Le RGPD quand on est praticien indépendant
Le sujet fait peur, et beaucoup de ce qu'on lit à son propos est soit alarmiste, soit faux. Voici ce qui s'applique réellement quand on travaille seul, avec une poignée de fiches clients.
Suis-je concerné si je travaille seul ?
Oui. Le RGPD ne s'applique pas à partir d'une certaine taille : il s'applique dès qu'on traite des données personnelles dans un cadre professionnel. Un nom, un numéro de téléphone, une date de rendez-vous suffisent. Un praticien seul avec trente fiches est concerné exactement comme une entreprise de trois cents personnes.
Ce qui change avec la taille, ce n'est pas l'application du règlement : c'est le volume de ce qu'il faut mettre en place. Et pour une activité comme la vôtre, c'est beaucoup plus léger qu'on ne vous le laisse croire.
Faut-il tenir un registre des traitements ?
Oui, en pratique. Et c'est le point sur lequel circulent le plus d'informations trompeuses.
L'article 30.5 du règlement prévoit bien une dispense pour les organisations de moins de 250 employés. Mais elle tombe dès qu'une seule de trois conditions est remplie — elles sont alternatives, pas cumulatives : si le traitement présente un risque pour les droits des personnes, s'il n'est pas occasionnel, ou s'il porte sur les catégories particulières de l'article 9.
C'est la deuxième qui emporte tout. Un fichier clients tenu au fil des séances est, par définition, un traitement régulier — donc non occasionnel. La dispense ne vaudrait que pour une activité dont les traitements seraient strictement ponctuels, hypothèse à peu près théorique dès lors qu'on exerce vraiment.
La bonne nouvelle : le règlement n'impose que la forme écrite. Pas de logiciel obligatoire, pas de formalisme. Un tableau tenu à jour suffit, avec pour chaque traitement sa finalité, les catégories de personnes et de données concernées, les destinataires, la durée de conservation et les mesures de sécurité. Pour un praticien seul, cela tient en trois ou quatre lignes : la gestion des rendez-vous, le suivi des personnes accompagnées, la facturation, et éventuellement une liste de diffusion.
La CNIL met à disposition un modèle simplifié gratuit, parfaitement utilisable des deux côtés de la frontière puisque le texte est le même.
Mes notes de séances sont-elles des données sensibles ?
La réponse honnête : cela dépend de ce que vous notez, et personne ne peut trancher à votre place. Méfiez-vous de tout article qui affirme le contraire dans un sens ou dans l'autre.
L'article 9 du RGPD soumet à un régime renforcé certaines catégories particulières, parmi lesquelles les informations relatives à la santé. La question de savoir si les notes d'un accompagnement non conventionnel y entrent n'est pas tranchée de manière générale : elle dépend du contenu réel des notes, du contexte, et de la finalité poursuivie. Un praticien qui consigne des préférences d'accompagnement et un ressenti de séance n'est pas dans la même situation que celui qui recopie un historique de pathologies.
D'où la seule posture raisonnable : traiter ces informations avec le soin du régime le plus strict, sans pour autant vous déclarer soumis à un cadre qui n'est peut-être pas le vôtre. Concrètement : n'y consignez que ce qui vous est utile pour accompagner, protégez l'accès, et ne les partagez pas.
C'est aussi, accessoirement, la meilleure façon de tenir des notes : la sobriété protège autant qu'elle clarifie.
Faut-il désigner un DPO ?
Non, sauf cas très particulier. La désignation d'un délégué à la protection des données n'est obligatoire que dans trois situations : être un organisme public, avoir pour activité principale un suivi régulier et systématique de personnes à grande échelle, ou traiter à grande échelle des catégories particulières de données.
Un praticien indépendant avec sa patientèle n'est dans aucun de ces cas : la notion de « grande échelle » vise des volumes sans commune mesure. Si un prestataire vous vend un DPO comme une obligation légale pour votre activité, il se trompe ou vous trompe.
