Récupérer ses données en quittant son logiciel dentaire

18 h 47. Le dernier patient est parti, l’assistante a déjà rangé le fauteuil, et vous pensez enfin souffler. Puis une phrase tombe, souvent au milieu d’un devis à terminer : « On change de logiciel à la rentrée ». La question arrive juste derrière, très concrète : « Et nos dossiers patients… on les récupère comment ? »

C'est la peur numéro un avant de changer de logiciel dentaire : « et si je perdais mes dossiers patients ? ». Vingt ans d'historiques de soins, de radios, de devis, de courriers. Des milliers de patients. Le sentiment, parfois entretenu, que tout cela est prisonnier d'un éditeur et que le quitter reviendrait à repartir de zéro.

Cette peur est compréhensible, mais elle repose sur un malentendu juridique. Les données de vos patients ne sont pas la propriété de votre éditeur. Il n'en est que le dépositaire technique, un sous-traitant au sens du RGPD, et la loi organise précisément leur restitution en fin de contrat. Ce qui bloque en pratique, ce n'est presque jamais le droit : ce sont des contrats mal relus, des exports incomplets et des demandes trop vagues.

Cet article fait le tour complet du sujet : à qui appartiennent les données, ce que le RGPD impose à votre éditeur, ce que disent vraiment les contrats, comment demander votre export étape par étape, quoi faire si l'éditeur traîne, et comment faire de la réversibilité un critère de choix de votre prochain outil.

À qui appartiennent les données patients ?

Vous avez besoin d’une réponse utilisable au cabinet, pas d’un débat philosophique sur la « propriété ». En données de santé, le droit raisonne en rôles : qui décide, qui exécute, et qui a des droits.

Le patient : des droits sur ses données de santé

Le patient est la personne concernée. Il dispose d'un droit d'accès direct à son dossier médical (article L.1111-7 du Code de la santé publique). Le RGPD complète avec des droits d'accès et de rectification et, dans certaines limites, de portabilité et d'effacement.

Conséquence pratique : si votre logiciel rend l’accès au dossier compliqué (pour vous ou pour le patient), c’est vous qui serez en première ligne. Le délai RGPD pour répondre à une demande d’accès est d’un mois, sauf prorogation dans certains cas. Vous ne pouvez pas vous abriter derrière un éditeur lent ou silencieux.

À noter : la portabilité au sens strict (article 20) est un droit du patient, mais elle pousse le marché vers des exports plus propres. Tant mieux.

Le praticien : responsable de traitement et responsable de la tenue du dossier

Vous, chirurgien-dentiste, êtes le responsable de traitement au sens du RGPD. En clair : c’est vous qui déterminez les finalités (suivi médical, facturation, gestion du cabinet) et les moyens (choix du logiciel, des accès, de l’hébergement, des procédures).

Vous êtes aussi responsable de la tenue du dossier patient. C’est une obligation attachée à l’exercice, pas à l’outil. Un logiciel n’est qu’un support, certes très pratique, mais juridiquement il ne « porte » pas votre obligation.

Cette responsabilité s'accompagne d'une obligation de conservation. Aucun texte ne fixe de durée unique pour les praticiens libéraux ; l'usage professionnel est de conserver le dossier au moins 20 ans à compter de la dernière consultation, par analogie avec la règle applicable aux établissements de santé, avec des délais allongés pour les patients mineurs.

Retenez l’essentiel : votre obligation de conservation survivra toujours à votre contrat logiciel. Donc votre contrat logiciel doit prévoir comment vous repartez avec vos données.

L'éditeur : un sous-traitant, rien de plus

Votre éditeur est un sous-traitant au sens de l'article 28 du RGPD : il traite les données pour votre compte, sur vos instructions, dans le cadre d'un contrat.

Il n’acquiert aucun droit sur les dossiers de vos patients du fait de les héberger ou de les structurer. Si un discours flou s’installe (« c’est dans notre système, c’est compliqué »), revenez à cette phrase simple : vous êtes responsable de traitement, l’éditeur exécute.

