RGPD pour thérapeute : gérer les données de ses clients

Le RGPD vous concerne-t-il ?

Oui. Le Règlement général sur la protection des données (règlement UE 2016/679), applicable depuis le 25 mai 2018, s'impose à toute personne qui traite des données personnelles dans le cadre d'une activité professionnelle, quelle que soit sa taille. Un relaxologue en micro-entreprise qui tient un carnet de rendez-vous, un fichier de clients ou une liste d'abonnés à sa newsletter est un responsable de traitement au sens du RGPD.

Une donnée personnelle est toute information qui permet d'identifier directement ou indirectement une personne : nom, adresse électronique, numéro de téléphone, date de naissance, mais aussi notes de séance rattachées à un client. Un traitement, c'est toute opération sur ces données : les collecter, les noter, les classer, les conserver, les envoyer, les supprimer. Le support importe peu : un cahier papier est concerné au même titre qu'un logiciel.

En France, l'autorité de contrôle est la CNIL (Commission nationale de l'informatique et des libertés). Elle publie des guides pratiques destinés aux petites structures, à consulter en priorité. Le RGPD prévoit des sanctions pouvant aller jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial pour les manquements les plus graves ; en pratique, pour un petit cabinet, le risque principal est surtout la perte de confiance des clients en cas de fuite ou de négligence.

Quelles données collectez-vous ?

Commencez par dresser l'inventaire de ce que vous collectez réellement, et pour quoi faire. Ce travail est le point de départ du registre des traitements.

Ce tableau est un exemple de raisonnement : la base légale exacte dépend de votre organisation et mérite d'être vérifiée avec les ressources de la CNIL.

Les données de santé, une catégorie sensible

Le RGPD définit les données concernant la santé comme les données relatives à la santé physique ou mentale d'une personne, y compris la prestation de services qui révèlent des informations sur son état de santé. Pour un praticien bien-être, cela inclut très probablement une partie de vos notes : troubles du sommeil, douleurs, stress important, traitements médicaux en cours, grossesse, antécédents, contre-indications.

L'article 9 du RGPD interdit en principe le traitement de ces données, sauf exceptions limitativement prévues. Certaines exceptions visent les professionnels de santé soumis au secret professionnel. Pour un praticien bien-être non réglementé, l'exception la plus couramment mobilisée est le consentement explicite de la personne, qui doit être :

• libre : la séance ne doit pas être refusée si le client ne souhaite pas que certaines informations soient notées, sauf si elles sont indispensables à sa sécurité ;
• spécifique et éclairé : le client sait quelles données sont notées, pourquoi, combien de temps et qui y a accès ;
• explicite : idéalement recueilli par écrit, par exemple par une case à cocher ou une signature sur la fiche d'accueil ;
• retirable à tout moment, aussi simplement qu'il a été donné.

Posez-vous systématiquement la question : ai-je vraiment besoin de noter cette information ? Une contre-indication utile à la sécurité de la séance, oui ; le détail d'un diagnostic médical ou d'un événement de vie raconté en séance, rarement.

Les grands principes appliqués au cabinet

1. Finalité : chaque donnée est collectée pour un objectif précis. Les données de séance ne servent pas à faire de la prospection.
2. Minimisation : vous ne collectez que ce qui est nécessaire. Un questionnaire d'accueil de quatre pages est rarement justifié.
3. Transparence : vous informez vos clients (article 13 du RGPD) de l'identité du responsable, des finalités, des bases légales, des destinataires, de la durée de conservation et de leurs droits. Une notice d'information d'une page, remise à la première séance et disponible sur votre site, suffit souvent.
4. Exactitude : les données sont tenues à jour.
5. Limitation de la conservation : les données ne sont pas gardées indéfiniment.
6. Sécurité : vous protégez les données contre la perte, le vol et l'accès non autorisé (article 32).
7. Responsabilité : vous êtes capable de démontrer votre conformité, notamment grâce au registre des activités de traitement (article 30). Les structures de moins de 250 salariés en sont en partie dispensées, mais pas lorsque le traitement porte sur des données sensibles ou n'est pas occasionnel, ce qui est le cas d'un fichier clients avec des données de santé.

Ces principes rejoignent les engagements de confidentialité décrits dans notre article sur la déontologie du praticien bien-être. Une base solide en accompagnement, comme celle de la formation de coach santé et bien-être, aide aussi à distinguer ce qui est utile à la séance de ce qui ne l'est pas.

Combien de temps conserver les données ?

Le RGPD ne fixe pas de durée chiffrée : c'est à vous de la définir, de la justifier et de l'indiquer à vos clients. Il n'existe pas, à notre connaissance, de durée réglementaire propre aux praticiens bien-être. Les repères suivants sont donc à adapter et à vérifier.

Pour les notes de séance, une bonne pratique consiste à définir une période après le dernier rendez-vous au-delà de laquelle le dossier est supprimé ou anonymisé, et à programmer une purge annuelle. Notez cette règle dans votre registre.

