Sécurité, RGPD et secret professionnel dans un cabinet dentaire belge

Quelles données Tilcao traite-t-il, et lesquelles ne touche-t-il jamais ?

Tilcao traite ce qu’il faut pour identifier un appelant et poser un rendez-vous, et rien de plus. Concrètement : le nom, la date de naissance, le numéro appelant, le GSM ou l’adresse e-mail si le cabinet les utilise pour les confirmations, le type de rendez-vous, l’enregistrement de l’appel et sa transcription, et le résumé structuré produit à la fin de la conversation.

Ce qu’il ne touche pas est tout aussi précis. Tilcao n’est pas un logiciel de gestion de cabinet. Il n’écrit rien dans le dossier clinique, ne voit pas l’imagerie, n’atteste pas et ne facture pas. L’utilisateur d’intégration qui relie Tilcao à votre agenda porte les droits les plus étroits qui fonctionnent : lire l’agenda, créer, déplacer et annuler des rendez-vous des types que vous avez configurés. Tilcao n’estime jamais un tarif ni un remboursement de mutualité qu’on ne lui a pas donné : le statut de conventionnement et les prix viennent de la base de connaissances que le cabinet contrôle.

Les rails nationaux belges existent, et Tilcao n’en fait pas partie. MyCareNet, l’eAttest, l’eFac, l’eTarif, Recip-e et l’eHealthBox couvrent la facturation, l’assurabilité et l’échange de documents entre professionnels. Ils ne couvrent pas l’agenda d’un cabinet. Tilcao ne s’y connecte pas, ne détient aucun certificat eHealth et n’en a pas besoin pour poser un rendez-vous. Il ne figure donc pas sur la liste des logiciels dentaires reconnus par MyCareNet, et c’est normal : cette liste recense des logiciels qui facturent. La facturation électronique, obligatoire pour les dentistes depuis le 1er septembre 2025, reste entièrement dans votre propre logiciel.

Liste NIC/CIN des logiciels dentaires reconnus par MyCareNet, version du 10 mars 2026

Qui est responsable du traitement, et qui est sous-traitant ?

Le cabinet est responsable du traitement. Tilcao est sous-traitant. Ce n’est pas une formule de style : cela veut dire que vous décidez des finalités et que nous n’agissons que sur votre instruction. Un contrat de sous-traitance au sens de l’article 28 du RGPD existe avant le premier appel d’un vrai patient, avec une annexe qui nomme chaque sous-traitant ultérieur et la région où il traite les données.

Un appel dentaire n’est pas un appel ordinaire. Un motif de consultation, une douleur, un médicament en cours : ce sont des données de santé au sens de l’article 9. La base licite d’un cabinet est l’article 9, paragraphe 2, point h), lu avec le paragraphe 3, qui exige que le traitement se fasse sous la responsabilité d’un professionnel soumis au secret professionnel, ou d’une personne soumise à une obligation de confidentialité équivalente. C’est cette dernière phrase qui détermine qui, chez nous, peut approcher une transcription.

Voici ce que le contrat doit nommer, point par point, et ce que vous devriez exiger de n’importe quel prestataire, pas seulement de nous.

• Les finalités : répondre aux appels et aux messages, identifier le patient, poser, déplacer et annuler des rendez-vous, répondre aux questions sur le cabinet.
• Les catégories de données traitées et les catégories de personnes concernées.
• La liste nommée des sous-traitants ultérieurs, avec la région où chacun traite les données.
• Les durées de conservation de l’audio brut, de la transcription et du résumé structuré.
• Les mesures de sécurité et l’obligation écrite de confidentialité du personnel qui peut accéder aux données.
• L’assistance due au cabinet pour une demande de patient, une notification de violation ou une analyse d’impact.
• Ce qui se passe à la fin du contrat : restitution ou effacement, au choix du cabinet.

Autorité de protection des données (GBA/APD), page sur les données sensibles

Le secret professionnel, et pas seulement le RGPD

L’article 458 du Code pénal lie le praticien de l’art dentaire et, par extension, l’équipe du cabinet. C’est la vraie question d’un dentiste, et elle est plus ancienne que le RGPD : le secret professionnel s’applique de manière autonome, il survit au RGPD, et sa violation est pénale. Un agent qui prend les appels de votre patientèle ne peut donc pas être traité comme un outil bureautique de plus.