Synthèse utile à garder sous la main :

Acteur	Rôle juridique	Ce qui en découle
Le patient	Personne concernée	Accès direct à son dossier (CSP), droits RGPD (accès, rectification, portabilité selon conditions)
Le praticien	Responsable de traitement	Choisit ses sous-traitants, organise la sécurité, conserve le dossier dans la durée
L'éditeur	Sous-traitant (article 28 RGPD)	Doit prévoir la restitution ou la suppression en fin de contrat, au choix du cabinet

Ce que le RGPD impose à votre éditeur

Vous avez un levier très concret : l’article 28 du RGPD. Il impose un contrat écrit entre vous et chaque sous-traitant (souvent appelé DPA, Data Processing Agreement). Nous l'avions déjà posé dans notre guide RGPD au cabinet dentaire : ce contrat n’est pas une formalité, c’est votre garde-fou.

Sur la fin de prestation, l’article 28 est clair : le contrat doit prévoir qu’au terme, le sous-traitant, au choix du responsable de traitement :

• supprime toutes les données à caractère personnel, ou
• les renvoie au responsable de traitement, et détruit les copies existantes, sauf obligation légale de conservation qui lui serait propre.

Deux précisions qui évitent les mauvaises discussions :

1. Le RGPD fixe le principe, le contrat fixe les modalités. Le règlement ne dit pas « CSV obligatoire » ou « 30 jours ». Il dit : vous récupérez (ou vous faites supprimer), et c’est cadré par écrit.
2. L’objectif, ce n’est pas un fichier, c’est l’exploitabilité. Un export « techniquement fourni » mais illisible hors du logiciel ne répond pas au besoin réel. Et quand vous devez répondre à une demande patient ou reconstruire un historique de soins, l’argument « on vous a donné un fichier » n’aide personne.

Si vous êtes en réflexion plus large sur l’usage de l’IA au cabinet (transcription, mise en forme, restitution), gardez en tête le cadre : une IA dentaire n’est pas automatiquement un dispositif médical. On détaille cela ici : Une IA dentaire est-elle un dispositif médical ?.

Ce que disent (vraiment) les contrats

C’est souvent là que tout se joue. Le droit vous protège, mais le contrat peut transformer une sortie simple en parcours d’obstacles administratif.

La clause de réversibilité : celle que tout le monde découvre trop tard

La clause de réversibilité (ou « restitution des données », ou « fin de contrat ») organise votre sortie. Selon les éditeurs, elle peut prévoir :

• un export standard inclus, ou une prestation payante (au forfait ou au temps passé) ;
• un format de sortie documenté, ou une formule floue (« format standard de l’éditeur ») ;
• un délai chiffré, ou rien du tout ;
• une période d’accès en lecture seule, ou une coupure immédiate ;
• le sort des copies et sauvegardes (suppression certifiée, ou silence).

Un détail qui compte : certains contrats distinguent l’export des données « structurées » (fiches, actes) et les documents/imageries (PDF, radiographies). Exigez que le périmètre inclue les deux, sinon vous récupérez une base « sans chair ».

Liste de contrôle avant de signer (et avant de partir)

Voici les points qui méritent une vérification ligne par ligne :

1. Clause de réversibilité : présente, compréhensible, applicable.
2. Formats : standards, documentés, lisibles sans le logiciel.
3. Périmètre : administratif, clinique, documents, imagerie, agenda.
4. Délai : chiffré.
5. Frais : écrits, transparents, idéalement plafonnés.
6. Assistance : qui répond si le nouvel éditeur pose une question technique.
7. Préavis et reconduction : pour éviter « un an de plus » par oubli.
8. Suppression des copies : attestation prévue.
9. Hébergement et juridiction : où, chez qui, sous quelle loi.

Sur ce dernier point, je vous recommande de lire deux sujets connexes, parce qu’ils reviennent systématiquement dans les discussions d’équipe :

• Hébergement HDS du logiciel dentaire : non négociable
• Données de santé : hébergeur français ou américain ?

Un conseil d'expérience : relisez ces clauses avant d'annoncer votre départ. Vous négocierez toujours mieux tant que l'éditeur croit pouvoir vous retenir.

Formats d’export : ce qu’il faut exiger, et ce qu’il faut tester

Vous pouvez avoir un contrat impeccable et, malgré tout, un export inutilisable. La raison est simple : « avoir » un export n’est pas « pouvoir s’en servir ».

