Enregistrer une séance, noter un diagnostic : le piège RGPD que les musicothérapeutes ignorent

Beaucoup de musicothérapeutes ne mesurent pas la nature juridique des informations qu'ils manipulent au quotidien. Pourtant, dès que vous notez l'état émotionnel d'un patient, ses progrès, une pathologie évoquée par l'établissement, ou que vous filmez une séance pour analyser une interaction, vous traitez des données concernant la santé.

Le Règlement général sur la protection des données (RGPD) classe ces informations parmi les « catégories particulières » de l'article 9. C'est le régime le plus protecteur, celui qui s'applique aux données médicales. Leur traitement est par principe interdit, sauf exceptions encadrées, dont la principale en pratique libérale est le consentement explicite de la personne.

Concrètement, sont concernés :

• vos comptes rendus de séance et bilans, papier ou numériques ;
• les enregistrements audio ou vidéo, particulièrement fréquents en musicothérapie active ;
• les coordonnées des patients croisées avec leur suivi ;
• les échanges par mail avec une famille ou un médecin prescripteur évoquant une situation clinique.

Le fait d'exercer dans le champ du bien-être ou en complément du soin ne change rien : ce n'est pas l'efficacité de votre pratique qui qualifie la donnée, c'est son contenu. Une information sur la santé d'une personne identifiable reste une donnée de santé, point.

L'erreur la plus répandue concerne les captations. Filmer une séance « pour le suivi » sans formalisme expose directement le praticien. Le consentement RGPD valable doit réunir plusieurs caractéristiques :

• Explicite et écrit pour des données de santé : un accord verbal ne suffit pas à le prouver.
• Spécifique : on précise la finalité (analyse clinique, supervision, jamais « usage indéterminé »).
• Éclairé : la personne sait ce qui est enregistré, où c'est stocké, combien de temps, et qui y aura accès.
• Libre et révocable : le patient peut refuser ou retirer son accord à tout moment, sans conséquence sur sa prise en charge.

Pour les publics vulnérables, le sujet se complique encore. Avec un enfant, le consentement relève des titulaires de l'autorité parentale. Avec une personne sous mesure de protection ou un résident d'EHPAD désorienté, le recueil doit associer le représentant légal et respecter, autant que possible, l'assentiment de la personne.

Un enregistrement réalisé sans base légale valable est non seulement une faute RGPD, mais il fragilise toute votre relation de confiance avec l'établissement et les familles.

Pensez aussi à la durée de conservation : on ne garde pas une vidéo de séance indéfiniment. Fixez une durée justifiée, et supprimez réellement les fichiers à son terme. Le RGPD impose la minimisation, pas l'accumulation.

Imaginons un musicothérapeute qui transporte sur une clé USB les vidéos de séances d'un groupe d'enfants suivis en institut médico-éducatif, ainsi qu'un tableau de suivi nominatif. La clé tombe de sa poche dans le train. Elle n'est pas chiffrée.

Cette perte est une violation de données personnelles. Comme elle porte sur des données de santé d'enfants, le risque pour les personnes est élevé. Les obligations s'enchaînent alors :

• tenir cette violation dans son registre interne ;
• notifier la CNIL dans les 72 heures dès lors qu'un risque existe pour les droits des personnes ;
• informer individuellement les familles concernées si le risque est élevé, ce qui est ici le cas.

Le coût n'est pas que réglementaire. Il faut souvent solliciter un prestataire pour analyser l'incident, rédiger les notifications, gérer la communication, parfois affronter des plaintes de familles. Pour un praticien isolé, la facture d'accompagnement peut atteindre plusieurs milliers d'euros, sans compter l'atteinte à la réputation auprès des établissements partenaires.

Un mail contenant un bilan envoyé à la mauvaise adresse, une boîte de messagerie piratée par hameçonnage, un ordinateur volé non chiffré : tous ces incidents banals produisent la même cascade d'obligations.

Face à ce risque, il faut distinguer deux couvertures. La responsabilité civile professionnelle intervient si un tiers vous réclame réparation d'un préjudice : par exemple une famille qui invoque un dommage lié à la divulgation. Mais elle ne prend généralement pas en charge la mécanique de gestion de l'incident lui-même.

C'est le rôle d'une assurance cyber, qui couvre typiquement :

• l'assistance d'experts pour qualifier la violation et la contenir ;
• l'aide à la notification CNIL et à l'information des personnes ;
• les frais juridiques associés ;
• parfois une cellule de gestion de crise et de communication.

Pour un praticien qui stocke vidéos et bilans sur un ordinateur portable et une messagerie, ce filet de sécurité couvre précisément les dépenses que la RC Pro laisse de côté. En parallèle, quelques réflexes réduisent fortement le risque : chiffrer ses supports, utiliser une messagerie sécurisée, ne jamais transporter de vidéos non chiffrées, et limiter la conservation au strict nécessaire.

La meilleure assurance reste la prévention : un disque chiffré et une politique de conservation claire évitent la grande majorité des notifications CNIL.

Manipuler des données de santé n'est pas réservé aux médecins. Le musicothérapeute, par la nature même de ses notes et de ses captations, entre de plain-pied dans ce régime exigeant, et gagne à s'organiser en conséquence.