Votre carnet de clients est un fichier de santé : ce que le RGPD exige vraiment

Quand une nouvelle cliente s'installe, vous remplissez une fiche. Vous y notez, en toute logique professionnelle : une grossesse en cours, un diabète, une phlébite passée, un traitement anticoagulant, des douleurs chroniques, parfois une dépression évoquée à demi-mot. Ces informations sont indispensables à une pratique prudente — elles vous évitent justement les contre-indications.

Mais aux yeux du droit, vous venez de constituer un fichier de données de santé. Or le Règlement général sur la protection des données (RGPD) classe les données de santé dans les « catégories particulières de données » de son article 9 : la protection la plus élevée du dispositif européen.

Peu importe le support. Un cahier papier, un tableur sur votre ordinateur portable, des notes dans une application de prise de rendez-vous : dès qu'il y a traitement structuré de données de santé identifiables, le RGPD s'applique pleinement.

Beaucoup de praticiens du bien-être croient ces règles réservées aux hôpitaux et aux laboratoires. C'est faux. Le statut d'indépendant ou la taille modeste de l'activité n'exonèrent de rien. La seule question qui compte est : traitez-vous des données de santé ? Pour un réflexologue, la réponse est presque toujours oui.

Concrètement, traiter des données de santé impose un socle d'obligations. Voici les quatre principales, traduites pour un cabinet de réflexologie :

• Le consentement explicite. Pour les données de santé, le consentement doit être clair, spécifique et tracé. Une mention sur votre fiche d'accueil — « J'autorise la conservation de ces informations de santé à des fins de suivi de mes séances » — avec case à cocher et date, constitue une base solide.
• Le registre des traitements. Même un cabinet d'une personne doit tenir un document décrivant quelles données sont collectées, pourquoi, où elles sont stockées et combien de temps elles sont conservées. La CNIL fournit un modèle simplifié gratuit.
• La limitation de conservation. Vous ne pouvez pas garder les fiches indéfiniment. Une durée raisonnable (par exemple, le temps de la relation client plus une période d'archivage définie) doit être fixée et respectée.
• La sécurité. Mot de passe sur l'ordinateur, sauvegarde chiffrée, armoire fermant à clé pour le papier, pas de fiches santé envoyées en clair par e-mail ou messagerie non sécurisée.

Aucune de ces obligations n'exige un budget important. Elles exigent surtout de la rigueur. Et leur absence se paie cher le jour où un client se plaint ou, pire, où les données s'échappent.

Imaginons. Votre ordinateur portable, sur lequel est stocké le tableur de vos 400 fiches clients, est volé dans votre voiture. Ou votre boîte mail, qui contient des échanges nominatifs sur des problèmes de santé, est piratée par hameçonnage. Vous êtes désormais face à une violation de données personnelles.

Le RGPD impose alors une chaîne d'obligations :

• Notifier la CNIL sous 72 heures si la violation présente un risque pour les personnes concernées — ce qui est presque toujours le cas avec des données de santé.
• Informer les clients concernés lorsque le risque pour leurs droits est élevé.
• Documenter l'incident et les mesures prises, que vous notifiiez ou non.

Le coût d'un tel incident n'est pas qu'une amende potentielle de la CNIL. Il y a l'analyse technique pour comprendre l'étendue de la fuite, l'accompagnement juridique pour la notification, les frais de communication auprès des clients, et le risque réputationnel — dévastateur pour une activité fondée sur la confiance et le bouche-à-oreille. Une réclamation d'un client estimant son préjudice moral engagé est également possible.

La RC Pro classique ne couvre pas ces frais. Elle indemnise un dommage corporel ou matériel causé à un tiers, pas la gestion d'une violation de données informatiques.

C'est précisément le rôle d'une assurance cyber : prendre en charge la gestion de crise (experts techniques, juristes, notification), les éventuelles réclamations de clients et, selon les contrats, l'assistance face à un contrôle de la CNIL.

La bonne nouvelle : un cabinet de réflexologie peut atteindre un niveau de conformité satisfaisant avec quelques heures de travail et un budget quasi nul. Voici une feuille de route réaliste.

• Rédigez une mention d'information. Un court paragraphe sur votre fiche d'accueil expliquant quelles données vous collectez, pourquoi, combien de temps vous les gardez et comment le client peut les consulter ou les faire effacer.
• Ajoutez une case de consentement spécifique aux données de santé, datée et signée.
• Constituez votre registre à partir du modèle CNIL. Une page suffit pour un cabinet individuel.
• Sécurisez vos supports. Mot de passe robuste, chiffrement du disque, sauvegarde séparée, armoire verrouillée pour le papier.
• Bannissez l'envoi de données santé par messagerie ordinaire. Si vous devez transmettre une fiche, utilisez un canal sécurisé.

Au-delà de la conformité, équiper son cabinet de matériel informatique fiable et protégé fait partie de l'hygiène de base — et ce matériel lui-même peut être couvert par une assurance dédiée en cas de vol ou de panne. Mais la protection technique du poste ne dispense jamais de la protection juridique et financière contre la fuite de données. Les deux logiques sont complémentaires.

Le RGPD n'est pas une lubie administrative : c'est la contrepartie normale du privilège que vos clients vous accordent en vous confiant leur intimité de santé. Le respecter, c'est aussi protéger la réputation sur laquelle repose toute votre activité.