Les cabinets dentaires traitent quotidiennement des données classées comme sensibles au sens de l'Art. 5 let. c de la nLPD : radiographies, CBCT, diagnostics, plans de traitement, antécédents médicaux, numéros AVS, données biométriques (empreintes dentaires numériques, modèles 3D), correspondances médicales et données financières. Ces informations bénéficient du niveau de protection le plus élevé prévu par la loi suisse, et leur responsable, au sens de la nLPD, est le praticien titulaire du cabinet. Pas le prestataire informatique, pas l'éditeur du logiciel de gestion, pas l'hébergeur cloud.

​

Pour protéger ces données, un antivirus classique ne suffit plus. Les malwares polymorphiques, capables de modifier leur propre code à chaque infection grâce à l'intelligence artificielle, échappent aux systèmes de détection par signature. Une solution EDR (Endpoint Detection and Response), déployée et supervisée par votre prestataire informatique, analyse en permanence le comportement des programmes et bloque les actions suspectes en temps réel, même si la menace n'a jamais été répertoriée. Cette protection doit être complétée par le chiffrement de tous les disques (BitLocker sous Windows, FileVault sous macOS), la double authentification sur tous les accès critiques, une messagerie chiffrée de bout en bout pour tout échange contenant des données patients, et une séparation stricte du réseau WiFi du cabinet et du réseau invité destiné aux patients.

​

La sauvegarde des données est votre dernière ligne de défense. En cas de ransomware, d'erreur humaine ou de panne matérielle, c'est elle qui détermine si vous perdez tout ou si vous reprenez l'activité en quelques heures. La stratégie recommandée est la règle 3-2-1 : 3 copies de vos données, sur 2 supports différents, dont 1 copie immuable, c'est-à-dire protégée contre toute modification ou suppression, y compris par un virus. Votre prestataire informatique doit être en mesure de mettre en place, documenter et tester cette stratégie. La restauration doit être vérifiée mensuellement sur un échantillon de données réelles. Une sauvegarde non testée est une illusion de sécurité.

​

Au-delà des mesures techniques, la nLPD impose des obligations organisationnelles concrètes : un contrat de sous-traitance conforme à l'Art. 9 avec tout tiers accédant aux données patients, une politique interne de sécurité écrite et signée par chaque collaborateur, une formation annuelle du personnel couvrant le phishing, les mots de passe, la procédure d'urgence et le secret professionnel, ainsi qu'un plan de réponse documenté en cas d'incident. En cas de violation de la sécurité des données, le PFPDT doit être notifié dans les meilleurs délais (Art. 24 nLPD), et les patients concernés doivent être informés si nécessaire. Les violations intentionnelles sont passibles d'amendes pouvant atteindre 250'000 CHF, à titre personnel, avec un délai de prescription de 5 ans.