Vos fiches clients Tui Na sont des données de santé : le piège RGPD

La plupart des praticiens Tui Na pensent le RGPD réservé aux grandes entreprises et aux sites de e-commerce. C'est une erreur de catégorie. Dès que vous notez quelque part qu'un client souffre du dos, prend des anticoagulants ou suit un traitement, vous traitez une donnée de santé.

L'article 9 du RGPD classe les données de santé parmi les catégories particulières de données, dites « sensibles », au même titre que les données génétiques ou biométriques. Leur traitement est en principe interdit, sauf exception encadrée — et il est soumis à un niveau de protection nettement supérieur à une simple liste de noms et de numéros de téléphone. La logique du législateur est simple : une adresse mail qui fuit est un désagrément, l'historique des fragilités physiques d'une personne qui fuite est une atteinte à son intimité.

Concrètement, sont des données de santé dans votre activité : le questionnaire de santé signé, vos notes sur les zones douloureuses, la mention d'une grossesse, d'un traitement, d'une opération récente, mais aussi tout échange de mail ou de message où un client vous confie un problème physique avant une séance. Le support importe peu : carnet manuscrit, fichier tableur, application de prise de rendez-vous ou messagerie, tout relève du même régime.

Or, paradoxe du métier : pour vous protéger contre le risque de sinistre corporel, vous êtes incité à conserver des questionnaires de santé signés (voir notre article sur l'aggravation de pathologie). Vous accumulez donc, par prudence professionnelle, un stock de données parmi les plus protégées par la loi. Les deux obligations ne s'opposent pas, mais elles doivent être conciliées avec rigueur.

Bonne nouvelle : le RGPD est proportionné. On n'attend pas d'un praticien indépendant les moyens d'une multinationale. Mais quelques obligations sont incontournables, quelle que soit la taille de votre activité :

• La minimisation. Ne collectez que ce qui est utile à la sécurité de la séance. Inutile de noter des informations de santé sans lien avec votre pratique.
• L'information du client. Il doit savoir quelles données vous collectez, pourquoi, combien de temps vous les gardez et comment exercer ses droits (accès, rectification, effacement).
• La durée de conservation limitée. Vous conservez les questionnaires aussi longtemps que nécessaire à votre défense (la prescription en responsabilité guide cette durée), puis vous les détruisez.
• La sécurité. Les fichiers numériques doivent être protégés (poste verrouillé par mot de passe, sauvegarde, accès restreint) ; les documents papier rangés sous clé.
• La tenue d'un registre des traitements, document simple décrivant les données que vous traitez et leurs finalités.

Ces obligations ne nécessitent ni budget important ni logiciel coûteux. Elles relèvent surtout de bonnes habitudes et d'un peu de formalisation.

Le risque devient concret le jour où ces données vous échappent. Trois situations très banales suffisent :

• Votre ordinateur portable, contenant le fichier de vos clients, est volé dans votre cabinet ou votre voiture.
• Votre boîte mail, où transitent des questionnaires de santé scannés, est piratée par hameçonnage.
• Un rançongiciel chiffre vos fichiers et un cybercriminel menace de divulguer les antécédents médicaux de vos clients.

Dès lors qu'il y a violation de données personnelles susceptible d'engendrer un risque pour les personnes, le RGPD vous impose de notifier la CNIL dans un délai de 72 heures. S'agissant de données de santé, le risque est presque toujours considéré comme élevé, ce qui peut vous obliger à informer également chaque client concerné.

Annoncer à votre clientèle que ses antécédents médicaux ont fuité, c'est le genre d'événement qui détruit en une semaine une réputation construite en dix ans.

À l'enjeu réglementaire et financier s'ajoute donc un enjeu de confiance, vital pour une activité qui repose entièrement sur le bouche-à-oreille et l'intimité de la relation.

Beaucoup de praticiens supposent que leur RC Pro couvre tout. Pour vos gestes et vos manipulations, elle est en effet la garantie centrale. Mais elle n'est pas conçue pour gérer une violation de données : ni l'expertise informatique, ni la notification CNIL, ni la communication de crise, ni la restauration de vos fichiers.

C'est le rôle d'une assurance cyber. En cas d'incident, elle prend généralement en charge :

• L'expertise technique pour identifier l'origine de la faille et y mettre fin ;
• L'assistance juridique pour gérer la notification à la CNIL et l'information des clients ;
• La gestion de crise et de réputation, pour communiquer correctement auprès de votre clientèle ;
• La restauration des données et des systèmes, voire les pertes d'exploitation pendant l'interruption.

Pour un cabinet individuel, l'enjeu n'est pas l'amende théorique de la CNIL — rarement prononcée contre un petit acteur de bonne foi — mais le coût réel de la gestion d'un incident et la préservation du lien de confiance avec vos clients. Découvrez les couvertures pensées pour votre activité sur notre page assurance praticien Tui Na.

La conformité RGPD d'un praticien Tui Na n'est pas un chantier de plusieurs mois. Voici un plan d'action réaliste :

1. Recensez où sont vos données. Carnet papier, fichier Excel, boîte mail, application de prise de rendez-vous : faites l'inventaire.
2. Sécurisez chaque support. Mot de passe robuste sur les appareils, sauvegarde régulière, armoire fermant à clé pour le papier, mises à jour à jour.
3. Rédigez une note d'information clients simple, affichée ou remise avec le questionnaire de santé.
4. Fixez une durée de conservation cohérente avec vos besoins de défense, et programmez une purge régulière des dossiers trop anciens.
5. Tenez un registre des traitements, même minimal : la CNIL propose des modèles gratuits adaptés aux petites structures.
6. Souscrivez une assurance cyber pour ne pas affronter seul une violation de données.

Protéger les données de santé de vos clients, c'est prolonger la confiance qu'ils vous accordent en s'allongeant sur votre table. C'est aussi, désormais, une obligation légale dont nul ne s'exonère par sa petite taille.