Mentions légales et RGPD : ce qui est vraiment obligatoire sur un site de thérapeute

La conformité d'un site de thérapeute se joue sur deux textes distincts, que l'on confond presque toujours : la LCEN, qui impose d'afficher qui vous êtes, et le RGPD, qui encadre ce que vous faites des données que vous collectez. Le premier se règle en une page. Le second demande quelques décisions, parce qu'un praticien manipule des données de santé : la catégorie la plus protégée du règlement. Voici ce qui est réellement obligatoire, ce qui ne l'est pas, et les quelques pièges propres à ce métier.

Cet article est un guide de vulgarisation, pas un conseil juridique. Pour une situation particulière, référez-vous aux fiches pratiques de la CNIL ou consultez un professionnel du droit.

Deux obligations qui n'ont rien à voir

Les mentions légales relèvent de la loi pour la confiance dans l'économie numérique (LCEN, article 6-III). Elles répondent à une seule question : qui édite ce site, et comment le joindre ? Elles sont obligatoires même si votre site ne vend rien, même s'il ne contient qu'une page de présentation et un numéro de téléphone.

Le RGPD, lui, s'applique dès que vous collectez la moindre donnée personnelle : un formulaire de contact, une inscription à une lettre d'information, un outil de statistiques. Il ne s'agit plus de dire qui vous êtes, mais d'expliquer ce que vous faites des informations que l'on vous confie, et de pouvoir le prouver.

Un site peut donc être parfaitement en règle sur le premier point et totalement hors des clous sur le second. C'est le cas le plus fréquent.

Les mentions légales : le bloc à produire

Une page accessible depuis toutes les pages du site, généralement en pied de page, intitulée « Mentions légales ». Elle doit contenir :

Cette dernière ligne est celle que les générateurs automatiques de mentions légales oublient systématiquement. Selon votre profession, un numéro RPPS ou ADELI peut devoir y figurer : les règles ont évolué ces dernières années et ne s'appliquent pas de la même façon à toutes les professions. Vérifiez ce qui vaut pour la vôtre plutôt que de recopier le site d'un confrère.

Le problème de l'adresse quand vous exercez chez vous

Beaucoup de praticiens débutent à domicile et découvrent que la loi leur demande de publier une adresse. Il n'existe pas de dérogation « vie privée » à cette obligation, mais il existe des solutions : une société de domiciliation, l'adresse d'un cabinet partagé ou d'un espace de coworking où vous consultez, ou encore une adresse d'entreprise distincte de votre domicile personnel.

Publier son adresse personnelle sur un site public expose davantage qu'on ne l'imagine, en particulier dans un métier où l'on reçoit seul. Le coût d'une domiciliation est faible au regard de ce qu'il protège.

RGPD : pourquoi votre site n'est pas une vitrine comme une autre

Le RGPD distingue les données personnelles ordinaires et les catégories particulières définies à son article 9, parmi lesquelles figurent les données concernant la santé. Ces dernières sont en principe interdites de traitement, sauf exceptions encadrées : dont la prise en charge par un professionnel soumis au secret professionnel.

Le point que presque personne n'anticipe : le contexte suffit à créer une donnée de santé. Le simple fait qu'une personne identifiable ait pris rendez-vous chez un praticien renseigne déjà sur sa situation. Vous n'avez pas besoin d'un dossier médical pour tomber dans le champ de l'article 9.

Le formulaire de contact : une règle simple

Un formulaire qui demande le nom, l'email, éventuellement le téléphone, et un champ libre « votre message », reste gérable. Un formulaire qui demande explicitement le motif de consultation, les symptômes ou les antécédents fait entrer des données de santé dans votre boîte mail, c'est-à-dire souvent chez un fournisseur de messagerie grand public, sans chiffrement de bout en bout.

La recommandation concrète : limitez le formulaire au strict nécessaire pour rappeler la personne, et laissez le motif se dire au téléphone ou en consultation. C'est plus simple juridiquement, et c'est aussi plus confortable pour le patient, qui n'a pas toujours envie d'écrire ce qui l'amène.

Quelques principes s'appliquent en plus : ne collectez que ce qui vous sert réellement, n'utilisez pas les adresses reçues pour envoyer une lettre d'information sans accord distinct et non précoché, et définissez une durée au-delà de laquelle vous supprimez les messages traités.

