gratuitement, à titre d'information. Dans les limites permises par le droit suisse, DentalSystems Sàrl n'est pas responsable des conséquences de leur utilisation ; cette limitation ne s'applique pas en cas de faute intentionnelle ou de négligence grave. L'utilisateur reste responsable de leur adaptation à sa situation. Ils ne remplacent ni un audit professionnel, ni un conseil juridique.
DentalSystems Sàrl
Thomas Alvino, Technicien IT
www.dentalsystems.ch | talvino@dentalsystems.ch | +41 77 245 48 44
© 2026 DentalSystems Sàrl. Tous droits réservés.