Données de santé en cabinet biorésonance : vos obligations RGPD

Un praticien biorésonance ne se voit pas toujours comme un gestionnaire de données médicales. Pourtant, dès la première séance, vous collectez : antécédents, symptômes ressentis, traitements en cours, intolérances supposées, parfois des mesures issues de vos appareils. Le RGPD qualifie l'ensemble de données concernant la santé, qui appartiennent aux « catégories particulières » de l'article 9, les plus protégées du règlement.

Le fait que votre pratique soit hors champ médical ne change rien à la nature des données : c'est leur contenu qui compte, pas votre statut. Vous êtes responsable de traitement et, à ce titre, soumis à un socle d'obligations précis.

Ignorer ce cadre est d'autant plus risqué que les cabinets de bien-être sont des cibles faciles : peu équipés, souvent gérés sur des outils grand public, ils cumulent données sensibles et sécurité faible.

Une confusion fréquente mérite d'être levée : « je suis un petit cabinet, le RGPD ne s'applique pas à moi ». C'est faux. Le règlement ne prévoit aucun seuil d'effectif ni de chiffre d'affaires en dessous duquel on en serait exonéré. Un praticien indépendant qui tient un seul fichier de clients est pleinement responsable de traitement. La seule souplesse réelle concerne l'absence d'obligation, dans la plupart des cas, de désigner un délégué à la protection des données ; tout le reste du socle s'applique intégralement.

Voici la check-list minimale pour être en règle.

1. Le consentement explicite. Pour traiter des données de santé, le consentement doit être clair, spécifique et recueilli avant la collecte, idéalement par écrit. Une case pré-cochée ou un accord implicite ne suffit pas.
2. L'information. Vos clients doivent savoir quelles données vous collectez, pourquoi, combien de temps vous les conservez et comment exercer leurs droits (accès, rectification, effacement). Une mention d'information accessible suffit pour un cabinet individuel.
3. La minimisation. Ne collectez que ce qui est utile à l'accompagnement. Plus vos fiches sont sobres, plus votre exposition est faible.
4. La limitation de conservation. Fixez une durée (par exemple, le temps du suivi puis un délai d'archivage justifié) et purgez ensuite. Conserver « au cas où » indéfiniment est une faute.
5. La sécurité. Mots de passe robustes, accès restreint, sauvegardes, chiffrement quand c'est possible. C'est le point le plus souvent négligé.

Aucune de ces obligations ne nécessite un budget ou un service informatique. Elles demandent surtout de la méthode et une demi-journée de mise en place : rédiger une mention d'information, préparer un formulaire de consentement, choisir une durée de conservation et l'écrire, verrouiller l'accès à vos fichiers. Une fois ce socle posé, le maintien en conformité tient à quelques réflexes. C'est l'inertie, bien plus que la difficulté technique, qui laisse tant de cabinets exposés.

En pratique, les incidents naissent presque toujours des mêmes endroits.

Le logiciel de gestion ou le tableur

Beaucoup de praticiens gèrent leur fichier client dans un tableur synchronisé sur un cloud personnel, sans mot de passe dédié ni chiffrement. Un compte piraté, et c'est l'intégralité des fiches de santé qui fuite. Privilégiez un outil professionnel hébergeant les données de santé dans des conditions sérieuses, ou a minima un fichier chiffré et un accès protégé.

Les appareils connectés

Certains dispositifs de biorésonance ou leurs logiciels stockent des historiques de mesures liés à des clients identifiés. Vérifiez où ces données sont enregistrées, qui peut y accéder, et si elles transitent vers un serveur tiers.

Les échanges par messagerie

Envoyer un compte-rendu ou des conseils détaillés par e-mail ou messagerie non sécurisée expose les données. Limitez les informations sensibles dans ces canaux, et préférez un partage protégé par mot de passe lorsque vous devez transmettre une fiche. Méfiez-vous aussi des messageries instantanées : un échange WhatsApp évoquant les symptômes nommés d'un client identifié est, lui aussi, un traitement de données de santé hors de tout cadre sécurisé.

À ces trois points faibles s'ajoute un facteur humain souvent oublié : le matériel partagé ou perdu. Un ordinateur portable non chiffré oublié dans un train, une clé USB de sauvegarde égarée, un poste consultable par un proche au domicile où vous exercez : autant de portes ouvertes. Le chiffrement intégral du disque et un verrouillage automatique de session sont des parades simples et gratuites à ces scénarios bien réels.

La règle d'or : pour chaque donnée de santé, sachez répondre à « où est-elle stockée, qui peut la lire, combien de temps la garde-t-on ? ».

Un incident de sécurité (vol d'ordinateur, piratage, fichier envoyé au mauvais destinataire) sur des données de santé est une violation de données. Selon sa gravité, vous pouvez être tenu de la notifier à la CNIL sous 72 heures, voire d'informer les personnes concernées.

Les conséquences se cumulent :

• Volet CNIL : mise en demeure, contrôle, voire sanction financière en cas de manquement caractérisé. Les cabinets négligents sur des données sensibles sont une cible logique des contrôles.
• Volet civil : un client dont les données de santé fuitent peut vous réclamer réparation du préjudice (atteinte à la vie privée, préjudice moral).
• Volet réputationnel : dans un métier de confiance et de bouche-à-oreille, une fuite est dévastatrice.

La confidentialité des données de santé figure d'ailleurs explicitement parmi les risques propres au métier : un manquement allégué peut suffire à déclencher une réclamation, même sans fuite avérée.

La conformité RGPD réduit la probabilité d'un incident, mais ne l'annule pas : aucun cabinet n'est invulnérable. C'est là qu'intervient l'assurance, en deux temps.

D'abord, votre RC Pro couvre les dommages immatériels imputés à votre pratique, ce qui peut inclure, selon le contrat, la mise en cause d'un client pour un manquement allégué à la confidentialité, ainsi que votre défense.

Ensuite, si vous manipulez beaucoup de données numériques ou utilisez des appareils connectés et des logiciels en ligne, une assurance cyber apporte un étage spécialisé : prise en charge de la gestion de crise après un piratage, frais de notification, restauration des données, voire pertes d'exploitation. Pour un cabinet dont toute l'activité repose sur des fiches sensibles, c'est une protection à étudier sérieusement.

Concrètement, le bon ordre d'action est le suivant. Commencez par la conformité, car c'est gratuit et cela réduit la fréquence des incidents : c'est le socle. Souscrivez ensuite une RC Pro qui mentionne clairement la prise en charge des mises en cause liées à la confidentialité. Enfin, si la part numérique de votre activité est importante, ajoutez le volet cyber pour absorber le coût d'une crise que la conformité seule ne peut pas éliminer.

Conformité, RC Pro et, le cas échéant, cyber : trois étages qui transforment une vulnérabilité structurelle en risque maîtrisé. Pour un cabinet dont la matière première est la confiance, protéger les données de ses clients n'est pas une contrainte administrative de plus, c'est le prolongement direct du soin que vous leur portez en séance.