Ce que vous devez pouvoir reconstruire

Posez-vous une question : si demain votre logiciel est inaccessible, qu’est-ce que vous devez pouvoir retrouver pour assurer le suivi et répondre à un patient ? En pratique, il faut pouvoir reconstituer :

• l’identité et les coordonnées,
• l’historique des soins et actes,
• les documents (devis, consentements, correspondances),
• l’imagerie,
• et, à court terme, l’agenda à venir (pour ne pas perdre la semaine suivante).

Cela recoupe ce que j’appelle un dossier patient dentaire numérique « exploitable » : pas seulement archivé.

Tableau des formats à demander (et pourquoi)

Type de donnée	Format à exiger	Pourquoi c’est le minimum
Identité, contacts, correspondants	CSV ou base documentée	Importable dans un autre logiciel et relisible sans outil propriétaire
Actes, notes, historiques, schémas	Export structuré documenté	Permet de filtrer, trier, rechercher, et reconstituer un suivi
Interopérabilité dentaire	DSIO (si disponible)	Facilite la reprise dans d’autres environnements, selon les cas
Imagerie	DICOM ou JPEG (selon modalités)	Ouverture indépendante du logiciel, conservation et communication
Documents (devis, consentements, courriers)	PDF	Pérenne, consultable partout, opposable et archivable
Agenda et RDV futurs	CSV ou iCalendar	Reprise rapide, évite les trous de planning

Les tests simples qui évitent les mauvaises surprises

Avant la coupure, testez sur un échantillon :

• Ouverture : un PDF s’ouvre-t-il ? une image s’ouvre-t-elle dans un lecteur standard ?
• Complétude : le nombre de patients exportés correspond-il à la réalité ?
• Ancienneté : des dossiers de 2012 sont-ils aussi complets que ceux de 2025 ?
• Données sensibles : consentements, correspondances, documents signés présents ?
• Lisibilité : vos champs ne sont pas des codes incompréhensibles sans dictionnaire.

Une règle de bon sens : tant que vous n’avez pas validé l’intégrité, vous ne planifiez pas une bascule « définitive ».

Comment demander votre export : la procédure pas à pas

La méthode compte autant que le droit : une demande floue par téléphone se perd, une demande écrite, précise et datée, oblige.

Étape 1 : relire le contrat et cadrer le calendrier

Reprenez votre contrat, ses conditions générales et le DPA. Notez la date de fin d'engagement, le préavis, et ce qui est prévu (ou non) pour la réversibilité.

Calez votre calendrier de migration vers le nouveau logiciel sur ces dates : l'idéal est de disposer de l'export complet plusieurs semaines avant la coupure de l'ancien outil, pour tester et corriger.

Étape 2 : inventorier ce qui doit sortir

Listez tout ce que le logiciel contient pour votre cabinet : fiches administratives, historiques de soins et actes, schémas dentaires, radiographies et autres imageries, devis et documents signés, courriers, agenda et rendez-vous à venir.

Cet inventaire sert de périmètre contractuel à votre demande, puis de liste de contrôle à la réception. Si une famille n’est pas citée, elle est souvent « oubliée » dans l’export.

Étape 3 : envoyer une demande écrite formelle

Envoyez votre demande par lettre recommandée avec accusé de réception, doublée d'un email au support et à votre interlocuteur.

Modèle de paragraphe (à adapter) :

« En ma qualité de responsable de traitement au sens du RGPD, je vous demande, conformément à l'article 28 du RGPD et aux stipulations de notre contrat, la restitution de l'intégralité des données de mon cabinet : dossiers patients administratifs et cliniques, historiques de soins, imagerie, devis, documents et agenda. Je vous remercie de me livrer cet export dans un format structuré, complet et lisible (export documenté de type CSV ou base de données, DSIO le cas échéant, imagerie aux formats DICOM ou JPEG, documents au format PDF), dans un délai de 30 jours à compter de la réception de la présente. Je vous remercie de me confirmer par écrit la date de livraison ainsi que les modalités de suppression des copies après restitution. »

Restez factuel. Courtois. Et précis. C’est rarement le moment de « faire un cas ». C’est le moment de sortir proprement.

