Prestataire informatique pour profession libérale : comment le choisir

Pourquoi un cabinet n'est pas une TPE comme les autres

Un dossier client qui fuite, un poste chiffré par un rançongiciel, un agenda de consultations inaccessible un lundi matin : pour une profession réglementée, l'incident informatique n'est pas qu'une gêne. C'est un risque déontologique, réputationnel et parfois disciplinaire. Or la plupart des cabinets fonctionnent avec quelques postes, un logiciel métier, et personne pour s'occuper sérieusement de l'informatique.

Le prestataire que vous choisissez aura, par nature, la possibilité technique d'accéder à vos dossiers. Le critère numéro un n'est donc pas le prix, mais sa capacité à travailler dans un cadre de confidentialité strict et documenté.

Le secret professionnel, point de départ du cahier des charges

Avocats, médecins, experts-comptables ou notaires sont tenus au secret professionnel par leurs textes respectifs. Confier son informatique à un tiers ne lève pas cette obligation : c'est au professionnel de s'assurer que son prestataire offre des garanties suffisantes. Concrètement, exigez :

• une clause de confidentialité couvrant le prestataire et chacun de ses intervenants, y compris ses éventuels sous-traitants ;
• des accès nominatifs et tracés pour chaque technicien, jamais un compte administrateur partagé ;
• des prises en main à distance uniquement avec votre accord explicite, à chaque session ;
• le chiffrement des postes, des portables et des supports amovibles ;
• la double authentification sur la messagerie et les accès distants ;
• un cloisonnement des droits entre associés, collaborateurs et secrétariat.

Données de santé : l'hébergement HDS

Pour les professionnels de santé, l'hébergement de données de santé pour le compte d'un tiers doit être confié à un hébergeur certifié HDS (hébergeur de données de santé), comme le prévoit le Code de la santé publique. Si votre logiciel métier est en ligne, ou si le prestataire propose de sauvegarder vos dossiers dans son cloud, demandez la preuve de cette certification pour le périmètre concerné. Un serveur ou un NAS au cabinet n'en relève pas, mais il doit alors être protégé et sauvegardé avec d'autant plus de soin.

RGPD : des catégories de données particulières

Données de santé, informations relatives à des infractions, situation financière ou familiale des clients : les professions libérales traitent des données que le RGPD protège plus strictement. Le prestataire est un sous-traitant au sens de l'article 28 et doit signer un accord de traitement qui précise les mesures de sécurité, la localisation des données et le sort des données en fin de contrat. La CNIL publie des contenus dédiés à plusieurs professions ; le guide RGPD en entreprise rappelle les bases.

Prix indicatifs du marché

Pour un forfait couvrant support, sécurité et sauvegarde, les cabinets se situent souvent dans le haut des fourchettes générales de l'infogérance, soit de l'ordre de 70 à 130 € HT par poste et par mois, en raison des exigences de sécurité. Les licences (logiciel métier, Microsoft 365, EDR) et le matériel s'ajoutent généralement. Ces montants sont indicatifs : comparez plusieurs devis établis sur votre parc réel, et consultez le guide coût de l'infogérance.

Questions à poser au prestataire

1. Avez-vous déjà travaillé pour des cabinets de ma profession, et pouvez-vous me mettre en relation avec l'un d'eux ?
2. Qui, chez vous, peut accéder à mes postes et à mes données, et comment ces accès sont-ils tracés ?
3. Vos intervenants et sous-traitants sont-ils liés par une clause de confidentialité ?
4. Où sont stockées mes sauvegardes, et l'hébergeur est-il certifié HDS si des données de santé sont concernées ?
5. Quand avez-vous testé pour la dernière fois une restauration complète chez un client ?
6. Comment gérez-vous un incident un jour d'audience ou de consultations : poste de remplacement, priorité ?
7. Que me remettez-vous en fin de contrat : mots de passe, documentation, sauvegardes ?

Signaux d'alerte

• Un technicien qui demande vos mots de passe par téléphone ou par e-mail.
• Un compte administrateur unique partagé par toute l'équipe du prestataire.
• Aucun accord de traitement RGPD proposé.
• Une sauvegarde « dans le cloud » sans indication de localisation ni de certification.