RGPD psychologue : vos obligations concrètes sans jargon

En tant que psychologue libéral, le RGPD vous impose surtout six actions concrètes : tenir un registre des traitements, informer clairement vos patients sur l'usage de leurs données, sécuriser vos outils (agenda, notes, facturation), limiter les données collectées au strict nécessaire, savoir répondre à une demande d'accès ou de suppression, et vous appuyer sur des sous-traitants sérieux. Vous n'avez ni à désigner un délégué à la protection des données dans la plupart des cas, ni à faire une déclaration préalable à la CNIL. En revanche, vous devez pouvoir prouver que vous êtes en règle si on vous le demande. Cet article traduit chaque obligation en gestes simples, avec des modèles prêts à adapter et un ordre de grandeur du temps à y consacrer.

Pourquoi le RGPD vous concerne directement

Un psychologue traite des données de santé, considérées comme des données sensibles. Les notes de séance, le motif de consultation, l'historique de suivi, les coordonnées : tout cela relève de la catégorie la plus protégée. Vous êtes ce que le règlement appelle le responsable de traitement, même en exerçant seul.

Données de santé et données sensibles

Le fait que vous exerciez en cabinet individuel ne réduit pas vos obligations sur le fond. La logique est simple : plus une donnée est intime, plus le niveau de protection attendu est élevé. Concrètement, cela veut dire des accès restreints, des outils fiables et une vraie discipline sur ce que vous notez.

Ce que vous n'êtes probablement pas obligé de faire

Deux idées reçues à écarter. D'abord, vous n'avez pas à déclarer votre activité à la CNIL : le régime de déclaration préalable a disparu avec le RGPD. Ensuite, un cabinet individuel n'a en général pas l'obligation de nommer un délégué à la protection des données (DPO), sauf traitement à grande échelle, ce qui n'est pas votre cas. Cela ne vous dispense pas de tenir vos documents à jour.

Action 1 : tenir votre registre des traitements

Le registre des traitements est le document central. C'est la pièce que la CNIL peut vous demander en premier. Bonne nouvelle : pour un cabinet, un registre simplifié tient sur une à deux pages.

Ce que doit contenir un registre rgpd psychologue

Pour chaque traitement (par exemple la gestion des rendez-vous, le suivi clinique, la facturation), vous décrivez :

• la finalité (pourquoi vous collectez ces données) ;
• les catégories de données (identité, coordonnées, données de santé) ;
• les personnes concernées (patients, éventuels prescripteurs) ;
• la durée de conservation ;
• les destinataires (vous, votre expert-comptable, vos outils) ;
• les mesures de sécurité en place.

Un modèle de registre pré-rempli

Voici une trame que vous pouvez recopier et ajuster à votre pratique.

Traitement	Finalité	Données	Conservation	Destinataires
Prise de rendez-vous	Organiser l'agenda	Identité, coordonnées, motif court	Durée du suivi actif	Praticien, outil d'agenda
Suivi clinique	Assurer le suivi thérapeutique	Notes de séance, historique	Plusieurs années après la fin du suivi	Praticien uniquement
Facturation	Éditer et suivre les paiements	Identité, montants, dates	Durée légale comptable	Praticien, expert-comptable
Demande d'avis	Recueillir un retour patient	Coordonnées, consentement	Le temps de la sollicitation	Praticien, outil d'envoi

Comptez une à deux heures pour rédiger votre première version. Ensuite, une relecture rapide une fois par an suffit tant que vos outils ne changent pas.

Action 2 : informer vos patients

L'information des patients est une obligation à part entière, et c'est souvent celle qui manque. Vos patients doivent savoir quelles données vous collectez, pourquoi, combien de temps vous les gardez et quels sont leurs droits.

Où placer la mention d'information

Trois emplacements complémentaires fonctionnent bien :

• une mention affichée ou remise en salle d'attente ou à la première séance ;
• un paragraphe dédié sur votre site internet ou votre page de prise de rendez-vous ;
• une phrase de rappel sur vos e-mails de confirmation.

Un modèle de mention d'information

Vous pouvez partir de ce texte court, à adapter :

Les informations recueillies servent à assurer votre suivi et la gestion administrative du cabinet. Elles sont destinées au seul praticien et ne sont jamais transmises à des fins commerciales. Vous disposez d'un droit d'accès, de rectification et de suppression, que vous pouvez exercer en me contactant directement. Vos données de santé sont conservées de façon sécurisée et pour la durée nécessaire au suivi.

