Sécurité, RGPD et secret professionnel dans un cabinet dentaire belge

01

Quelles données Tilcao traite-t-il, et lesquelles ne touche-t-il jamais ?

Comme secrétariat IA pour cabinet dentaire, Tilcao traite ce qu’il faut pour identifier un appelant et poser un rendez-vous, et rien de plus. Concrètement : le nom, la date de naissance, le numéro appelant, le GSM ou l’adresse e-mail si le cabinet les utilise pour les confirmations, le type de rendez-vous, l’enregistrement de l’appel et sa transcription, et le résumé structuré produit à la fin de la conversation.

Ce qu’il ne touche pas est tout aussi précis. Tilcao n’est pas un logiciel de gestion de cabinet. Il n’écrit rien dans le dossier clinique, ne voit pas l’imagerie, n’atteste pas et ne facture pas. L’utilisateur d’intégration qui relie Tilcao à votre agenda porte les droits les plus étroits qui fonctionnent : lire l’agenda, créer, déplacer et annuler des rendez-vous des types que vous avez configurés. Tilcao n’estime jamais un tarif ni un remboursement de mutualité qu’on ne lui a pas donné : le statut de conventionnement et les prix viennent de la base de connaissances que le cabinet contrôle.

Les rails nationaux belges existent, et Tilcao n’en fait pas partie. MyCareNet, l’eAttest, l’eFac, l’eTarif, Recip-e et l’eHealthBox couvrent la facturation, l’assurabilité et l’échange de documents entre professionnels. Ils ne couvrent pas l’agenda d’un cabinet. Tilcao ne s’y connecte pas, ne détient aucun certificat eHealth et n’en a pas besoin pour poser un rendez-vous. Il ne figure donc pas sur la liste des logiciels dentaires reconnus par MyCareNet, et c’est normal : cette liste recense des logiciels qui facturent. La facturation électronique, obligatoire pour les dentistes depuis le 1er septembre 2025, reste entièrement dans votre propre logiciel.

SourceListe NIC/CIN des logiciels dentaires reconnus par MyCareNet, version du 10 mars 2026

02

Qui est responsable du traitement, et qui est sous-traitant ?

Le cabinet est responsable du traitement. Tilcao est sous-traitant. Ce n’est pas une formule de style : cela veut dire que vous décidez des finalités et que nous n’agissons que sur votre instruction. Un contrat de sous-traitance au sens de l’article 28 du RGPD existe avant la mise en ligne du cabinet, avec une annexe qui nomme chaque sous-traitant ultérieur et la région où il traite les données.

Un appel dentaire n’est pas un appel ordinaire. Un motif de consultation, une douleur, un médicament en cours : ce sont des données de santé au sens de l’article 9. La base licite d’un cabinet est l’article 9, paragraphe 2, point h), lu avec le paragraphe 3, qui exige que le traitement se fasse sous la responsabilité d’un professionnel soumis au secret professionnel, ou d’une personne soumise à une obligation de confidentialité équivalente. C’est cette dernière phrase qui détermine qui, chez nous, peut approcher une transcription.

Voici ce que le contrat doit nommer, point par point, et ce que vous devriez exiger de n’importe quel prestataire, pas seulement de nous.

• Les finalités : répondre aux appels et aux messages, identifier le patient, poser, déplacer et annuler des rendez-vous, répondre aux questions sur le cabinet.
• Les catégories de données traitées et les catégories de personnes concernées.
• La liste nommée des sous-traitants ultérieurs, avec la région où chacun traite les données.
• Les durées de conservation de l’audio brut, de la transcription et du résumé structuré.
• Les mesures de sécurité et l’obligation écrite de confidentialité du personnel qui peut accéder aux données.
• L’assistance due au cabinet pour une demande de patient, une notification de violation ou une analyse d’impact.
• Ce qui se passe à la fin du contrat : restitution ou effacement, au choix du cabinet.

SourceAutorité de protection des données (GBA/APD), page sur les données sensibles

03

Le secret professionnel, et pas seulement le RGPD

L’article 352 du Code pénal (anciennement article 458) lie le praticien de l’art dentaire et, par extension, l’équipe du cabinet. C’est la vraie question d’un dentiste, et elle est plus ancienne que le RGPD : le secret professionnel s’applique de manière autonome, il survit au RGPD, et sa violation est pénale. Un agent qui prend les appels de votre patientèle ne peut donc pas être traité comme un outil bureautique de plus.

Conséquence concrète chez nous. Avant la mise en ligne du cabinet, toute personne capable de lire une transcription signe un engagement écrit de confidentialité qui reprend la logique du secret médical. L’accès est nominatif et limité aux personnes qui en ont besoin pour faire fonctionner le service : aujourd’hui, seule l’équipe Tilcao peut ouvrir les tableaux de bord. Avant la mise en ligne du cabinet, chaque consultation est journalisée, et c’est vous qui décidez, dans votre cabinet, qui voit le résumé d’appel et qui voit la note détaillée.