La politique de confidentialité : ce qu'elle doit dire

C'est une page distincte des mentions légales, même si beaucoup de sites les fusionnent. Elle matérialise l'obligation d'information de l'article 13 du RGPD et doit indiquer :

• qui est responsable du traitement (vous, avec vos coordonnées) ;
• quelles données sont collectées, et par quel biais ;
• pourquoi elles le sont : répondre à une demande de rendez-vous, par exemple ;
• sur quelle base légale : consentement, mesures précontractuelles, obligation légale ;
• qui d'autre y a accès : hébergeur, logiciel d'agenda, service de messagerie ;
• combien de temps elles sont conservées ;
• comment exercer ses droits d'accès, de rectification, d'effacement et d'opposition, et la possibilité de réclamer auprès de la CNIL.

Sur les durées de conservation, résistez à la tentation de recopier un chiffre trouvé en ligne. Les durées varient selon la nature des données et selon votre profession : fixez une durée que vous savez justifier, et tenez-vous-y.

Le registre des traitements : oui, il vous concerne

Beaucoup de praticiens s'en croient dispensés parce qu'ils travaillent seuls. L'article 30 du RGPD prévoit effectivement un allègement pour les organismes de moins de 250 personnes, mais ce même article écarte expressément cet allègement lorsque le traitement porte sur des catégories particulières de données. Autrement dit : dès lors que vous traitez des données de santé, le registre s'applique.

Ce n'est pas un monument. Un tableau qui liste chaque traitement (prise de rendez-vous, dossiers de suivi, facturation, formulaire du site), sa finalité, les données concernées, qui y a accès, la durée de conservation et les mesures de sécurité suffit. La CNIL publie un modèle simplifié destiné aux petites structures.

En revanche, deux obligations souvent redoutées ne vous concernent probablement pas. La désignation d'un délégué à la protection des données n'est imposée que lorsque le traitement de données sensibles se fait à grande échelle : l'exercice individuel n'entre pas dans cette catégorie. De même, l'analyse d'impact vise les traitements à grande échelle, et la CNIL publie la liste des traitements qui en sont dispensés. Consultez cette liste plutôt que de partir du principe que vous êtes concerné.

Cookies : le meilleur bandeau est celui dont vous n'avez pas besoin

Le consentement n'est requis que pour les traceurs non essentiels au fonctionnement du site. Un site vitrine sans outil de statistiques, sans carte Google Maps intégrée, sans vidéo YouTube embarquée et sans pixel de réseau social ne dépose aucun traceur de ce type : il n'a besoin d'aucun bandeau.

C'est une option réelle, et souvent la meilleure pour un cabinet. Elle suppose des choix techniques dès la conception : héberger ses polices de caractères plutôt que de les charger depuis un serveur tiers, remplacer la carte intégrée par une adresse et un lien, héberger ou lier les vidéos plutôt que de les incruster.

Si vous voulez mesurer votre audience, sachez que la CNIL admet une exemption de consentement pour les solutions de mesure d'audience configurées de façon à se limiter à la production de statistiques anonymes. Une solution comme Matomo peut être paramétrée dans ce sens. Vérifiez les conditions exactes sur le site de la CNIL avant de vous en prévaloir.

Agenda en ligne et hébergement des données de santé

L'hébergement de données de santé pour le compte d'un tiers est soumis à une certification dite HDS. Cela ne signifie pas que votre site vitrine doive être hébergé chez un prestataire certifié : un site de présentation avec un formulaire de contact n'est pas un hébergeur de données de santé.

En revanche, dès que vous confiez à un service en ligne des informations de suivi de patients (logiciel de gestion de cabinet, agenda contenant des motifs de consultation, outil de notes), ce prestataire, lui, doit être certifié HDS. C'est une question à poser explicitement avant de souscrire, et la réponse doit être écrite. Les grandes plateformes de prise de rendez-vous le sont ; un outil générique d'agenda ou de prise de notes, presque jamais.

Secret professionnel et présence en ligne : trois pièges

Le RGPD ne remplace pas le secret professionnel, il s'y ajoute. Trois situations reviennent constamment :

• Répondre publiquement à un avis en ligne. Remercier nominativement une personne de sa visite confirme publiquement qu'elle est venue vous consulter. Même bienveillante, la réponse révèle une information couverte par le secret. Une formulation neutre, qui ne confirme ni n'infirme la relation de soin, est la seule voie sûre.
• Publier des témoignages de patients. L'anonymisation est plus fragile qu'elle n'en a l'air : un prénom, une ville et un motif suffisent souvent à réidentifier quelqu'un dans une petite commune. Préférez décrire votre méthode et votre cadre de travail plutôt que des parcours individuels.
• Illustrer sa pratique sur les réseaux sociaux. Une photo de cabinet où l'on aperçoit un dossier, un agenda ouvert ou une personne en salle d'attente est une fuite de données, même involontaire.