Rédigée une fois, cette mention vous sert des années. Prévoyez trente minutes pour la personnaliser.

Action 3 : sécuriser vos outils

La sécurité, c'est là que se joue l'essentiel au quotidien. Il ne s'agit pas de devenir informaticien, mais d'appliquer quelques réflexes constants.

Les gestes de base indispensables

• un mot de passe unique et solide pour chaque outil, idéalement avec un gestionnaire de mots de passe ;
• la double authentification quand elle est disponible ;
• une session verrouillée dès que vous quittez votre poste ;
• des sauvegardes régulières, chiffrées si possible ;
• pas de données patients dans un tableur partagé ou une boîte mail grand public non protégée.

Le cas des notes de séance

Vos notes cliniques sont les données les plus sensibles. Évitez les carnets papier qui traînent et les fichiers texte sur un ordinateur non protégé. Un logiciel dédié permet de centraliser le dossier patient avec un accès contrôlé. Komper, par exemple, regroupe l'agenda, le dossier patient et la facturation dans un seul espace, ce qui réduit le nombre d'outils où vos données se dispersent. Un assistant IA peut aussi vous aider à rédiger vos comptes rendus plus vite, à condition de garder la maîtrise du contenu. Pour comparer les solutions existantes, notre guide du logiciel de gestion de cabinet pour psychologue détaille les critères à regarder.

Action 4 : limiter et trier les données

Le principe de minimisation est simple : ne collectez que ce qui est utile. Moins vous détenez de données, moins vous prenez de risques et moins vous avez à sécuriser.

Collecter le juste nécessaire

Avez-vous vraiment besoin de la date de naissance complète, de l'adresse postale, du numéro de sécurité sociale ? Pour une prise de rendez-vous, un nom, un moyen de contact et un motif bref suffisent souvent. Le reste peut attendre la première séance, ou ne jamais être collecté.

Définir des durées de conservation

Vous n'êtes pas censé garder les données indéfiniment. Fixez des durées claires : une donnée de facturation suit la durée légale comptable, un dossier de suivi se conserve plusieurs années après la fin de la prise en charge, puis se supprime ou s'archive. Notez ces durées dans votre registre pour ne pas improviser.

Action 5 : gérer les demandes des patients

Vos patients ont des droits qu'ils peuvent exercer à tout moment : accès, rectification, suppression, portabilité. Vous devez pouvoir répondre dans un délai raisonnable, en principe un mois.

Que faire quand un patient demande son dossier

Voici une check-list simple pour ne rien oublier.

Étape	Action	Point de vigilance
1	Vérifier l'identité du demandeur	Éviter de transmettre à un tiers
2	Identifier les données concernées	Distinguer notes personnelles et dossier
3	Répondre sous un mois	Prolongeable si demande complexe
4	Transmettre de façon sécurisée	Pas de pièce jointe non protégée
5	Tracer la demande	Garder une trace écrite de l'échange

En pratique, ces demandes restent rares dans un cabinet, mais mieux vaut connaître la marche à suivre avant la première. Un dossier patient bien organisé rend l'exercice beaucoup plus rapide.

Notes personnelles et dossier communicable

Toutes vos notes ne sont pas nécessairement communicables au patient de la même façon. Vos réflexions strictement personnelles peuvent relever d'un statut particulier. En cas de doute sur un cas précis, rapprochez-vous de votre organisation professionnelle ou consultez les ressources de la CNIL, qui publie des fiches pratiques par métier.

Action 6 : encadrer vos sous-traitants

Dès que vous utilisez un outil en ligne (agenda, logiciel de gestion, service d'envoi d'e-mails), ce prestataire devient votre sous-traitant au sens du RGPD. Vous restez responsable, mais vous devez choisir des partenaires fiables.

Vérifier l'hébergement des données de santé

Pour les données de santé, l'hébergement fait l'objet d'un cadre spécifique en France, avec un référentiel géré par l'Agence du numérique en santé. Sans entrer dans le jargon, retenez le réflexe : demandez à votre prestataire où sont hébergées les données et s'il respecte les exigences applicables aux données de santé. Un fournisseur sérieux répond sans détour.

