RGPD en cabinet d'hypnose : les obligations réelles

RGPD en cabinet d’hypnose: les obligations réelles

Ces chiffres ne concernent pas uniquement les grandes structures numériques. Ils signalent un changement de méthode: les contrôles ciblent désormais aussi la présence en ligne des professionnels indépendants.

Un cabinet d’hypnose n’est donc pas dispensé de conformité parce qu’il fonctionne seul, reçoit sur rendez-vous et ne relève pas du Code de la santé publique. Dès lors qu’il recueille des informations sur l’état psychique, le sommeil, les addictions, les douleurs ou les antécédents d’une personne, il entre dans le champ du RGPD. Le sujet n’est pas théorique. Il concerne les formulaires du site, les notes de séance, l’agenda, la facturation, la messagerie et le stockage informatique.

La question des obligations RGPD en cabinet d’hypnose doit être traitée à partir d’un point précis: le statut du praticien ne réduit pas la sensibilité des données collectées.

Pourquoi le statut de l’hypnothérapeute impose-t-il un consentement explicite?

Le RGPD distingue les données ordinaires des catégories particulières de données. Les informations relatives à la santé appartiennent à cette seconde catégorie. Elles bénéficient d’un niveau de protection renforcé, car elles peuvent révéler une vulnérabilité, une pathologie, une dépendance, un traitement ou une situation personnelle.

L’hypnothérapeute n’est pas, en France, un professionnel de santé réglementé au sens du Code de la santé publique. Il ne bénéficie donc pas automatiquement de la base juridique réservée aux professionnels qui prennent en charge des patients dans le cadre de la prévention, du diagnostic ou des soins. Cette distinction produit un effet pratique: lorsqu’il collecte et traite des données de santé, il doit obtenir le consentement explicite de la personne.

Le consentement explicite n’est pas une case générique intitulée « J’accepte les conditions générales ». Il doit porter sur un traitement identifié. La personne doit comprendre:

• quelles informations sont recueillies;
• pourquoi elles sont nécessaires à l’accompagnement;
• qui peut y accéder;
• combien de temps elles seront conservées;
• comment elle peut retirer son consentement;
• quelles conséquences peut avoir un refus.

Un formulaire d’anamnèse peut ainsi prévoir une rubrique distincte pour les informations utiles à la séance. La formulation doit rester directe. Elle ne doit pas mélanger l’accord pour le traitement des données avec l’inscription à une lettre d’information, l’acceptation de publicités ou l’utilisation de photographies.

Le retrait du consentement doit être aussi simple que son expression. Si le consentement est recueilli par écrit, le dossier doit conserver une trace de la date, du contenu de l’information fournie et de la réponse du client. Un consentement oral peut être difficile à démontrer. Dans une activité libérale, cette faiblesse documentaire est inutilement risquée.

Le statut de bien-être ne transforme pas une donnée de santé en donnée banale. Le niveau de protection dépend de l’information recueillie, pas de l’étiquette commerciale du cabinet.

Il faut cependant distinguer les données de santé des informations strictement organisationnelles. Un créneau de rendez-vous, une adresse de facturation ou une demande de déplacement ne constitue pas, à lui seul, une donnée médicale. La qualification dépend du contenu réel de la note et du contexte de collecte. Une phrase indiquant qu’une personne souffre d’insomnies chroniques ou suit un traitement anxiolytique n’a pas le même statut qu’une simple mention « rendez-vous déplacé ».

Cette distinction ne justifie pas une collecte extensive. Au contraire. La minimisation des données reste le principe directeur. Une séance d’hypnose ne nécessite pas systématiquement le détail d’un diagnostic médical, la copie d’une ordonnance ou l’historique complet d’une hospitalisation. Si une information n’est pas utile à l’accompagnement proposé, elle ne devrait pas être demandée.

Quelles données un cabinet d’hypnose traite-t-il réellement?

Le traitement ne se limite pas à la fiche remplie en début de parcours. Le cabinet produit et conserve plusieurs catégories d’informations, parfois sans les identifier comme des données personnelles.

Les données recueillies directement

Elles comprennent généralement:

• l’identité et les coordonnées;
• l’âge, lorsque cette information est pertinente;
• les motifs de consultation;
• les habitudes de sommeil;
• les consommations de substances;
• les antécédents ou traitements mentionnés par le client;
• les objectifs formulés pendant l’accompagnement;
• les notes prises après les séances;
• les échanges par courriel ou messagerie instantanée.

