Téléséances d'art-thérapie : le double angle mort juridique et numérique

Depuis la généralisation des accompagnements à distance, de nombreux art-thérapeutes proposent des séances en visioconférence : le patient montre ses créations à la caméra, peint en direct, ou envoie ses œuvres par messagerie entre deux rendez-vous. Ce glissement, en apparence anodin, transforme profondément votre exposition au risque.

En cabinet, l'œuvre reste physique, dans un classeur fermé. En visio, elle devient une donnée numérique : une image, parfois un enregistrement vidéo, transitant par une plateforme, stockée sur un serveur, échangée par mail. Or l'art-thérapie produit un matériau particulièrement sensible : une création révèle souvent l'état psychique, les traumatismes ou les difficultés intimes de son auteur. Ces images, associées à l'identité du patient, constituent des données de santé au sens du RGPD.

Le jour où une séance bascule en visio, vous devenez responsable de traitement d'images intimes et sensibles. La responsabilité ne s'arrête plus à la qualité de votre accompagnement : elle englobe la sécurité de tout ce qui transite par votre écran.

Cette mutation crée un double angle mort. D'un côté, un risque déontologique et juridique lié à la protection des données. De l'autre, un risque purement technique : la plateforme que vous utilisez peut être piratée, mal configurée, ou conserver vos échanges sans que vous le sachiez.

Dès lors que vous traitez des données de santé, plusieurs obligations s'imposent, indépendamment du caractère non réglementé de votre activité :

• Base légale et consentement : le patient doit être informé que ses œuvres et ses échanges peuvent être stockés, dans quel but, et combien de temps. Le consentement doit être explicite, distinct de la simple acceptation du suivi.
• Minimisation : ne conservez que ce qui est nécessaire. Enregistrer une séance vidéo « au cas où » est rarement justifiable et multiplie votre exposition.
• Sécurité : les images doivent être stockées de façon chiffrée, sur un support protégé par mot de passe, et non sur un cloud grand public partagé avec vos données personnelles.
• Durée de conservation : définissez un délai, informez-en le patient, et supprimez les données à l'échéance.

Le cas du mineur est particulièrement piégeux. De nombreux art-thérapeutes accompagnent des enfants ou des adolescents. En visio, le recueil du consentement parental écrit devient indispensable : non seulement pour le suivi lui-même, mais aussi pour la captation et la conservation des œuvres de l'enfant. À défaut, le suivi peut être contesté et toute conservation d'image jugée illicite.

En cas de fuite de ces données — vol d'ordinateur, accès non autorisé à votre messagerie, plateforme compromise — vous êtes tenu de notifier la violation à l'autorité de contrôle dans un délai de 72 heures, et d'en informer les personnes concernées si le risque est élevé. Pour un cabinet individuel, gérer seul cette procédure relève souvent de l'impossible.

Reconstituons un cas réaliste. Sophie, art-thérapeute, suit une douzaine de patients en visio. Elle reçoit leurs œuvres par e-mail et les classe dans un dossier sur son ordinateur portable, sans chiffrement. Son adresse de messagerie, protégée par un mot de passe faible et sans double authentification, est compromise par hameçonnage.

L'attaquant accède à plusieurs mois de correspondance : photos d'œuvres, prénoms, situations décrites par les patients, comptes rendus de séances. Certains fichiers sont exfiltrés. Sophie le découvre lorsqu'une patiente l'alerte avoir reçu un courriel de chantage accompagné d'une de ses créations.

Sophie se tourne vers sa RC Pro. Réponse de l'assureur : la RC Pro indemnise les dommages causés à un tiers par une faute professionnelle dans l'exercice de l'accompagnement — pas les conséquences d'une cyberattaque, ni les frais de gestion d'une violation de données. Ces postes relèvent d'une garantie cyber spécifique, qu'elle n'avait pas souscrite. Le coût reste intégralement à sa charge.

La téléséance n'est pas à proscrire : elle demande simplement un cadre. Voici les réflexes à adopter :

• Choisir une plateforme adaptée au traitement de données sensibles, qui chiffre les échanges et ne conserve pas les enregistrements par défaut. Désactivez tout enregistrement automatique.
• Sécuriser vos outils : mot de passe robuste, double authentification sur la messagerie, disque chiffré, sauvegardes séparées. Ce sont les premières mesures que tout assureur cyber attend de vous.
• Formaliser le consentement dans un document remis avant la première séance, mentionnant la captation éventuelle des œuvres, leur stockage et leur durée de conservation. Recueillez le consentement parental pour les mineurs.
• Limiter la conservation : ne gardez les images que le temps utile au suivi, puis supprimez-les. Moins vous stockez, moins vous êtes exposé.
• Couvrir le risque numérique : une garantie cyber prend en charge l'expertise technique, les frais juridiques de notification, l'accompagnement des patients et la perte d'exploitation — exactement les postes que la RC Pro ignore.

Pensez enfin à votre matériel informatique : l'ordinateur et le smartphone qui hébergent ces données sont eux-mêmes des points de vulnérabilité. Leur vol ou leur panne peut entraîner à la fois une perte de données et une interruption d'activité. Protéger le poste de travail, c'est protéger la confidentialité de vos patients.

L'art-thérapie à distance peut être une pratique sérieuse et respectueuse, à condition d'admettre qu'elle vous fait changer de métier sur un point : vous devenez aussi gardien de données intimes. Ce rôle se gère, mais il ne s'improvise pas.