Registre des traitements : ce qu'un cabinet y inscrit vraiment

Le registre des traitements est le document interne où vous listez les usages que vous faites de données personnelles, avec pour chacun sa finalité, les données concernées, leur durée de conservation et l'endroit où elles sont stockées. Le mot impressionne, l'objet est modeste : pour un cabinet individuel, c'est un tableau d'une page.

Pourquoi ce document existe

Le règlement européen part d'une idée simple : on ne protège bien que ce que l'on a recensé. Le registre est donc d'abord un exercice de mise à plat, pour vous. Il répond à quatre questions par ligne : qu'est-ce que je collecte, pourquoi, combien de temps je le garde, et où c'est rangé.

Il n'est pas destiné à être publié. Vous le tenez, vous le mettez à jour, et vous seriez en mesure de le montrer si on vous le demandait. La CNIL propose un modèle simplifié gratuit, conçu justement pour les petites structures, et c'est le point de départ le plus court.

Ce qu'un cabinet y inscrit, ligne par ligne

Pour un praticien indépendant, la liste tient en quelques lignes :

• Les dossiers de suivi : identité, coordonnées, anamnèse et comptes rendus de séance. C'est la ligne la plus sensible, puisqu'elle peut contenir des informations sur la santé.
• L'agenda et les rappels : dates de rendez-vous, adresse email ou numéro utilisé pour prévenir.
• La prise de rendez-vous et la liste d'attente : coordonnées de personnes qui ne sont pas encore vos clientes.
• Les encaissements : montants, moyens de paiement, justificatifs.
• La correspondance : emails reçus et envoyés, qui peuvent contenir plus de données qu'on ne le croit.
• Les sauvegardes : ligne facile à oublier, alors qu'elle conditionne toute suppression réelle.

Pour chacune, notez aussi qui d'autre y a accès. C'est là qu'apparaissent vos prestataires, et donc la distinction entre responsable de traitement et sous-traitant, qui structure toute la colonne.

Le piège des durées de conservation

C'est une colonne facile à remplir trop vite, en écrivant « à vie » ou en la laissant vide. Or c'est celle qui a le plus d'effet pratique, parce qu'une durée annoncée est une durée que l'on doit appliquer.

La bonne méthode consiste à raisonner par finalité : combien de temps cette donnée sert-elle réellement à ce pour quoi je la garde ? Un dossier de suivi et un justificatif de recette n'obéissent pas au même raisonnement, et il n'y a aucune raison de leur donner la même durée. Une fois la durée fixée, écrivez-la, annoncez-la à vos clients dans votre note d'information, et tenez-la.

Ce que cela change concrètement au cabinet

Un registre bien tenu produit trois bénéfices très terre à terre. Il vous permet de répondre en quelques minutes à un client qui demande ce que vous détenez sur lui. Il vous dit où chercher le jour où vous devez supprimer un dossier, sauvegardes comprises. Et il vous force, une fois par an, à constater que vous gardez des données dont vous n'avez plus l'usage.

La contrainte technique, elle, se règle par la centralisation. Un dossier éparpillé entre un cahier, un tableur, une boîte mail et une clé USB est impossible à recenser honnêtement, et plus encore à supprimer. Dans Therapilot, les dossiers vivent au même endroit, les données sont hébergées dans l'Union européenne, et vous pouvez exporter ou supprimer à tout moment : c'est ce qui rend les lignes de votre registre réalistes plutôt que théoriques.

Pour un psychopraticien qui accompagne sur plusieurs années, la question de la durée et de la suppression se pose avec d'autant plus d'acuité que les dossiers s'accumulent. Mieux vaut avoir tranché tôt.

Le tenir à jour sans y penser

Un registre se périme par les outils, pas par les mots. La règle est donc simple : chaque fois que vous adoptez un nouvel outil qui touche à des données de clients, vous ouvrez le registre. Nouveau service d'envoi d'emails, nouvelle solution de visioconférence, nouveau prestataire de sauvegarde : une ligne, ou une colonne « destinataires » complétée.

Le reste peut se caler sur un rendez-vous annuel avec vous-même, une heure, en même temps que le renouvellement de votre assurance. Pour le contexte général et les autres obligations qui l'accompagnent, nos repères RGPD pour un praticien déroulent la mise en conformité en sept étapes.