Gestion des dossiers clients et RGPD : le guide CNIL pour les thérapeutes libéraux en France

Un dossier client de thérapeute ne se résume pas à quelques coordonnées dans un agenda. Il peut contenir des notes de séance, des informations sur la santé, des échanges, des factures et des documents transmis par la personne accompagnée. En France, cet ensemble doit être géré avec une méthode compatible avec le RGPD et les obligations professionnelles applicables.

La bonne approche n’est pas de chercher un logiciel qui afficherait simplement le mot « RGPD ». Il faut pouvoir expliquer quelles données sont collectées, pourquoi elles le sont, qui peut y accéder, combien de temps elles sont conservées et comment elles sont supprimées. Ce guide propose une checklist opérationnelle pour les psychologues, psychothérapeutes, travailleurs sociaux, thérapeutes et coachs qui exercent en libéral. Il s’agit d’une information générale : les règles professionnelles peuvent varier selon la profession et l’organisme de rattachement.

1. Cartographier ce qui se trouve réellement dans un dossier

Commencez par inventorier les données, plutôt que par choisir un outil. Dans un cabinet, le parcours d’une personne crée souvent plusieurs copies : formulaire de contact, courriel, agenda, fiche client, note de séance, facture, reçu, export comptable et sauvegarde.

Pour chaque catégorie, notez :

la donnée : identité, coordonnées, informations administratives, contenu clinique, justificatif, paiement;
la source : client, prescripteur, organisme payeur ou professionnel partenaire;
la finalité : organiser un rendez-vous, assurer l’accompagnement, établir une facture ou répondre à une obligation;
les personnes qui y ont accès : praticien, assistant, comptable ou prestataire technique;
le lieu de stockage : logiciel, messagerie, ordinateur, téléphone, cloud ou papier;
la durée et la méthode de suppression.

La CNIL rappelle que les données de santé sont des données sensibles. Une note clinique mérite donc une protection plus exigeante qu’un simple fichier de prospects. Un champ libre n’est pas neutre : les utilisateurs peuvent y inscrire plus d’informations que nécessaire. Une structure de dossier et des consignes internes limitent ce risque.

2. Définir une finalité et collecter le minimum nécessaire

Le RGPD impose de ne pas collecter des renseignements « au cas où ». Pour un premier contact, le nom, un moyen de réponse et les informations indispensables à la prise de rendez-vous peuvent suffire. La demande d’un récit clinique détaillé dans un formulaire public augmente inutilement l’exposition des données.

Avant de créer un champ, posez trois questions :

Cette information est-elle nécessaire à une tâche précise?
La personne sait-elle pourquoi elle est demandée?
Existe-t-il une manière moins intrusive d’accomplir la même tâche?

Séparez les données de gestion des notes cliniques lorsque cela est possible. Par exemple, l’agenda a besoin d’un nom et d’un créneau; il n’a pas besoin du contenu d’une séance. De même, un outil de facturation ne devrait recevoir que les éléments utiles au reçu ou à la comptabilité.

La CNIL recommande aussi de choisir une base légale adaptée et d’informer les personnes. Le consentement n’est pas une formule universelle qui remplace toutes les autres obligations. Pour un professionnel, la situation dépend de la finalité, de la relation avec le client et des règles sectorielles. Une notice claire doit indiquer le responsable du traitement, les finalités, les destinataires, les droits et le moyen de contact.

3. Organiser le dossier avec une structure stable

Une structure cohérente réduit les erreurs et facilite les demandes d’accès. Elle peut comprendre :

une fiche administrative minimale;
les documents d’information et consentements pertinents;
une chronologie des rendez-vous;
les notes rédigées selon les exigences de la profession;
les échanges ou documents utiles à l’accompagnement;
la facturation et les justificatifs séparés lorsque leur conservation suit une logique différente.

Évitez les doublons nommés « final », « final-2 » et « dernière-version ». Utilisez une convention de nommage qui n’expose pas d’information clinique dans le nom du fichier. Verrouillez les modèles pour que les notes restent attribuées à la bonne personne et conservez une trace des corrections importantes.

Une bonne organisation n’est pas une invitation à tout centraliser. Elle sert à limiter les copies et à savoir quelle version fait foi. Les exports ponctuels doivent avoir une raison, un destinataire et une date de suppression.

4. Sécuriser les accès et les appareils

La sécurité doit être proportionnée au risque, mais quelques contrôles sont incontournables dans un cabinet solo comme dans une petite équipe :

compte individuel, mot de passe robuste et authentification multifacteur lorsque disponible;
verrouillage automatique de l’ordinateur et du téléphone;
mises à jour du système, du navigateur et du logiciel;
chiffrement des appareils et des sauvegardes;
droits d’accès limités à ce qui est nécessaire;
retrait immédiat des accès d’un assistant ou prestataire qui quitte le cabinet;
sauvegarde testée, distincte de l’appareil principal;
interdiction des comptes partagés et des téléchargements non contrôlés.

