RGPD pour thérapeutes et praticiens bien-être : protéger les données de vos clients

Notes de séance, coordonnées, historique de rendez-vous, factures : votre cabinet accumule des informations intimes sur vos clients. Le RGPD pour un thérapeute n'est pourtant ni une montagne administrative ni une affaire réservée aux grandes entreprises : c'est un ensemble de réflexes simples qui protègent vos clients, votre réputation et votre sérénité. Ce guide traduit le règlement en gestes concrets : quoi faire, combien de temps garder un dossier, où le stocker, et comment répondre calmement à une demande d'accès.

Le RGPD vous concerne, même seul dans votre cabinet

Beaucoup de praticiens pensent que le RGPD ne s'applique qu'aux structures qui brassent des milliers de fichiers. C'est faux. Dès que vous notez le prénom d'un client, son numéro de téléphone ou le motif de sa venue, vous traitez des données personnelles. Vous êtes alors ce que le règlement appelle un « responsable de traitement », que vous exerciez en cabinet, à domicile ou en visio, seul ou en collectif.

La bonne nouvelle : pour une activité individuelle, la conformité est à votre portée. Il s'agit surtout de savoir ce que vous collectez, pourquoi, où c'est rangé, et de pouvoir le dire simplement à vos clients. La CNIL attend d'un praticien indépendant de la bonne foi et des mesures proportionnées, pas une usine à gaz.

Sophrologue, naturopathe, coach : vos notes de séance sont-elles des données de santé ?

C'est la question qui change tout. Le RGPD classe les données de santé parmi les données « sensibles », soumises à une protection renforcée. Or la notion est large : elle couvre les informations qui révèlent l'état de santé physique ou mental d'une personne, y compris de manière indirecte.

Concrètement, si vos notes mentionnent des troubles du sommeil, une anxiété, des douleurs chroniques ou un traitement en cours, vous manipulez très probablement des données de santé, même sans être un professionnel de santé au sens du Code de la santé publique. Un sophrologue qui note « crises d'angoisse depuis le divorce », un naturopathe qui consigne un bilan alimentaire lié à un diabète, un coach qui écrit « burn-out en cours » : dans les trois cas, la donnée est sensible.

Ce statut a deux conséquences pratiques : vous devez recueillir un consentement explicite pour traiter ces informations, et vous devez les protéger avec un soin particulier (accès restreint, stockage sécurisé, partage maîtrisé). Dans le doute, traitez vos notes de séance comme des données de santé. Vous ne prendrez jamais de risque en étant trop prudent.

Vos obligations concrètes : information, consentement, registre des traitements

Trois piliers suffisent à couvrir l'essentiel de vos obligations RGPD de thérapeute au quotidien.

• Informer vos clients. Avant la première séance, dites en termes simples quelles données vous collectez, pourquoi, combien de temps vous les gardez et quels sont leurs droits. Une page sur votre site, un document remis en cabinet ou un paragraphe dans votre email de confirmation font l'affaire.
• Recueillir le consentement. Pour les données sensibles, faites signer (papier ou électronique) une mention claire : « J'autorise [votre nom] à conserver des notes relatives à mon accompagnement ». Gardez une trace de ce consentement dans le dossier du client.
• Tenir un registre des traitements. Le mot impressionne, la réalité est modeste : un document (un simple tableau suffit) qui liste vos traitements, par exemple « dossiers clients », « agenda et rappels », « facturation », avec pour chacun la finalité, les données concernées, la durée de conservation et le lieu de stockage. Pour un cabinet individuel, une page ou deux suffisent, et la CNIL propose un modèle simplifié gratuit.

Ajoutez-y un principe transversal : la minimisation. Ne collectez que ce qui sert réellement l'accompagnement ; le numéro de sécurité sociale ou la profession du conjoint n'ont, la plupart du temps, rien à faire dans votre dossier.

Combien de temps conserver un dossier client, et comment le supprimer proprement

Le RGPD ne fixe pas de durée unique : il exige que vous définissiez une durée justifiée, que vous l'annonciez et que vous la respectiez. Pour un praticien du bien-être, une pratique courante et défendable consiste à conserver le dossier d'accompagnement cinq ans après le dernier contact (le délai de prescription de droit commun). Les factures, elles, relèvent d'une règle comptable distincte : dix ans.

La suppression doit être réelle. Jeter une fiche papier à la poubelle ne suffit pas : détruisez-la (déchiqueteuse ou découpage fin). Côté numérique, supprimer un fichier ne vaut que si les copies suivent : sauvegardes, exports oubliés sur une clé USB, pièces jointes dans votre boîte mail. D'où l'intérêt de centraliser : moins vos données sont éparpillées, plus la suppression est complète.

Papier, tableur ou logiciel : où stocker vos données en sécurité

Chaque support a ses règles.

• Le papier reste licite, à condition d'être rangé dans un meuble fermant à clé et hors de la vue des clients suivants. Sa vraie faiblesse : pas de sauvegarde. Un dégât des eaux et dix ans de suivis disparaissent.
• Le tableur et les documents en vrac sont le point faible le plus fréquent : un fichier de clients sur un ordinateur sans mot de passe, synchronisé sur un cloud grand public hébergé hors d'Europe, partagé par erreur. C'est le scénario classique de la fuite involontaire.
• Un logiciel de gestion de cabinet centralise dossiers, notes et documents derrière une authentification, avec sauvegardes automatiques et hébergement vérifiable. C'est ce qui rend vos obligations réalisables : tout est au même endroit, donc exportable et supprimable en quelques clics.