Côté patient, l’agent applique la minimisation avant de dire quoi que ce soit. Deux identifiants concordants sont exigés avant de relire un rendez-vous : le nom de famille ou le numéro appelant, plus la date de naissance. Tant qu’ils ne concordent pas, l’agent ne donne ni le nom du praticien, ni le motif, ni les autres rendez-vous, ni le moindre montant. Avant la mise en ligne du cabinet, une demande émanant d’un tiers est aussi refusée, sauf s’il s’agit du parent ou du tuteur d’un mineur.

Un mot sur le cadre professionnel, parce qu’il est souvent mal cité en français. Il n’existe pas d’Ordre des dentistes en Belgique. Le contrôle passe par la reconnaissance du SPF Santé publique et par la Commission médicale provinciale, et la représentation est assurée par des associations volontaires : la Société de Médecine Dentaire et les Chambres de Médecine Dentaire, qui placent le secret médical parmi leurs principes fondateurs. Aucune organisation professionnelle belge n’a publié de position sur les agents IA à l’accueil. Nous préférons l’écrire plutôt que de laisser croire à une approbation.

La responsabilité de l’article 5, paragraphe 2, du RGPD ne se démontre que si elle est enregistrée. Chaque appel produit une piste d’audit : qui a appelé, si la vérification d’identité a réussi, ce qui a été consulté, ce qui a été écrit dans l’agenda. Le résultat de l’appel est dérivé de ce qui a réellement été écrit, pas de ce que l’agent a dit.

04

Les appels sont-ils enregistrés, et le patient le sait-il ?

Oui aux deux. Les appels vocaux sont enregistrés, et l’appelant en est informé avant l’enregistrement, pas après. Le droit belge n’interdit pas d’enregistrer une conversation à laquelle on participe, mais l’article 344 du Code pénal (anciennement article 314bis, paragraphe 2) punit l’usage d’un enregistrement pourtant licite dans une intention frauduleuse ou pour nuire. Le droit des télécommunications et le RGPD s’appliquent en plus, cumulativement : chaque participant, patients compris, doit être informé de l’enregistrement, de sa finalité précise et de la durée de conservation.

L’annonce suit directement la salutation. Elle dit que l’appelant parle à une IA et que l’appel est enregistré. La formulation standard dit aussi pourquoi : « cet appel est enregistré pour qu’on puisse le vérifier ». La finalité et la durée de conservation figurent dans la déclaration de confidentialité du cabinet, la durée une fois fixée dans le contrat. Sur le cabinet de démonstration de ce site, l’appelant entend ceci : « Cabinet dentaire, bonjour, Sofie à l’appareil. Je suis l’assistante IA du cabinet; cet appel est enregistré pour qu’on puisse le vérifier. Préférez-vous une collègue ? » Un cabinet peut adapter la formulation avant sa mise en ligne, parce que c’est sa voix que le patient entend. Il ne peut pas supprimer l’annonce.

Nous ne nous appuyons pas sur le consentement seul, et c’est délibéré. Sur un appel de soins entrant, un consentement dont l’alternative est de ne pas être soigné n’est pas librement donné. Le traitement ordinaire repose sur l’article 6, paragraphe 1, points b) et f), et l’élément de santé sur l’article 9, paragraphe 2, point h). Ce qui reste réellement optionnel, c’est la conservation de l’audio brut.

Informer sans proposer d’alternative ne serait pas un choix. Un appelant qui demande une personne, ou qui refuse l’enregistrement, est transmis : c’est un motif d’escalade inscrit dans l’agent, pas une faveur. Le cabinet indique vers qui, et l’agent le dit à l’appelant au lieu de le laisser deviner.

05

Le règlement européen sur l’IA, et ce que nous ne revendiquons pas

Depuis le 2 août 2026, l’article 50 du règlement européen sur l’IA impose d’informer une personne qu’elle interagit avec un système d’IA, sauf si c’est évident pour une personne normalement informée et raisonnablement attentive. L’obligation s’applique que le système soit à haut risque ou non, et les autorités nationales de surveillance du marché peuvent la faire respecter depuis cette date. Tilcao la remplit dès la phrase d’accueil.

Où se situe un agent de prise de rendez-vous ? Il ne pose aucun diagnostic, n’évalue pas l’urgence sur le plan clinique et ne décide rien de médical : il recueille des faits et oriente. Un agent qui identifie un appelant, consulte un agenda et pose un rendez-vous n’est pas un système à haut risque, et nous ne prétendons pas le contraire. Nous ne revendiquons pas davantage un statut de conformité : le règlement ne délivre pas de label pour ce type de système, et nous n’allons pas nous en inventer un.

La liste de ce que nous ne revendiquons pas est courte, et nous la publions telle quelle. Une page de sécurité honnête vaut mieux qu’un mur de logos de certification.