La CNIL insiste sur les mesures techniques et organisationnelles. Un prestataire peut fournir un outil, mais le praticien doit encore configurer les accès, former les utilisateurs et vérifier les usages. Une solution sécurisée sur le papier ne compense pas un mot de passe partagé ou un dossier exporté vers une boîte personnelle.

5. Examiner chaque fournisseur avant d’y déposer des données

Un logiciel de gestion, une solution de prise de rendez-vous, un hébergeur ou un service de messagerie peut traiter des données pour le compte du cabinet. La relation doit être documentée et les responsabilités comprises. Demandez notamment :

où les données sont hébergées et dans quels pays elles peuvent être transférées;
quelles mesures de sécurité sont réellement proposées;
qui sont les sous-traitants ultérieurs;
comment sont gérés les incidents;
comment récupérer les données dans un format exploitable;
quand les données et les sauvegardes sont supprimées à la fin du contrat;
si le fournisseur utilise les données à d’autres fins, notamment pour entraîner un service;
quelles personnes internes peuvent accéder aux données et dans quelles circonstances.

La CNIL recommande de formaliser les obligations du sous-traitant et de vérifier ses garanties. Une politique de confidentialité marketing ne remplace pas les informations contractuelles nécessaires. Ne transmettez pas de notes cliniques à un service dont les conditions d’utilisation restent floues.

6. Planifier conservation, accès et suppression

Le RGPD repose sur une durée de conservation maîtrisée : les données ne doivent pas rester indéfiniment accessibles sans justification. La durée exacte dépend de la profession, des règles applicables, de la nature du document et d’éventuelles obligations comptables ou contentieuses. Établissez donc une grille par catégorie, faites-la valider si nécessaire et inscrivez la date de réexamen dans votre procédure.

La suppression doit couvrir les copies raisonnablement identifiables : dossier actif, exports, téléchargements, papier et sauvegardes selon la politique du fournisseur. Pour le papier, prévoyez une destruction confidentielle. Pour le numérique, vérifiez ce que signifie réellement « supprimer » et le délai d’effacement des sauvegardes.

Les personnes disposent de droits, notamment d’accès et de rectification, sous réserve des règles et exceptions applicables. Une procédure simple doit permettre de retrouver le dossier, vérifier l’identité du demandeur, répondre dans le délai approprié et conserver la preuve du traitement de la demande.

7. Préparer la réponse à un incident

Un courriel envoyé au mauvais destinataire, un ordinateur volé, un compte compromis ou un lien partagé publiquement peut constituer une violation de données. N’attendez pas un incident pour décider qui doit agir.

Votre fiche d’urgence devrait préciser :

comment contenir l’incident et préserver les preuves;
qui contacter chez le fournisseur et dans le cabinet;
comment évaluer le risque pour les personnes;
quelles notifications peuvent être requises;
comment documenter la décision et les mesures correctives;
comment informer les clients lorsque cela est nécessaire.

La CNIL demande de notifier certaines violations dans les conditions prévues par le RGPD. Le registre interne des incidents aide à démontrer une réaction structurée, y compris lorsqu’aucune notification n’est finalement nécessaire.

Checklist mensuelle pour un cabinet libéral

Une fois par mois, vérifiez :

les nouveaux champs ajoutés aux formulaires;
les comptes et droits d’accès;
les exports et liens de partage encore actifs;
l’état des sauvegardes et un test de restauration;
les mises à jour disponibles;
les demandes de droits en attente;
les incidents ou quasi-incidents;
les échéances de conservation et contrats fournisseurs.

Cette routine prend moins de temps lorsqu’un outil centralise agenda, dossiers et tâches administratives avec des permissions claires. Elle ne supprime pas la responsabilité du professionnel, mais évite les recherches dispersées et les copies inutiles.

FAQ

Le RGPD interdit-il de conserver des notes de séance?

Non. Il impose une finalité, une sécurité et une durée de conservation justifiée. Les règles professionnelles et obligations légales peuvent préciser la durée applicable.

Un logiciel marqué « RGPD » suffit-il?

Non. Il faut examiner le contrat, l’hébergement, les sous-traitants, les accès, les exports, la suppression et les mesures réellement activées.

Peut-on envoyer un dossier client par courriel?

Cela dépend du contexte et des garanties disponibles. Vérifiez l’identité, limitez le contenu, utilisez un moyen adapté au risque et documentez le choix; un lien public ou un destinataire erroné peut exposer des données sensibles.

Faut-il un registre des traitements dans un cabinet solo?

La tenue d’un registre dépend notamment de la nature et de la régularité des traitements et des catégories de données. Pour des données de santé traitées régulièrement, documenter les traitements est une précaution fortement recommandée et peut être nécessaire.

Où trouver un outil simple pour organiser la pratique?

Gratuit. Sans carte de crédit. Pour toujours. FYL.care aide les psychologues, travailleurs sociaux, thérapeutes et coachs à gérer leur pratique sans ajouter un abonnement administratif.

Gestion des dossiers clients et RGPD : guide CNIL pour thérapeutes libéraux en France