La réponse courte
Un cabinet esthétique traite des données de santé, interdites par principe à l'article 9 du RGPD et admises ici par exception. Il doit tenir un registre des traitements, informer les patients, tracer et restreindre les accès, encadrer ses sous-traitants par contrat, héberger les données chez un hébergeur certifié pour les données de santé, et appliquer les durées du référentiel CNIL relatif aux cabinets médicaux.
Quelles obligations s'appliquent réellement à un cabinet ?
Le point de départ est l'article 9 du RGPD : les données concernant la santé sont interdites de traitement, sauf exception. Pour un cabinet, l'exception mobilisée est celle des finalités de médecine préventive, de diagnostic ou de soins, sous la responsabilité d'un professionnel soumis au secret. Cela signifie que le consentement n'est pas la base du dossier de soins — mais qu'il redevient indispensable dès que vous sortez du soin, par exemple pour la prospection commerciale ou la publication de photographies.
Viennent ensuite les obligations documentaires. Le registre des traitements de l'article 30 recense chaque finalité : gestion des rendez-vous, dossier de soins, facturation, site internet et formulaire de contact, vidéosurveillance, envoi de rappels par SMS. L'analyse d'impact relative à la protection des données de l'article 35 s'impose dès qu'un traitement à grande échelle de données de santé est en cause, et la CNIL considère qu'un logiciel de dossier patient partagé entre plusieurs praticiens y conduit fréquemment.
L'information des patients constitue l'obligation la plus visible et la plus souvent oubliée. Elle passe par une mention affichée en salle d'attente et par une politique de confidentialité accessible sur votre site : identité du responsable de traitement, finalités, bases légales, destinataires, durées, droits d'accès, de rectification, d'effacement et de limitation, et coordonnées du délégué à la protection des données si vous en avez désigné un.
Comment sécuriser concrètement les données ?
L'hébergement est le premier réflexe. Dès que vos dossiers sont conservés par un tiers, celui-ci doit être certifié pour l'hébergement de données de santé à caractère personnel, obligation posée par le code de la santé publique. Demandez le certificat, vérifiez sa date de validité et son périmètre, et exigez un contrat de sous-traitance conforme à l'article 28 du RGPD, avec la localisation des données et les conditions de réversibilité.
Sur le poste de travail, quatre mesures couvrent l'essentiel des manquements constatés : un compte nominatif par utilisateur avec authentification forte, une session verrouillée automatiquement, un chiffrement des supports mobiles et des sauvegardes, et une journalisation des accès aux dossiers permettant de savoir qui a consulté quoi. Ajoutez une messagerie sécurisée de santé pour tout échange de pièces entre professionnels : un dossier envoyé en pièce jointe depuis une messagerie grand public est une faille documentée.
Quelles données appellent quelle vigilance ?
| Donnée | Base légale usuelle | Point d'attention |
|---|---|---|
| Dossier de soins | Finalité de soins, article 9 | Accès restreint et journalisé |
| Photographies cliniques | Finalité de soins | Consentement distinct pour toute diffusion |
| Rappels de rendez-vous par SMS | Exécution du soin | Contenu sans détail médical |
| Newsletter et offres | Consentement | Opt-in séparé, désinscription réelle |
| Avis en ligne et témoignages | Consentement | Interdits aux médecins par la déontologie |
| Vidéosurveillance | Intérêt légitime | Aucune caméra en cabine de soin |
La ligne des avis mérite d'être lue deux fois. Le RGPD n'interdit pas de recueillir un témoignage avec consentement ; le code de déontologie médicale, lui, interdit au médecin de solliciter ou de mettre en avant des témoignages de patients. Les deux régimes se cumulent, le plus strict l'emporte.
Ce que cela implique pour vos documents
Six pièces forment le socle vérifiable d'un cabinet : le registre des traitements à jour, la politique de confidentialité publiée, la mention d'information affichée, les contrats de sous-traitance signés avec l'éditeur du logiciel et l'hébergeur, la politique de conservation avec ses durées, et la procédure de violation de données décrivant qui notifie la CNIL dans les soixante-douze heures.
Ajoutez deux registres opérationnels que l'on néglige : celui des demandes d'exercice de droits, avec la date de réception et la date de réponse, et celui des incidents de sécurité, même mineurs. Ces journaux ne rendent aucun cabinet conforme à eux seuls, mais ce sont eux qui permettent de démontrer que la protection des données est pilotée plutôt que subie.
Questions liées
Cette réponse est informative et ne constitue pas un conseil juridique ou médical. Les exigences varient et évoluent : vérifiez-les avec vos propres conseillers juridiques et cliniques avant toute application.