Sécuriser fichiers et outils

La sécurité est souvent le point le plus concret et le plus négligé. Les mesures de base :

• Papier : dossiers rangés dans une armoire fermée à clé, jamais laissés sur le bureau en présence d'un autre client ; destruction au broyeur.
• Ordinateur et téléphone : session protégée par mot de passe, chiffrement du disque, mises à jour régulières, verrouillage automatique.
• Mots de passe : longs, uniques pour chaque service, gérés par un gestionnaire de mots de passe, avec authentification à deux facteurs dès que possible.
• Sauvegardes chiffrées et régulières, testées au moins une fois par an.
• Messageries : évitez d'échanger des informations de santé par SMS ou messageries grand public ; limitez le contenu au strict nécessaire.
• Visio : utilisez un outil sécurisé, une salle d'attente virtuelle et un lien unique par séance ; notre article sur les bonnes pratiques des séances en visio complète ces conseils.

Prestataires et hébergement HDS

Vos outils en ligne (agenda, logiciel de gestion, stockage dans le nuage, envoi de courriels) sont des sous-traitants au sens du RGPD (article 28). Vérifiez qu'ils proposent un contrat ou des conditions conformes, précisant où sont hébergées les données et comment elles sont protégées. Privilégiez un hébergement dans l'Union européenne.

Le Code de la santé publique (article L1111-8) impose que l'hébergement de données de santé recueillies à l'occasion d'activités de prévention, de diagnostic, de soins ou de suivi médico-social, pour le compte d'un tiers, soit confié à un hébergeur certifié HDS (hébergeur de données de santé). Son application exacte aux praticiens non réglementés peut prêter à discussion ; par prudence, si vous stockez des notes contenant des données de santé chez un prestataire, choisissez un outil certifié HDS et vérifiez le point avec un juriste ou les ressources de la CNIL.

En cas de violation de données

Ordinateur volé, compte piraté, courriel envoyé au mauvais destinataire : ce sont des violations de données. Le RGPD impose de les documenter et, si elles présentent un risque pour les personnes, de les notifier à la CNIL dans les 72 heures (article 33), voire d'en informer les clients concernés si le risque est élevé (article 34).

Les droits de vos clients

Vos clients disposent de droits que vous devez être capable de respecter : droit d'accès à leurs données, de rectification, d'effacement, de limitation, d'opposition (notamment à la prospection) et de portabilité pour les données fournies sur la base du consentement ou du contrat. Vous devez répondre dans un délai d'un mois, prolongeable dans certains cas, et gratuitement en règle générale.

Concrètement, si un ancien client demande à recevoir une copie de sa fiche, vous la lui transmettez de façon sécurisée. S'il demande l'effacement, vous supprimez ses données, sauf celles que vous devez conserver pour une obligation légale, comme les factures. Indiquez aussi dans votre notice qu'il peut introduire une réclamation auprès de la CNIL.

Newsletter, site et prospection

Votre communication est aussi concernée. Pour envoyer une newsletter ou des offres par courriel à des particuliers, le principe est le consentement préalable (opt-in), sauf exception pour vos clients concernant des prestations analogues, à condition qu'ils aient pu s'y opposer simplement dès la collecte. Chaque envoi doit comporter un lien de désinscription. Ne versez jamais les adresses de vos fiches clients dans un outil d'emailing sans base légale claire.

Sur votre site, il vous faut une politique de confidentialité accessible, un bandeau de gestion des cookies conforme aux recommandations de la CNIL si vous utilisez des traceurs non essentiels (mesure d'audience, publicité, vidéos intégrées), et des formulaires qui ne collectent que le nécessaire. Ces éléments s'intègrent naturellement à la structure présentée dans notre guide pour créer un site de thérapeute. Enfin, pour développer votre activité dans le respect de ces règles, voyez notre article pour trouver ses premiers clients.

Votre plan d'action en 10 étapes

1. Faire l'inventaire de vos traitements et de vos outils.
2. Supprimer les données inutiles et alléger vos questionnaires.
3. Rédiger votre registre des activités de traitement, à partir du modèle proposé par la CNIL.
4. Rédiger une notice d'information pour vos clients et une politique de confidentialité pour votre site.
5. Mettre en place un recueil écrit du consentement explicite pour les données de santé.
6. Fixer et documenter vos durées de conservation, puis programmer une purge annuelle.
7. Sécuriser vos outils : mots de passe, chiffrement, sauvegardes, armoire fermée.
8. Vérifier les contrats de vos prestataires et l'hébergement HDS pour les notes de santé.
9. Préparer une procédure simple pour répondre aux demandes d'exercice des droits.
10. Prévoir une procédure en cas de violation de données, avec le délai de 72 heures.

Ce travail représente quelques heures la première fois, puis une révision annuelle. Il protège vos clients, votre activité et votre réputation. Si vous exercez une pratique où les confidences sont nombreuses, comme la relaxologie ou l'hypnose, il est d'autant plus essentiel. Les informations de cet article sont générales et ne remplacent pas l'avis d'un juriste ou les publications officielles de la CNIL.

Information santé : cet article est informatif et ne remplace pas l'avis d'un médecin ou d'un professionnel de santé. Transparence : certains liens vers des formations sont des liens d'affiliation ; ils n'entraînent aucun surcoût pour vous.