Les notes cliniques ou assimilées posent une difficulté particulière. Elles peuvent contenir des observations utiles au suivi, mais aussi des interprétations subjectives, des informations concernant des tiers ou des éléments sans rapport direct avec la prestation. Une note professionnelle doit rester factuelle, proportionnée et compréhensible par son auteur plusieurs mois plus tard.

Écrire « séance centrée sur une difficulté d’endormissement, exercices de respiration proposés » ne produit pas le même risque que consigner une hypothèse diagnostique ou une appréciation générale sur la personnalité du client. Le vocabulaire n’est pas neutre. Il peut modifier la nature perçue du service et exposer le professionnel à un problème de qualification.

Les données produites par les outils numériques

Un cabinet utilise souvent plusieurs services:

• logiciel de prise de rendez-vous;
• agenda partagé;
• outil de téléconsultation;
• messagerie électronique;
• stockage en nuage;
• logiciel de facturation;
• formulaire de contact;
• outil statistique installé sur le site;
• solution d’envoi de courriels.

Chacun de ces outils peut constituer un traitement distinct. Le fait de déléguer la fonction à un prestataire ne transfère pas la responsabilité. Le praticien reste responsable de la sélection du service, de la configuration des accès et de l’information donnée aux clients.

Une messagerie personnelle utilisée pour recevoir des récits de séance n’offre pas nécessairement un niveau de protection adapté. Un document contenant des informations de santé envoyé en pièce jointe, conservé automatiquement dans plusieurs boîtes ou synchronisé sur un téléphone non protégé multiplie les points de fuite. La sécurité ne se résume pas à choisir un mot de passe complexe.

Pourquoi un registre des activités de traitement est-il nécessaire?

Le RGPD prévoit une dispense limitée pour certaines structures de moins de 250 salariés. Cette dispense ne s’applique pas lorsque le traitement n’est pas occasionnel ou porte sur des données sensibles. Un hypnothérapeute qui recueille régulièrement des informations de santé dans le cadre de son activité ne peut donc pas se considérer automatiquement exempté.

Le registre des activités de traitement est un document de pilotage. Il ne s’agit pas d’un formulaire administratif destiné à rester dans un dossier. Il doit permettre de répondre à une question simple: quelles données sont traitées, pour quelle finalité, avec quels outils et pendant combien de temps?

Pour un cabinet individuel, le registre peut rester concis. Il doit néanmoins décrire les traitements principaux. Une structure claire peut comporter les rubriques suivantes:

Ce tableau ne remplace pas une analyse juridique complète. Il oblige cependant à distinguer les finalités. Les données nécessaires au rendez-vous ne doivent pas être utilisées automatiquement pour une campagne commerciale. Les informations recueillies pour le suivi ne doivent pas être réinjectées dans un outil d’analyse d’audience.

Le registre doit également identifier les sous-traitants. Le logiciel de gestion, la plateforme de visioconférence, l’hébergeur du site et le prestataire de sauvegarde n’ont pas tous le même rôle ni les mêmes garanties. Les contrats doivent préciser leurs obligations en matière de sécurité, de confidentialité et de notification des violations.

Quand l’hébergement HDS devient-il un point critique?

Les données de santé stockées chez un tiers doivent bénéficier d’un niveau de protection compatible avec leur sensibilité. Lorsqu’un logiciel de gestion ou un service infonuagique héberge ces informations, le prestataire doit s’appuyer sur un hébergement certifié HDS lorsque le dispositif relève de ce cadre.

Le sujet se pose notamment avec:

• les dossiers numériques;
• les comptes rendus de séance;
• les formulaires médicaux ou paramédicaux transmis par le client;
• les fichiers de suivi contenant des symptômes ou traitements;
• les enregistrements audio ou vidéo d’une téléconsultation;
• les sauvegardes automatiques d’un logiciel de cabinet.

Un espace de stockage grand public peut être pratique. Il n’est pas automatiquement adapté à la conservation de données de santé. La localisation des serveurs, les conditions d’accès, le chiffrement, la gestion des sauvegardes et les engagements du fournisseur doivent être documentés.

La certification HDS ne dispense pas le praticien de paramétrer correctement le service. Un compte partagé entre plusieurs personnes, une absence d’authentification à deux facteurs ou une sauvegarde accessible depuis un ordinateur familial réduisent fortement la sécurité réelle. Le maillon faible est souvent l’usage quotidien, pas l’infrastructure annoncée par le fournisseur.

La téléconsultation ajoute une autre couche de traitement. Le praticien doit éviter les plateformes conçues pour un usage social ou généraliste lorsque celles-ci ne permettent pas de contrôler les accès et la conservation des échanges. Il doit aussi préciser au client ce qui est enregistré, ce qui ne l’est pas et quelles données restent stockées après la séance.

