SMS patient RGPD : ce qui est permis sans consentement

Un rappel de rendez-vous envoyé par SMS est autorisé sans consentement explicite du patient, car il relève de l'exécution du soin et de la bonne gestion du cabinet. En revanche, tout message à visée commerciale ou promotionnelle (vœux, newsletter, offre, parrainage) suppose un consentement préalable et libre. La règle ne dépend donc pas du canal utilisé, mais de la finalité du message : informer sur un soin en cours ne se traite pas comme prospecter. Cet article détaille cette frontière, les mentions à faire figurer dans vos SMS, la durée de conservation des données, et vous donne une check-list de conformité en 8 points applicable en une heure.

SMS et RGPD : tout dépend de la finalité, pas du canal

Le RGPD n'interdit pas d'envoyer des SMS à vos patients. Il exige que chaque traitement de données personnelles repose sur une base légale claire et que le patient reste informé et maître de ses données. Pour un SMS envoyé depuis un cabinet libéral, deux grandes familles de messages coexistent, et elles ne suivent pas les mêmes règles.

Le message lié au soin et à la gestion du rendez-vous

Ici, le SMS sert directement la prise en charge : rappel de rendez-vous, proposition de report après une annulation, consigne avant une séance (venir à jeun, apporter ses semelles, ses ordonnances), information indiquant qu'un compte rendu est disponible. Ces messages s'appuient sur l'exécution de la relation de soin et sur l'intérêt légitime du cabinet à limiter les rendez-vous non honorés. Vous n'avez pas à recueillir un consentement spécifique au sens du RGPD pour les envoyer, à condition que le patient ait été informé de ce fonctionnement et qu'il puisse s'y opposer.

Le message de prospection ou d'information non sollicitée

Dès que le message poursuit un objectif de communication, de fidélisation active ou de promotion, il change de nature : vœux de fin d'année, newsletter du cabinet, annonce d'une nouvelle prestation, offre de parrainage, invitation à un atelier payant. Ce type de SMS relève de la prospection directe et suppose, par prudence, le consentement préalable du patient (l'opt-in). La sensibilité particulière des données de santé invite à ne prendre aucun raccourci sur ce point.

La distinction est simple à retenir : si le patient a un rendez-vous en cours ou récent et que le SMS le concerne directement, vous êtes dans le soin. Si vous écrivez pour entretenir le lien, faire revenir ou vendre, vous êtes dans la communication, et il faut un accord.

Rappel de rendez-vous par SMS : le cas le plus fréquent

Le rappel de rendez-vous est le message le plus courant au cabinet, et c'est aussi le plus simple à sécuriser. Un rappel envoyé la veille ou l'avant-veille réduit nettement le nombre d'absences non prévenues, souvent de moitié selon les ordres de grandeur constatés dans les cabinets. Pour un praticien qui facture une séance entre 50 et 70 euros, éviter deux ou trois no-show par semaine représente plusieurs milliers d'euros par an.

Sur le plan du RGPD, le rappel de rendez-vous coche toutes les cases dès lors qu'il reste factuel. Un bon rappel indique la date, l'heure, le lieu et le nom du praticien, sans jamais révéler d'information sensible sur la nature du soin. Écrire "Rappel : RDV le mardi 12 à 14h au cabinet, 3 rue des Lilas" est conforme. Écrire "Rappel de votre séance de suivi psychologique pour dépression" ne l'est pas, car le contenu expose une donnée de santé sur un canal peu protégé.

Un outil de gestion comme Komper relie l'agenda et les rappels : le SMS se cale automatiquement sur le créneau réel, se met à jour si vous déplacez le rendez-vous, et n'expose que les informations utiles. Cette automatisation vous fait aussi gagner plusieurs heures par semaine, temps que vous passiez auparavant à composer les messages un à un.

Ce qui exige un consentement explicite du patient

Le consentement au sens du RGPD doit être libre, spécifique, éclairé et univoque. Concrètement, une case pré-cochée ou un accord noyé dans des conditions générales ne suffit pas. Pour les messages suivants, prévoyez un recueil clair, par exemple une case dédiée sur votre formulaire de première consultation ou dans votre logiciel :

• Les vœux et messages de convivialité (bonne année, anniversaire).
• Les newsletters et actualités du cabinet.
• Les annonces de nouvelles prestations, de tarifs ou de promotions.
• Les enquêtes de satisfaction envoyées à froid, hors suivi immédiat d'un rendez-vous.
• Les demandes d'avis en ligne, à manier avec discernement.