• Aucune certification ISO 27001.
• Aucun rapport SOC 2.
• Aucun statut de conformité NIS2.
• Aucune analyse d’impact relative à la protection des données présentée comme terminée. Elle appartient au responsable du traitement, donc au cabinet, et notre rôle est de lui fournir les éléments nécessaires.
• Aucun audit externe, aucun label, aucune approbation d’une organisation professionnelle belge.
• Aucune intégration avec MyCareNet, l’eHealthBox ou un autre rail eHealth, et aucun certificat eHealth.

SourceCommission européenne, obligations de transparence de l’article 50 du règlement sur l’IA, applicables depuis le 2 août 2026

06

Où sont hébergées les données, et combien de temps sont-elles conservées ?

Pas entièrement dans l’Union européenne, et nous préférons dire quelle partie. Tilcao tourne chez Google Cloud en Belgique, et sa base de données chez Supabase en Irlande. La ligne vocale, elle, ne reste pas dans l’UE. Retell traite l’appel, la reconnaissance vocale et la voix aux États-Unis, et n’a pas de région européenne. Le modèle de langage vient d’Anthropic et les numéros de téléphone de Twilio, deux sociétés américaines. Les messages WhatsApp passent par les centres de données de Meta. Pour le numéro propre d’un cabinet, nous activons le stockage dans l’UE, même si Meta peut encore traiter un message ailleurs pendant une heure au plus.

Avant la mise en ligne du cabinet, chaque transfert hors de l’Espace économique européen est couvert par les clauses contractuelles types de la Commission européenne ou par le cadre de protection des données UE-États-Unis. Aucune loi belge n’impose à un cabinet privé de garder ses données en Belgique ou dans l’UE. Le RGPD exige en revanche que chaque transfert hors de l’EEE soit nommé et couvert. C’est le rôle de l’annexe du contrat : chaque sous-traitant ultérieur, ce qu’il fait et où il traite, avec une date à chaque changement.

L’appel a son propre calendrier, distinct de celui du dossier. Le dossier patient se conserve des années ; un enregistrement téléphonique ne doit pas hériter de cette durée. Le principe que nous appliquons : l’audio brut part sur une horloge courte et est effacé par défaut, la transcription et les champs structurés vivent plus longtemps parce que ce sont eux qui permettent de prouver ce qui a été fait, et un cabinet qui veut une durée plus longue doit le demander explicitement.

Cette page n’affiche volontairement aucune durée. Les durées sont fixées avec chaque cabinet et écrites dans son contrat en jours et en mois, avant sa mise en ligne, parce que la bonne durée dépend du cabinet.

Trois règles de minimisation s’appliquent en amont de toute conservation.

• Avant la mise en ligne du cabinet, le numéro de registre national (NISS), les numéros de carte et les adresses complètes sont masqués dès l’entrée.
• Ce qui est répliqué vers un tableau de bord ne portera alors qu’un code de type de rendez-vous, jamais le récit du patient. Aujourd’hui, le tableau de bord de l’équipe Tilcao montre la transcription complète.
• À la même échéance, la date de naissance devient un champ de date, jamais un fragment de transcription conservé.

07

Mettre un workflow en pause, effacer un appel, déposer une plainte

Vous pouvez reprendre toute la ligne à tout moment en coupant votre propre renvoi d’appel. Avant la mise en ligne du cabinet, chaque workflow se met aussi en pause en un clic, et une action bloquée n’a pas lieu. Rien ne se poursuit en arrière-plan pendant qu’un workflow est en pause, et la mise en pause figure elle-même dans le journal.

Une demande d’effacement arrive normalement au cabinet, parce que c’est le cabinet qui est responsable du traitement. Avant la mise en ligne du cabinet, cela fonctionne ainsi : vous nous transmettez l’instruction et nous l’exécutons en sous-traitance. L’audio, la transcription et le résumé de l’appel concerné sont supprimés, copies de travail comprises, dans les délais prévus au contrat. Ce qui se trouve dans votre propre logiciel de gestion relève de vous : nous n’effaçons pas un dossier que nous n’avons pas écrit.

Le droit à l’effacement n’est pas absolu, et il vaut mieux le dire avant qu’un patient ne le demande. Avant la mise en ligne du cabinet, la piste d’audit est prête pour cela : quand une trace technique est nécessaire pour démontrer ce qui a été fait, elle subsiste le temps prévu, et le contenu de l’appel, lui, disparaît. La loi relative aux droits du patient du 22 août 2002, modifiée en profondeur par la loi du 6 février 2024 et en vigueur depuis le 4 mars 2024, a renforcé l’information compréhensible, la transparence, l’accès numérique au dossier et la confidentialité dans un contexte numérique. C’est le cabinet qui répond au patient ; notre travail est de lui donner de quoi répondre vite.

Si un patient veut aller plus loin, l’autorité compétente en Belgique est l’Autorité de protection des données, Gegevensbeschermingsautoriteit en néerlandais, rue de la Presse 35, 1000 Bruxelles. Nous publions l’adresse du régulateur parce que c’est là que la responsabilité atterrit, et un cabinet peut reprendre ce paragraphe tel quel dans sa propre déclaration de confidentialité.

08

Ce que les cabinets nous demandent