Faut-il des CGV ou des CGU ?

Des conditions générales de vente ne sont exigées que si vous vendez en ligne : paiement de séances sur le site, vente d'un programme, d'un enregistrement ou d'un ebook. Un site qui se contente de présenter votre activité et de proposer un contact n'en a pas besoin. Des conditions générales d'utilisation restent facultatives dans ce cas de figure.

Si vous vendez, en revanche, d'autres obligations apparaissent : information précontractuelle, droit de rétractation et ses exceptions, modalités de paiement et de remboursement. C'est un sujet à part entière, à traiter sérieusement plutôt qu'avec un modèle générique.

Que risquez-vous concrètement ?

Les plafonds de sanction du RGPD sont élevés et souvent brandis pour faire peur. Dans les faits, la CNIL agit d'abord par mise en demeure et laisse un délai pour corriger. Le risque le plus tangible pour un cabinet n'est pas l'amende : c'est la plainte d'une personne, la perte de confiance qu'elle entraîne, et le temps passé à y répondre.

La bonne nouvelle, c'est que l'essentiel se traite une fois pour toutes à la conception du site. Un formulaire sobre, deux pages légales correctes, aucun traceur inutile et un prestataire d'agenda choisi avec soin couvrent la quasi-totalité du sujet.

Votre check-list

• Une page « Mentions légales » liée depuis toutes les pages, avec les huit éléments du tableau ci-dessus.
• Une page « Politique de confidentialité » conforme à l'article 13.
• Un formulaire de contact sans champ de motif de consultation.
• Une case à cocher distincte, non précochée, si vous constituez une liste de diffusion.
• Un registre des traitements, même sommaire, tenu à jour.
• Aucun traceur tiers, ou un bandeau de consentement conforme si vous en gardez.
• Un site en HTTPS : c'est le minimum dès lors qu'un formulaire circule.
• Une certification HDS vérifiée pour tout outil qui héberge du suivi de patients.

Questions fréquentes

Les mentions légales sont-elles obligatoires même si je ne vends rien sur mon site ?

Oui. L'obligation découle de la LCEN et vise tout éditeur de site professionnel, quel que soit son modèle économique. Un site qui se contente de présenter votre activité et d'afficher un numéro de téléphone doit publier ses mentions légales.

Le secret professionnel me dispense-t-il du RGPD ?

Non, les deux se cumulent. Le secret professionnel est justement l'une des conditions qui autorise un praticien à traiter des données de santé malgré l'interdiction de principe posée par l'article 9 du RGPD. Il ne remplace ni l'obligation d'information, ni le registre des traitements.

Dois-je tenir un registre des traitements si j'exerce seul ?

Oui. L'allègement prévu pour les structures de moins de 250 personnes ne s'applique pas lorsque le traitement porte sur des données sensibles, ce qui est le cas des données de santé. La CNIL propose un modèle simplifié qui suffit largement pour un cabinet individuel.

Ai-je besoin d'un délégué à la protection des données ?

Dans un exercice individuel, non. La désignation d'un délégué est imposée lorsque le traitement de données sensibles est réalisé à grande échelle, ce qui ne correspond pas à l'activité d'un praticien exerçant seul ou en petit cabinet.

Mon site a-t-il besoin d'un bandeau cookies ?

Seulement s'il dépose des traceurs non essentiels. Un site sans outil de statistiques, sans carte intégrée, sans vidéo embarquée et sans pixel de réseau social n'en dépose aucun et n'a donc pas besoin de bandeau. C'est souvent le choix le plus simple pour un cabinet.

Mon hébergeur doit-il être certifié HDS ?

Pas pour un site vitrine avec un simple formulaire de contact. La certification concerne les prestataires qui hébergent des données de santé pour le compte d'un tiers : logiciel de gestion de cabinet, agenda contenant des motifs de consultation, outil de notes de suivi. Posez la question par écrit avant de souscrire.

Puis-je publier les témoignages de mes patients ?

C'est fortement déconseillé. Même anonymisé, un témoignage associant un prénom, une ville et un motif de consultation peut permettre de réidentifier une personne, surtout dans une petite commune. Décrivez plutôt votre méthode et votre cadre de travail.

Faut-il des CGV sur le site d'un thérapeute ?

Uniquement si vous vendez en ligne : règlement de séances, programme, enregistrement ou ebook. Un site de présentation avec prise de contact n'a pas besoin de conditions générales de vente.