Le cas des demandes d'avis mérite une nuance. Solliciter un avis Google fait partie d'une démarche de fidélisation de la patientèle tout à fait légitime, mais l'invitation par SMS reste une sollicitation. Mieux vaut l'avoir prévue dans l'information donnée au patient et lui laisser la possibilité de refuser. Komper intègre l'envoi de demandes d'avis Google et trace qui a été sollicité ou s'est désinscrit, deux éléments utiles en cas de contrôle.

Tableau récapitulatif : avec ou sans consentement

Le tableau ci-dessous résume la logique à appliquer selon le type de message. Il ne remplace pas une analyse au cas par cas, mais il couvre la grande majorité des situations d'un cabinet libéral.

Type de SMS	Finalité	Consentement préalable	Condition
Rappel de rendez-vous	Soin et gestion	Non	Information du patient et droit d'opposition
Report après annulation	Soin et gestion	Non	Message factuel
Consigne avant séance	Soin	Non	Aucune donnée sensible dans le texte
Information "compte rendu disponible"	Soin	Non	Message neutre, sans contenu médical
Enquête de satisfaction post-RDV	Amélioration du service	Recommandé	Envoi lié au soin récent
Vœux, anniversaire	Convivialité	Oui	Opt-in traçable
Newsletter, actualités	Communication	Oui	Opt-in et lien de désinscription
Offre, promotion, parrainage	Commercial	Oui	Opt-in explicite et daté
Demande d'avis Google	Réputation	Recommandé	Information préalable et opt-out simple

Les mentions et bonnes pratiques d'un SMS conforme

Au-delà de la base légale, la forme du message compte. Quelques réflexes suffisent à rendre vos envois propres et défendables.

Rester neutre sur le contenu de santé

Un SMS transite par des réseaux et peut s'afficher sur un écran verrouillé, à la vue d'un tiers. Ne mentionnez jamais le motif de consultation, un diagnostic, un traitement ou la spécialité qui trahirait une pathologie. Le message doit pouvoir être lu par-dessus l'épaule du patient sans lui porter préjudice.

Identifier l'expéditeur

Le patient doit savoir immédiatement qui lui écrit. Indiquez le nom du cabinet ou du praticien. Un SMS signé "Cabinet de podologie Martin" rassure et évite d'être pris pour un spam, là où un numéro inconnu sans signature inquiète.

Prévoir la sortie

Pour tout message de communication, un moyen simple de se désinscrire est indispensable, par exemple la mention "STOP" ou une consigne de réponse. Pour les rappels de soin, le patient doit pouvoir demander à ne plus les recevoir, même si ce n'est pas de la prospection. Respecter une demande d'arrêt sous un délai raisonnable fait partie de vos obligations.

Limiter la fréquence et l'horaire

Envoyer un rappel à 22 heures ou multiplier les messages nuit à la relation et fragilise votre conformité. Un rappel unique, la veille ou l'avant-veille et à un horaire raisonnable, suffit.

La check-list de conformité en 8 points, applicable en une heure

Voici la partie opérationnelle. Ces huit points se traitent en une petite heure et couvrent l'essentiel de vos obligations pour les SMS patients. Ils s'inscrivent dans une démarche plus large que vous pouvez prolonger en digitalisant votre cabinet.

N°	Point à vérifier	Action concrète
1	Information du patient	Ajouter une mention SMS dans votre affiche ou formulaire d'accueil
2	Base légale par type de message	Trier vos envois entre soin (sans consentement) et communication (avec consentement)
3	Recueil du consentement	Créer une case opt-in datée pour vœux, newsletters et offres
4	Contenu des messages	Vérifier qu'aucun SMS ne révèle de donnée de santé sensible
5	Droit d'opposition et désinscription	Mettre en place un "STOP" et une procédure d'arrêt tracée
6	Registre des traitements	Décrire l'envoi de SMS dans votre registre (finalité, données, durée)
7	Sous-traitant et sécurité	Vérifier le contrat et l'hébergement de votre outil d'envoi
8	Durée de conservation	Fixer une durée pour le numéro et les preuves de consentement

Chacune de ces lignes se documente en quelques minutes. Le plus long est le tri des messages (point 2) et la rédaction du registre (point 6), mais une fois ce socle posé, il ne bouge presque plus.

Sécurité, sous-traitance et rôle de votre logiciel

Le RGPD ne s'arrête pas à l'envoi : il vous rend responsable des outils que vous utilisez. Si vous passez par une plateforme d'envoi ou un logiciel de gestion, celui-ci agit comme sous-traitant de vos données. Vous devez vous assurer qu'un contrat encadre cette relation, que les données sont hébergées dans des conditions adaptées à des données de santé et que l'accès reste protégé.