Étape 4 : contrôler l'export reçu

Ne validez jamais un export sur parole. Vérifiez sur un échantillon de dossiers, y compris des dossiers anciens et des dossiers complexes :

• le nombre total de patients correspond-il,
• les historiques sont-ils complets,
• les radios s'ouvrent-elles hors du logiciel,
• les documents signés sont-ils présents.

Toute anomalie doit être signalée par écrit tant que vous avez encore accès à l'ancien logiciel.

Étape 5 : faire supprimer les copies et tout documenter

Une fois la migration validée, demandez la suppression des données restantes chez l'ancien éditeur et une attestation écrite de destruction, comme l'article 28 le prévoit.

Conservez l'ensemble des échanges et mettez à jour votre registre des traitements. Ce n’est pas de la paperasse pour la paperasse : c’est votre preuve de conformité si un patient, un assureur ou la CNIL vous demande « comment vous avez géré la fin de contrat ».

Si l'éditeur refuse ou fait traîner

Le scénario est rare mais il existe : réponse dilatoire, devis de réversibilité manifestement dissuasif, silence complet. Procédez par paliers.

Palier 1 : relance écrite. Relancez par email en rappelant la date de votre demande et en fixant une échéance. Beaucoup de blocages sont juste des tickets qui dorment.

Palier 2 : mise en demeure. Envoyez une mise en demeure par lettre recommandée avec accusé de réception, rappelant votre qualité de responsable de traitement, l'article 28 du RGPD, la clause de réversibilité si elle existe, et votre obligation de conservation. Précisez que ce blocage vous empêche de répondre aux demandes d’accès de vos patients.

Palier 3 : recours externes. Sans réponse satisfaisante :

• CNIL : plainte en ligne possible.
• Médiation : Médiateur des entreprises, saisine gratuite.
• Conseil : avocat ou protection juridique.

Deux mots de mesure : d’une part, la majorité des sorties se règle sans contentieux. D’autre part, ne mettez pas votre activité en pause en attendant un bras de fer. Sécurisez ce que vous pouvez exporter vous-même (exports intégrés, impressions PDF, sauvegardes), stockez de façon chiffrée, et appliquez les fondamentaux rappelés dans notre guide Cybersécurité cabinet dentaire : les 10 erreurs à éviter.

La réversibilité, critère de choix n°1 de votre prochain outil

Choisissez votre prochain outil en commençant par la fin : comment en sortirai-je ? Avant de comparer les fonctionnalités dans un comparatif logiciel dentaire 2026, posez ces questions en démonstration, et exigez des réponses écrites :

• « Si je pars, comment récupérerai-je mes données, dans quel format, en combien de temps et à quel coût ? »
• « Puis-je faire moi-même un export complet à tout moment, sans passer par votre support ? »
• « Que prévoit votre DPA sur la restitution et la suppression des données ? »
• « Quelle est la durée d'engagement, et que se passe-t-il le jour où je résilie ? »
• « Où mes données sont-elles hébergées, et chez quel hébergeur certifié HDS ? »

Un éditeur sérieux répond sans détour. Un éditeur qui élude, qui renvoie au « juridique » ou refuse tout engagement écrit vous donne un aperçu du jour du départ.

Chez DentalIAssist, nous appliquons ce principe à nous-mêmes : la solution fonctionne à côté de votre logiciel métier (nous ne remplaçons pas votre logiciel de gestion), et nous structurons, mettons en forme et restituons l’information administrative et de communication patient, sans aide à la décision clinique. Les données de santé sont hébergées en France chez OVHcloud, hébergeur certifié HDS. Et les documents patients sont mis à disposition dans un espace patient sécurisé : aucune donnée de santé ne transite en pièce jointe d’un email.

Si votre sujet du moment est plutôt l’organisation globale (avant même de parler logiciel), vous pouvez aussi partir de là : Organisation du cabinet dentaire : la structurer avec l'IA.

Sources officielles

• CNIL : RGPD, obligations responsables de traitement et sous-traitants, information et plaintes.
• EUR-Lex : texte officiel du RGPD (Règlement (UE) 2016/679).
• Légifrance : Code de la santé publique (accès au dossier, hébergement), textes législatifs et réglementaires.
• Agence du Numérique en Santé : certification HDS et doctrine e-santé.
• Médiateur des entreprises : médiation des différends entre entreprises.