Conséquence concrète chez nous. Toute personne capable de lire une transcription est liée par une obligation écrite de confidentialité qui reprend la logique du secret médical. L’accès est nominatif, limité aux personnes qui en ont besoin pour faire fonctionner le service, et chaque consultation est journalisée. Dans votre cabinet, c’est vous qui décidez qui voit le résumé d’appel et qui voit la note détaillée.

Côté patient, l’agent applique la minimisation avant de dire quoi que ce soit. Deux identifiants concordants sont exigés avant de relire un rendez-vous : le nom de famille ou le numéro appelant, plus la date de naissance. Tant qu’ils ne concordent pas, l’agent ne donne ni le nom du praticien, ni le motif, ni les autres rendez-vous, ni le moindre montant. Une demande émanant d’un tiers est refusée, sauf s’il s’agit du parent ou du tuteur d’un mineur.

Un mot sur le cadre professionnel, parce qu’il est souvent mal cité en français. Il n’existe pas d’Ordre des dentistes en Belgique. Le contrôle passe par la reconnaissance du SPF Santé publique et par la Commission médicale provinciale, et la représentation est assurée par des associations volontaires : la Société de Médecine Dentaire et les Chambres de Médecine Dentaire, qui placent le secret médical parmi leurs principes fondateurs. Aucune organisation professionnelle belge n’a publié de position sur les agents IA à l’accueil. Nous préférons l’écrire plutôt que de laisser croire à une approbation.

La responsabilité de l’article 5, paragraphe 2, du RGPD ne se démontre que si elle est enregistrée. Chaque appel produit une piste d’audit : qui a appelé, si la vérification d’identité a réussi, ce qui a été consulté, ce qui a été écrit dans l’agenda. Le résultat de l’appel est dérivé de ce qui a réellement été écrit, pas de ce que l’agent a dit.

Les appels sont-ils enregistrés, et le patient le sait-il ?

Oui aux deux. Les appels vocaux sont enregistrés, et l’appelant en est informé avant l’enregistrement, pas après. Le droit belge n’interdit pas d’enregistrer une conversation à laquelle on participe, mais l’article 314bis, paragraphe 2, du Code pénal punit l’usage d’un enregistrement pourtant licite dans une intention frauduleuse ou pour nuire. Le droit des télécommunications et le RGPD s’appliquent en plus, cumulativement : chaque participant, patients compris, doit être informé de l’enregistrement, de sa finalité précise et de la durée de conservation.

L’annonce tombe dans la première phrase, et sa formulation exacte se règle avec le cabinet avant le premier appel réel, parce que c’est la voix du cabinet que le patient entend. La forme ressemble à ceci, à titre d’exemple : « Bonjour, vous êtes bien au cabinet dentaire. Je suis l’assistant IA du cabinet, je ne suis pas un être humain, et cet appel est enregistré. Comment puis-je vous aider ? »

Nous ne nous appuyons pas sur le consentement seul, et c’est délibéré. Sur un appel de soins entrant, un consentement dont l’alternative est de ne pas être soigné n’est pas librement donné. Le traitement ordinaire repose sur l’article 6, paragraphe 1, points b) et f), et l’élément de santé sur l’article 9, paragraphe 2, point h). Ce qui reste réellement optionnel, c’est la conservation de l’audio brut.

Informer sans proposer d’alternative ne serait pas un choix. Un appelant qui demande une personne, ou qui refuse l’enregistrement, est transmis : c’est un motif d’escalade inscrit dans l’agent, pas une faveur. Le cabinet indique vers qui, et l’agent le dit à l’appelant au lieu de le laisser deviner.

Le règlement européen sur l’IA, et ce que nous ne revendiquons pas

Depuis le 2 août 2026, l’article 50 du règlement européen sur l’IA impose d’informer une personne qu’elle interagit avec un système d’IA, sauf si c’est évident pour une personne normalement informée et raisonnablement attentive. L’obligation s’applique que le système soit à haut risque ou non, et les autorités nationales de surveillance du marché peuvent la faire respecter depuis cette date. Tilcao la remplit dans la première phrase de l’appel.

Où se situe un agent de prise de rendez-vous ? Il ne pose aucun diagnostic, n’évalue pas l’urgence sur le plan clinique et ne décide rien de médical : il recueille des faits et oriente. Un agent qui identifie un appelant, consulte un agenda et pose un rendez-vous n’est pas un système à haut risque, et nous ne prétendons pas le contraire. Nous ne revendiquons pas davantage un statut de conformité : le règlement ne délivre pas de label pour ce type de système, et nous n’allons pas nous en inventer un.