Combien de temps garder les informations ?
Le RGPD ne fixe aucune durée : il vous demande d'en fixer une, de la justifier et de vous y tenir. C'est déroutant, mais c'est bien le principe — les données ne doivent pas être conservées au-delà de ce qui est nécessaire à la finalité poursuivie.
En pratique, vous aurez deux régimes différents. Vos pièces comptables obéissent aux délais fiscaux et comptables, qui s'imposent à vous. Vos fiches et vos notes d'accompagnement, elles, relèvent de votre décision : choisissez une durée après la dernière séance — souvent quelques années — écrivez-la dans votre registre, et appliquez-la vraiment.
Le défaut le plus courant n'est pas de choisir la mauvaise durée : c'est de n'en avoir jamais choisi aucune et de tout garder indéfiniment.
Et mon logiciel dans tout ça ?
Votre outil est un sous-traitant au sens de l'article 28, et cela exige un contrat écrit. Vous restez responsable du traitement ; l'éditeur agit pour votre compte et selon vos instructions.
Ce document existe sous le nom d'accord de sous-traitance, ou DPA. Un éditeur sérieux le met à disposition sans que vous ayez à le demander — c'est d'ailleurs un bon test. S'il faut le réclamer, ou pire s'il n'existe pas, c'est un signal.
Deux questions valent d'être posées avant de choisir un outil : où sont hébergées les données, et sous quelle juridiction. Un hébergement soumis à des lois extra-européennes peut permettre à un tiers d'y accéder, quelles que soient les promesses commerciales. Nous détaillons notre propre choix dans vos données restent en Europe, et notre accord de sous-traitance est public : notre DPA.
Que faire en cas de fuite de données ?
Notifier l'autorité de contrôle dans les 72 heures, sauf si la violation est peu susceptible d'engendrer un risque pour les personnes. Si le risque est élevé, il faut en informer aussi les personnes concernées.
L'autorité compétente dépend de votre lieu d'établissement : l'Autorité de protection des données en Belgique, la CNIL en France. Le règlement, lui, est identique.
Une fuite, ce n'est pas seulement un piratage : un ordinateur portable volé, un classeur égaré ou un e-mail envoyé au mauvais destinataire en sont aussi. Le réflexe utile est de savoir à l'avance à qui vous vous adresseriez.
Les droits des personnes que vous accompagnez
Elles peuvent vous demander l'accès à leurs informations, leur rectification, leur effacement, ou leur récupération dans un format lisible. Vous disposez en principe d'un mois pour répondre.
Pour une activité de votre taille, ces demandes sont rares. Ce qui compte, c'est de pouvoir y répondre sans devoir reconstituer six mois de notes éparpillées — ce qui est un argument d'organisation autant que de conformité.
Ce qui suffit, concrètement
Un registre écrit de trois ou quatre lignes. Une durée de conservation décidée et notée. Une information claire aux personnes sur ce que vous conservez et pourquoi. Un accord de sous-traitance signé avec chaque outil qui héberge vos données. Un mot de passe sérieux et un écran qui se verrouille. Et le réflexe de savoir qui appeler si quelque chose fuit.
Ce n'est ni un chantier, ni une formalité vide. C'est une demi-journée une fois, puis une relecture par an — et vos personnes accompagnées y gagnent réellement quelque chose.
Si vous démarrez tout juste votre activité, le reste des démarches est réuni dans s'installer comme praticien indépendant en Belgique.
Cet article décrit le cadre général du règlement (UE) 2016/679 au 31 août 2026 et ne constitue pas un conseil juridique. Le RGPD étant un règlement européen, son texte est identique en Belgique et en France ; seules changent les autorités de contrôle. Pour une question qui engage votre responsabilité, adressez-vous à l'Autorité de protection des données, à la CNIL, ou à un conseil spécialisé.