La question des grandes plateformes

Beaucoup de psychologues utilisent des plateformes de rendez-vous grand public comme Doctolib (tarifs constatés autour de plusieurs dizaines d'euros par mois, à vérifier sur le site officiel). Ce sont des outils courants, ce n'est pas un problème en soi. Le point d'attention porte sur ce que vous y stockez et sur la visibilité que vous gardez sur vos propres données. Certains praticiens préfèrent un logiciel pensé pour l'exercice libéral afin de tout centraliser. Komper propose par exemple l'agenda et les rappels de rendez-vous automatiques, la facturation avec relances d'impayés et la demande d'avis Google, en gardant vos données regroupées dans un seul espace.

Récapitulatif : vos 6 obligations en un coup d'oeil

Obligation	Geste concret	Temps indicatif
Registre	Une trame à remplir et relire chaque année	1 à 2 h au départ
Information	Une mention affichée et en ligne	30 min
Sécurité	Mots de passe, double authentification, sauvegardes	Habitude quotidienne
Minimisation	Collecter et conserver le juste nécessaire	Au fil de l'eau
Droits des patients	Une check-list pour répondre sous un mois	Ponctuel
Sous-traitants	Vérifier l'hébergement et les garanties	À chaque nouvel outil

Rien de tout cela ne demande un budget particulier. L'essentiel tient dans deux documents (registre et mention) et dans de bonnes habitudes d'outils. Si vous débutez et cherchez une solution sans frais pour vous organiser, notre comparatif du logiciel gratuit pour psychologue peut vous aider à démarrer proprement.

FAQ

Un psychologue doit-il déclarer son cabinet à la CNIL ?

Non. Depuis l'entrée en vigueur du RGPD, la déclaration préalable à la CNIL n'existe plus. Vous devez en revanche tenir un registre des traitements et pouvoir le présenter en cas de contrôle. La logique est passée de la déclaration à la responsabilité.

Faut-il un DPO quand on exerce seul ?

Dans la très grande majorité des cas, non. La désignation d'un délégué à la protection des données concerne surtout les traitements à grande échelle, ce qui n'est pas la situation d'un cabinet individuel. Vous restez néanmoins responsable de vos traitements et de vos documents.

Combien de temps conserver les dossiers patients ?

Il n'existe pas de durée unique valable pour tout. Les données de facturation suivent la durée légale comptable, tandis qu'un dossier de suivi se conserve en général plusieurs années après la fin de la prise en charge. Fixez vos durées, notez-les dans votre registre et supprimez ou archivez ensuite.

Puis-je utiliser un agenda en ligne classique pour mes rendez-vous ?

Oui, à condition de rester prudent sur ce que vous y inscrivez. Évitez d'y consigner des données de santé détaillées et privilégiez un outil qui offre des garanties de sécurité. Pour les données sensibles, un logiciel dédié à l'exercice libéral reste plus adapté qu'un agenda grand public.

Que risque un psychologue qui ne respecte pas le RGPD ?

En théorie, des sanctions financières et une atteinte à la réputation. En pratique, pour un cabinet individuel, la CNIL privilégie l'accompagnement et la mise en conformité avant la sanction. Le vrai risque quotidien est surtout la fuite ou la perte de données, d'où l'importance de la sécurité.

Où trouver des sources officielles fiables ?

Consultez le site de la CNIL, qui publie des guides sectoriels pour les professionnels de santé, ainsi que l'Agence du numérique en santé pour l'hébergement des données. Votre organisation professionnelle peut également vous orienter sur les questions déontologiques propres au métier.

Conclusion

Se mettre en conformité RGPD quand on est psychologue libéral n'a rien d'insurmontable : deux documents à rédiger une fois, quelques réflexes de sécurité, et des outils choisis avec soin. L'objectif n'est pas de cocher des cases, mais de protéger la relation de confiance avec vos patients, qui est au coeur de votre métier. Prenez une matinée pour poser vos bases, puis laissez la routine faire le reste.

Si vous souhaitez regrouper agenda, dossier patient, facturation et demandes d'avis dans un seul espace pensé pour les praticiens libéraux, découvrez comment Komper peut simplifier votre organisation tout en gardant vos données centralisées.