La liste de ce que nous ne revendiquons pas est courte, et nous la publions telle quelle. Tilcao est jeune. Une page de sécurité honnête vaut mieux qu’un mur de logos de certification.

• Aucune certification ISO 27001.
• Aucun rapport SOC 2.
• Aucun statut de conformité NIS2.
• Aucune analyse d’impact relative à la protection des données présentée comme terminée. Elle appartient au responsable du traitement, donc au cabinet, et notre rôle est de lui fournir les éléments nécessaires.
• Aucun audit externe, aucun label, aucune approbation d’une organisation professionnelle belge.
• Aucune intégration avec MyCareNet, l’eHealthBox ou un autre rail eHealth, et aucun certificat eHealth.

Commission européenne, obligations de transparence de l’article 50 du règlement sur l’IA, applicables depuis le 2 août 2026

Où sont hébergées les données, et combien de temps sont-elles conservées ?

Le traitement vise l’Union européenne et l’Espace économique européen. Soyons précis sur ce que cela veut dire en Belgique : aucune loi belge n’impose une résidence locale des données à un cabinet dentaire privé. Le traitement dans l’UE et l’EEE est l’attente de fait pour des données de santé au sens de l’article 9, et c’est la seule position commercialement défendable. Plutôt que de promettre un « tout en Europe » qu’un changement de fournisseur viendrait démentir, nous nommons dans l’annexe du contrat chaque sous-traitant ultérieur et la région où il traite, y compris tout traitement hors UE s’il devait exister.

L’appel a son propre calendrier, distinct de celui du dossier. Le dossier patient se conserve des années ; un enregistrement téléphonique ne doit pas hériter de cette durée. Le principe que nous appliquons : l’audio brut part sur une horloge courte et est effacé par défaut, la transcription et les champs structurés vivent plus longtemps parce que ce sont eux qui permettent de prouver ce qui a été fait, et un cabinet qui veut une durée plus longue doit le demander explicitement.

Ce qui manque encore ici, nous le disons plutôt que de le combler par un chiffre : les durées exactes sont fixées dans le contrat avec votre cabinet, avant le premier appel réel, et elles ne sont pas encore publiées sur ce site. Nous préférons une page sans chiffre à un chiffre que nous n’avons pas encore arrêté pour tous les cas.

Trois règles de minimisation s’appliquent en amont de toute conservation.

• Le numéro de registre national (NISS), les numéros de carte et les adresses complètes sont masqués dès l’entrée.
• Ce qui est répliqué vers un tableau de bord porte un code de type de rendez-vous, jamais le récit du patient.
• La date de naissance est un champ de date, jamais un fragment de transcription conservé.

Mettre un workflow en pause, effacer un appel, déposer une plainte

Un workflow se met en pause en un clic, et une action bloquée n’a pas lieu. Vous pouvez aussi reprendre la ligne vous-même à tout moment : l’agent rend la main et l’appel passe à la personne que vous avez désignée. Rien ne se poursuit en arrière-plan pendant qu’un workflow est en pause, et la mise en pause figure elle-même dans le journal.

Une demande d’effacement arrive normalement au cabinet, parce que c’est le cabinet qui est responsable du traitement. Vous nous transmettez l’instruction et nous l’exécutons en sous-traitance : l’audio, la transcription et le résumé de l’appel concerné sont supprimés, copies de travail comprises, dans les délais prévus au contrat. Ce qui se trouve dans votre propre logiciel de gestion relève de vous : nous n’effaçons pas un dossier que nous n’avons pas écrit.

Le droit à l’effacement n’est pas absolu, et il vaut mieux le dire avant qu’un patient ne le demande. Quand une trace technique est nécessaire pour démontrer ce qui a été fait, elle peut subsister le temps prévu pendant que le contenu de l’appel, lui, disparaît. La loi relative aux droits du patient du 22 août 2002, modifiée en profondeur par la loi du 6 février 2024 et en vigueur depuis le 4 mars 2024, a renforcé l’information compréhensible, la transparence, l’accès numérique au dossier et la confidentialité dans un contexte numérique. C’est le cabinet qui répond au patient ; notre travail est de lui donner de quoi répondre vite.

Si un patient veut aller plus loin, l’autorité compétente en Belgique est l’Autorité de protection des données, Gegevensbeschermingsautoriteit en néerlandais, rue de la Presse 35, 1000 Bruxelles. Nous publions l’adresse du régulateur parce que c’est là que la responsabilité atterrit, et un cabinet peut reprendre ce paragraphe tel quel dans sa propre déclaration de confidentialité.