Une politique de sécurité raisonnable comprend au minimum:

1. un compte distinct pour l’activité professionnelle;

2. une authentification forte sur les services sensibles;

3. des droits d’accès limités au strict nécessaire;

4. des appareils protégés par un verrouillage automatique;

5. des mises à jour régulières;

6. des sauvegardes chiffrées et testées;

7. une procédure en cas de perte d’ordinateur, de piratage ou d’envoi au mauvais destinataire;

8. une suppression effective des fichiers arrivés au terme de leur durée de conservation.

La sécurité des données des clients ne se réduit pas à un certificat affiché sur le site. Elle se mesure à la capacité du cabinet à empêcher un accès indu et à réagir rapidement lorsqu’un incident survient.

Combien de temps conserver les dossiers d’un client?

L’hypnothérapeute non-médecin ne bénéficie pas de la durée de conservation applicable aux dossiers médicaux réglementés. Le délai de 20 ans, souvent cité dans le domaine sanitaire, ne doit pas être transposé automatiquement à un cabinet d’hypnose.

Pour les praticiens du bien-être, une durée de 3 à 5 ans après le dernier contact constitue une référence opérationnelle couramment retenue. Elle doit être cohérente avec la finalité poursuivie. Conserver indéfiniment des notes de séance parce qu’un logiciel le permet n’est pas une politique de conservation.

Il faut séparer plusieurs catégories:

• les données utiles à la relation en cours;
• les informations nécessaires à la facturation;
• les échanges liés à une demande de contact;
• les notes de suivi;
• les éléments conservés pour établir la preuve d’une prestation ou répondre à un différend.

La suppression doit être réelle. Déplacer un fichier dans une corbeille, le retirer de l’interface principale ou le rendre invisible au praticien ne suffit pas si des copies persistent dans des sauvegardes non maîtrisées. Les logiciels doivent être configurés pour appliquer une durée de conservation définie. À défaut, le professionnel doit tenir une procédure manuelle.

Le client dispose de droits sur ses données. Il peut demander l’accès aux informations le concernant, leur rectification, leur effacement, la limitation du traitement, leur portabilité dans les cas prévus et, selon la base juridique utilisée, s’opposer à certains traitements.

La réponse doit être structurée. Le praticien doit vérifier l’identité du demandeur sans recueillir de nouvelles informations excessives, identifier les données concernées et répondre dans le délai réglementaire applicable. Une demande d’effacement peut toutefois rencontrer une limite si certaines données doivent être conservées pour satisfaire une obligation légale ou établir un droit.

La politique de confidentialité doit expliquer ces droits dans une langue compréhensible. Elle doit être accessible sur le site internet et affichée au cabinet. Une mention enterrée dans une page juridique, rédigée dans un vocabulaire incompréhensible, ne remplit pas correctement sa fonction d’information.

Que doit dire un site d’hypnothérapie sans franchir la ligne réglementaire?

Le RGPD ne constitue pas le seul risque numérique. Le contenu commercial du site relève également du contrôle de la DGCCRF. L’hypnothérapeute doit décrire son activité sans s’attribuer une compétence médicale qu’il ne possède pas.

Certains termes sont particulièrement sensibles: « patient », « diagnostic », « traitement », « guérison ». Utilisés dans un contexte médical, ils peuvent laisser croire que le praticien exerce une profession de santé ou qu’il garantit un résultat thérapeutique. Cette présentation peut être qualifiée de pratique commerciale trompeuse ou contribuer à caractériser un exercice illégal de la médecine.

Le problème ne tient pas uniquement à un mot isolé. Il concerne l’ensemble du discours. Une page qui promet de « guérir la dépression en trois séances », présente l’hypnose comme un remplacement des soins médicaux et affiche des témoignages de guérison cumule plusieurs facteurs de risque. Une formulation plus rigoureuse décrit une démarche d’accompagnement, ses limites et les situations nécessitant l’avis d’un professionnel de santé.

Le site doit présenter clairement:

• l’identité et les coordonnées du praticien;
• son statut professionnel réel;
• ses conditions tarifaires;
• les modalités d’annulation et de paiement;
• les mentions légales;
• la politique de confidentialité;
• les finalités des formulaires;
• la gestion des cookies et des traceurs;
• les limites de l’accompagnement proposé.

Le seuil de 25 euros constitue un repère pratique pour la remise obligatoire d’une note ou d’une facture dans le cadre d’une prestation de service. Le document doit permettre d’identifier la prestation, sa date et son montant. Il ne doit pas reprendre un vocabulaire médical qui modifierait artificiellement la nature de l’activité.