Quelques questions concrètes à poser à tout éditeur : où sont hébergées les données, existe-t-il un contrat de sous-traitance conforme, les échanges sont-ils chiffrés, qui peut accéder aux numéros de vos patients ? Le dossier patient, la facturation et les rappels étant liés, mieux vaut un outil qui centralise l'ensemble. Komper regroupe l'agenda, le dossier patient, la facturation avec relances d'impayés et les rappels de rendez-vous, ce qui limite le nombre de prestataires qui manipulent vos données.

Attention aux solutions gratuites ou grand public détournées pour envoyer des messages de masse à des patients : elles n'offrent souvent aucun cadre contractuel adapté aux données de santé. Concernant les prix des plateformes spécialisées, comptez des tarifs constatés de l'ordre de quelques centimes par SMS, à vérifier sur le site officiel de chaque prestataire, car les grilles évoluent.

Combien de temps conserver les données et les preuves

Une donnée ne se conserve pas indéfiniment. Le principe est de garder chaque information le temps nécessaire à sa finalité, puis de l'archiver ou de la supprimer.

Le numéro de téléphone suit la logique du dossier patient : il se conserve tant que la relation de soin est active, puis selon les durées applicables à votre profession, que vous pouvez vérifier auprès de votre ordre et de la CNIL. La preuve du consentement pour les messages de communication se garde tant que vous exploitez ce consentement, afin de pouvoir la présenter en cas de contrôle. Les preuves de désinscription se conservent également, pour démontrer que vous avez bien respecté une demande d'arrêt.

Documentez ces durées dans votre registre, une ligne par type de donnée.

FAQ

Ai-je besoin du consentement du patient pour un rappel de rendez-vous par SMS ?

Non. Le rappel de rendez-vous relève de l'exécution du soin et de la bonne gestion du cabinet, il ne constitue pas de la prospection. Vous devez simplement avoir informé le patient de ce fonctionnement et lui permettre de s'y opposer s'il le souhaite.

Puis-je envoyer mes vœux de bonne année par SMS à mes patients ?

Seulement si le patient a donné son accord pour recevoir ce type de message. Les vœux sont un message de convivialité sans lien direct avec un soin en cours, ils exigent donc un consentement préalable et un moyen simple de se désinscrire.

Que doit contenir un SMS pour être conforme au RGPD ?

Il doit identifier clairement l'expéditeur (nom du cabinet ou du praticien), rester neutre sur le contenu de santé et ne jamais révéler de motif de consultation. Pour les messages de communication, ajoutez un moyen de se désinscrire, par exemple la mention "STOP".

Un patient peut-il refuser les SMS et comment gérer les désinscriptions ?

Oui, le patient peut demander à ne plus recevoir de SMS, y compris les rappels de soin. Vous devez respecter sa demande dans un délai raisonnable et en conserver une trace. Un logiciel qui enregistre les désinscriptions facilite ce suivi.

Combien de temps puis-je conserver le numéro de téléphone d'un patient ?

Le numéro se conserve tant que la relation de soin est active, puis selon les durées applicables à votre profession. Vérifiez ces durées auprès de votre ordre professionnel et de la CNIL, et documentez-les dans votre registre des traitements.

Le contenu médical peut-il figurer dans un SMS ?

Non, il faut l'éviter. Un SMS peut s'afficher sur un écran verrouillé et être lu par un tiers. Ne mentionnez ni diagnostic, ni traitement, ni motif de consultation, et gardez un message strictement factuel sur la date, l'heure et le lieu.

Conclusion

La frontière du RGPD pour les SMS patients tient en une idée : le canal importe peu, c'est la finalité qui décide. Un rappel de rendez-vous factuel s'envoie sans consentement, un message de communication ou de prospection exige un accord préalable et un droit de retrait simple. En suivant la check-list en 8 points, vous sécurisez vos envois en une heure et vous évitez les erreurs les plus courantes, notamment le contenu de santé exposé et l'absence de preuve de consentement.

Pour aller plus loin, vous pouvez aussi structurer votre écoute patient avec un questionnaire de satisfaction conforme. Et si vous souhaitez automatiser vos rappels, centraliser le dossier patient, gérer votre facturation et vos demandes d'avis dans un seul outil pensé pour les praticiens libéraux, découvrez Komper et voyez comment il simplifie votre conformité au quotidien.