Pour comparer sereinement les options, vous pouvez lire notre guide choisir un logiciel de gestion pour son cabinet bien-être, et si vous êtes sophrologue, notre article dédié bien choisir son logiciel de sophrologue en 2026.

Répondre à une demande d'accès ou de suppression sans paniquer

Un client peut vous demander une copie de ses données (droit d'accès), leur correction, ou leur effacement. Ce n'est ni une attaque ni un signe de défiance : c'est un droit, et y répondre correctement renforce la confiance.

La marche à suivre tient en quatre étapes : vérifiez l'identité du demandeur (répondez à l'adresse email connue du dossier, jamais à un tiers), rassemblez ce que vous détenez, répondez dans le délai d'un mois, et gardez une trace de votre réponse. Pour l'effacement, une nuance : vous devez conserver ce que la loi impose de garder, comme les factures, et le dire simplement au client.

Un détail qui compte : vos notes de séance font partie des données communicables. Écrivez-les en sachant qu'un client pourrait les lire un jour. C'est une bonne discipline, qui rejoint l'art de rédiger des comptes-rendus de séance clairs et rapides.

Votre checklist RGPD de mise en conformité en 7 étapes

1. Listez tout ce que vous collectez sur un client, de la prise de contact à la facture, et supprimez ce qui ne sert pas l'accompagnement.
2. Rédigez une note d'information simple (une demi-page suffit) et remettez-la à chaque nouveau client.
3. Ajoutez une case ou une mention de consentement pour vos notes de séance, et conservez-en la trace.
4. Créez votre registre des traitements à partir du modèle simplifié de la CNIL.
5. Fixez vos durées de conservation (par exemple cinq ans après le dernier contact pour le dossier, dix ans pour les factures) et notez-les dans le registre.
6. Sécurisez vos supports : meuble verrouillé pour le papier, mot de passe solide et stockage centralisé pour le numérique, jamais de dossiers clients dans une boîte mail.
7. Préparez votre réponse type aux demandes d'accès et de suppression, pour ne pas improviser le jour venu.

Bloquez une demi-journée pour dérouler ces sept étapes : c'est, pour la plupart des cabinets individuels, le vrai coût de la mise en conformité.

Ce qu'un logiciel conforme fait pour vous : hébergement en Europe, chiffrement, sauvegardes

Un bon outil ne vous rend pas conforme à lui seul, mais il prend en charge la partie technique que vous ne pouvez pas assurer vous-même : hébergement des données dans l'Union européenne, connexions chiffrées, sauvegardes régulières, et surtout la capacité d'exporter ou de supprimer un dossier à tout moment, condition indispensable pour honorer les droits de vos clients.

C'est exactement ce pour quoi Therapilot a été conçu : dossiers clients centralisés (séances, observations, documents), données hébergées dans l'Union européenne, export et suppression à tout moment. Après la séance, vous dictez vos observations, elles sont mises en forme automatiquement, vous relisez, vous validez, et le compte-rendu se range dans le dossier du client. Les résumés partageables avec un confrère ou un médecin peuvent être protégés par mot de passe. Vous pouvez essayer Therapilot gratuitement : l'offre Découverte est à 0 euro jusqu'à 5 clients pendant 2 mois, sans carte bancaire, puis 9 euros par mois sans engagement.

Questions fréquentes

Dois-je désigner un délégué à la protection des données (DPO) ?

Pour un praticien indépendant, ce n'est en général pas obligatoire : le DPO s'impose surtout aux organismes qui traitent des données sensibles à grande échelle, ce qui ne décrit pas un cabinet individuel. Vous restez en revanche responsable de vos traitements : registre, information des clients et sécurité vous incombent directement.

Ai-je le droit de garder mes dossiers clients sur papier ?

Oui, le RGPD s'applique au papier comme au numérique et n'interdit ni l'un ni l'autre. Vos fiches doivent simplement être protégées (meuble fermé à clé, pas de dossier visible en séance) et détruites proprement à l'échéance. Gardez à l'esprit que le papier ne se sauvegarde pas et se prête mal aux demandes d'accès.

Que faire si je perds mon ordinateur ou si mes données fuitent ?

C'est une violation de données. Documentez ce qui s'est passé et, si la fuite présente un risque pour vos clients (notes de séance accessibles, par exemple), notifiez la CNIL dans les 72 heures, puis informez les personnes concernées si le risque est élevé. Un ordinateur chiffré, avec des données stockées dans un logiciel sécurisé plutôt qu'en local, réduit fortement ce risque.

Puis-je envoyer un compte-rendu de séance par email à un confrère ?

Uniquement avec l'accord du client, et avec précaution : un email classique n'est pas un canal sécurisé pour des données sensibles. Préférez un partage protégé, par exemple un résumé accessible via un lien avec mot de passe, et limitez le contenu à ce qui est utile au destinataire.