Les cookies nécessitent une attention spécifique. Un bandeau qui indique simplement « En poursuivant votre navigation, vous acceptez les cookies » ne recueille pas un consentement valable pour les traceurs qui ne sont pas strictement nécessaires. Le refus doit être aussi accessible que l’acceptation. Les outils de mesure d’audience, les vidéos intégrées et les boutons de réseaux sociaux peuvent déposer des traceurs avant même qu’un visiteur ait choisi.

La CNIL effectue des contrôles automatisés sur les sites professionnels. Le site d’un cabinet n’est pas trop petit pour être observé. Une page de confidentialité absente, un formulaire sans information, un bandeau de cookies mal configuré ou une collecte excessive laissent des traces techniques faciles à repérer.

La conformité ne se prouve pas par une page juridique copiée. Elle se vérifie dans le parcours concret du client, du premier formulaire à la suppression du dossier.

Comment organiser une conformité proportionnée dans un cabinet individuel?

Un cabinet seul ne dispose ni d’un service juridique ni d’un délégué à la protection des données à temps plein. Cela ne justifie pas l’improvisation. La conformité peut être organisée par étapes, avec des documents courts et une configuration cohérente des outils.

Une méthode efficace consiste à commencer par le parcours réel d’un client:

1. Le premier contact.

Identifier les données demandées par téléphone, par courriel et via le formulaire en ligne. Supprimer les champs qui ne servent pas à répondre à la demande.

2. La prise de rendez-vous.

Vérifier quelles informations le logiciel conserve, où elles sont hébergées et quels collaborateurs ou prestataires peuvent les consulter.

3. Le recueil d’informations avant la séance.

Séparer les données administratives des informations relatives à la santé. Présenter une information claire et recueillir le consentement explicite lorsque le traitement le requiert.

4. La rédaction des notes.

Limiter les observations à ce qui est utile au suivi. Écarter les diagnostics, les jugements de valeur et les détails sans lien avec l’accompagnement.

5. Le stockage.

Utiliser un service adapté aux données traitées. Contrôler les accès, activer l’authentification forte et éviter les comptes partagés.

6. La facturation.

Conserver les pièces nécessaires dans un espace séparé du suivi. Les obligations comptables et la conservation des notes de séance ne répondent pas à la même finalité.

7. La fin de relation.

Inscrire une date de dernier contact. Prévoir la suppression ou l’archivage limité des données après 3 à 5 ans, selon la politique retenue et les obligations applicables.

8. L’incident.

Documenter la conduite à tenir en cas de vol de téléphone, de hameçonnage, de piratage ou d’envoi erroné. Une réaction rapide réduit l’ampleur de la violation.

Cette organisation doit être réévaluée lorsqu’un nouvel outil est introduit. Ajouter une téléconsultation, un logiciel de gestion ou une campagne de courriels modifie le registre et les informations à fournir. Le cabinet ne reste pas conforme par inertie.

La supervision professionnelle peut aussi intégrer une dimension numérique. Une analyse de pratique ne porte pas seulement sur la relation thérapeute-client ou la conduite d’une séance. Elle peut examiner la manière dont sont rédigées les notes, les informations demandées avant un rendez-vous et les limites de confidentialité annoncées au client.

Ce que le praticien doit retenir

Le RGPD appliqué à l’hypnose repose sur une logique simple. Le praticien collecte des données personnelles. Certaines peuvent être des données de santé. Le traitement devient alors sensible, même si la prestation est présentée comme une démarche de bien-être.

Le cabinet doit donc:

• qualifier les informations recueillies sans tout considérer indistinctement comme médical;
• recueillir un consentement explicite lorsque des données de santé sont traitées sur cette base;
• tenir un registre des activités de traitement;
• choisir des prestataires capables d’assurer une sécurité adaptée, avec un hébergement HDS lorsque le stockage de données de santé chez un tiers l’exige;
• informer les clients de leurs droits;
• limiter la conservation des dossiers, généralement à 3 ou 5 ans après le dernier contact pour les données de suivi;
• distinguer les dossiers de séance des pièces comptables;
• sécuriser les appareils, les accès et les sauvegardes;
• contrôler les cookies et les formulaires du site;
• employer un vocabulaire compatible avec le statut réel du praticien.

La conformité RGPD n’est pas une opération cosmétique destinée à rassurer les visiteurs. C’est une discipline documentaire et technique. Elle protège les personnes accompagnées, clarifie les limites professionnelles et réduit l’exposition du cabinet aux contrôles de la CNIL et de la DGCCRF.

Dans une profession où la confiance constitue une partie du cadre de travail, la précision n’est pas un supplément. C’est la méthode.