Vos tracés EEG sont des données de santé : ce que le RGPD vous impose vraiment
Un tracé EEG révèle bien plus qu'un nom : c'est une donnée de santé. Le RGPD impose au neurothérapeute un régime renforcé que beaucoup ignorent.
- Les enregistrements EEG, bilans QEEG et notes de séance sont des données de santé : catégorie « particulière » du RGPD, régime de protection renforcé.
- Le praticien est responsable de traitement : registre, base légale, durée de conservation et sécurité technique lui incombent personnellement.
- Une fuite ou un rançongiciel sur ces données déclenche une obligation de notification à la CNIL sous 72 heures et, souvent, l'information des patients.
- L'assurance cyber finance la gestion de crise (forensic, notification, restauration) que ni la RC Pro ni votre antivirus ne prennent en charge.
Un tracé EEG n'est pas un fichier comme un autre
Quand vous enregistrez l'activité cérébrale d'un client, vous ne stockez pas qu'un nom et un rendez-vous. Vous détenez un signal physiologique qui dit quelque chose de son état neurologique, de son anxiété, parfois de troubles attentionnels ou du sommeil. Le RGPD range cela sans ambiguïté parmi les données concernant la santé (article 9), une catégorie dite « particulière ».
Le traitement de ces données est interdit par principe, sauf exception. Pour un praticien, l'exception qui s'applique est généralement le consentement explicite de la personne, ou la fourniture de soins. Conséquence pratique : un consentement noyé dans des conditions générales ne suffit pas. Il doit être spécifique, éclairé et traçable.
Une donnée de santé mal protégée n'expose pas seulement à une amende : elle expose un client à voir son état neurologique divulgué. Le préjudice est intime.
Vos obligations concrètes de responsable de traitement
En tant que praticien indépendant, vous êtes le responsable de traitement. Personne d'autre n'endosse la conformité à votre place. Vos obligations minimales :
- Tenir un registre des traitements décrivant ce que vous collectez (identité, tracés EEG, bilans), pourquoi, combien de temps et comment c'est protégé.
- Définir une durée de conservation justifiée. On ne garde pas des enregistrements EEG « pour toujours » : fixez une durée (par ex. la durée du suivi puis archivage limité) et purgez ensuite.
- Sécuriser techniquement : chiffrement des disques et sauvegardes, mots de passe robustes, accès limité, poste à jour. Le logiciel de neurofeedback stocke souvent les données en clair sur le poste : c'est un angle mort.
- Encadrer les sous-traitants : hébergeur cloud, éditeur logiciel, sauvegarde externalisée. Un hébergement de données de santé peut relever d'exigences renforcées (hébergeur agréé / certifié selon les cas).
Le manquement n'est pas théorique : la CNIL contrôle de plus en plus les professions de santé et para-santé, et les sanctions pour les indépendants, bien que proportionnées, existent.
Le scénario qui fait basculer : le rançongiciel
Imaginez un matin : votre ordinateur de cabinet affiche un message de rançon. Tous vos dossiers clients et tracés EEG sont chiffrés par un attaquant. Vous voilà face à une violation de données de santé.
Le RGPD vous impose alors :
- De notifier la CNIL sous 72 heures dès que la violation présente un risque pour les personnes.
- D'informer les clients concernés lorsque le risque est élevé — ce qui est le cas pour des données de santé.
- De documenter l'incident, même si vous ne notifiez pas.
La facture d'un tel incident pour un cabinet : expertise informatique pour comprendre la fuite, restauration des données, rédaction des notifications, parfois accompagnement juridique. Comptez vite plusieurs milliers d'euros, sans compter la rançon (qu'il est déconseillé de payer) et l'atteinte à la réputation.
Quelle assurance pour ce risque précis ?
Distinguons bien les rôles :
- La RC Pro couvre le préjudice que vous causez à un tiers dans l'exercice de votre métier. Une atteinte aux données peut, selon les contrats, y être partiellement rattachée, mais elle ne finance pas la gestion technique de la crise.
- L'assurance cyber est conçue précisément pour ce scénario : prise en charge de l'expertise forensic, des frais de notification CNIL et clients, de la restauration des données, de l'assistance juridique, et souvent d'une cellule de crise joignable en urgence.
Pour un cabinet de neurofeedback qui manipule des données de santé sur un poste connecté, l'assurance cyber n'est pas un luxe technophile : c'est la garantie qui transforme une catastrophe ingérable en incident encadré. À combiner avec une hygiène numérique de base — sauvegardes hors ligne, chiffrement, mises à jour — qui reste votre première ligne de défense et un prérequis de la plupart des contrats.
Questions fréquentes
Oui. Tout ce qui révèle l'état physiologique ou psychique d'une personne — un tracé EEG, un bilan QEEG, des notes de séance — relève des données de santé (article 9 du RGPD), une catégorie particulière soumise à un régime de protection renforcé et à un principe d'interdiction sauf consentement explicite.
La déclaration préalable a disparu avec le RGPD, mais vous devez tenir un registre des traitements et être en mesure de démontrer votre conformité. En cas de violation de données présentant un risque, vous devez notifier la CNIL sous 72 heures.
Avec prudence. Les données de santé appellent un niveau de sécurité élevé et, selon le mode d'hébergement, des exigences renforcées peuvent s'appliquer. Vérifiez le chiffrement, la localisation et le contrat de sous-traitance de votre prestataire ; privilégiez des solutions adaptées aux données de santé.
Les sanctions administratives prononcées par la CNIL ne sont généralement pas assurables en droit français. En revanche, l'assurance cyber finance la gestion de l'incident : expertise technique, notifications, restauration des données et assistance juridique, qui constituent l'essentiel du coût réel d'une violation.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Neurothérapeute (praticien neurofeedback) — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Neurothérapeute (praticien neurofeedback) →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.