PllumeRGPD au cabinet du psychologue : le guide pratique
Oui, un cabinet de santé mentale est pleinement soumis au RGPD : il traite des données de santé, c’est-à-dire des données sensibles au sens de l’article 9. Non, la conformité ne suppose ni déclaration à la CNIL ni délégué à la protection des données dans la plupart des cabinets libéraux : elle repose sur sept obligations concrètes, détaillées ci-dessous.
Mis à jour le 3 août 2026 · Lecture 12 min · Contenu informatif, ne constitue pas un conseil juridique.
En bref
Un cabinet de psychologue est responsable de traitement au sens du RGPD. Ses obligations : tenir un registre des traitements (article 30), identifier une base légale pour les données de santé (article 9), fixer des durées de conservation justifiées, informer les patients et honorer leurs droits, sécuriser les données (article 32), encadrer ses sous-traitants (article 28) et recourir à un hébergeur certifié HDS.
Sommaire
- 1. Vous êtes responsable de traitement
- 2. Le registre des traitements
- 3. La base légale du traitement
- 4. Les durées de conservation
- 5. L’information et les droits des patients
- 6. La sécurité des données
- 7. Sous-traitants et hébergement HDS
- 8. Violations de données : que faire ?
- 9. Analyse d’impact et délégué à la protection des données
- Checklist du cabinet conforme
- Questions fréquentes
- Sources et références
1. Vous êtes responsable de traitement
En décidant pourquoi et comment vous traitez les données de vos patients, vous êtes responsable de traitement au sens du RGPD. Les outils que vous utilisez (logiciel de gestion, agenda en ligne, messagerie, outil d’aide à la rédaction, hébergeur) sont vos sous-traitants. Cette distinction structure toutes vos obligations : c’est vous qui répondez de la conformité, et c’est à vous d’encadrer vos prestataires.
Cette responsabilité se double d’une obligation professionnelle. Le secret professionnel de l’article 226-13 du Code pénal pèse sur le praticien, pas sur ses outils. Aucune certification, aucun contrat n’en transfère la charge. Le choix d’un prestataire est donc un acte professionnel, pas un simple achat.
Deux textes de référence permettent de s’orienter sans partir d’une page blanche : le référentiel CNIL relatif à la gestion des cabinets médicaux et paramédicaux (délibération n° 2020-081 du 18 juin 2020), qui décrit les traitements courants d’un cabinet libéral, et, pour les psychologues, le Code de déontologie de la profession dans sa version actualisée de 2021. Le référentiel CNIL n’est pas contraignant : il constitue un cadre de conformité que l’on peut suivre, ou dont on peut s’écarter en justifiant ses choix.
2. Le registre des traitements
L’article 30 du RGPD impose de tenir un registre des activités de traitement. L’exemption de son paragraphe 5, prévue pour les organismes de moins de 250 personnes, ne s’applique pas lorsque le traitement porte sur des catégories particulières de données ou qu’il n’est pas occasionnel. Un cabinet de santé mentale, qui traite des données de santé de manière régulière, entre dans les deux exclusions : le registre est donc obligatoire.
Pour chaque traitement, le registre mentionne notamment :
- la finalité (gestion des rendez-vous, tenue du dossier de suivi, facturation, aide à la rédaction des notes) ;
- les catégories de personnes et de données concernées, en distinguant les données de santé ;
- les destinataires, y compris les sous-traitants et leur localisation ;
- les durées de conservation prévues par catégorie de données ;
- une description générale des mesures de sécurité.
En pratique, un cabinet de santé mentale recense rarement plus de cinq à huit traitements. Le registre tient dans un tableau, à condition qu’il soit à jour et qu’il reflète la réalité des outils utilisés. Ajouter un nouvel outil sans mettre à jour le registre est l’oubli le plus fréquent.
Depuis 2018, il n’y a plus de déclaration préalable à la CNIL : le registre et le principe de responsabilité ont remplacé les formalités. La CNIL peut en revanche demander la communication du registre lors d’un contrôle.
3. La base légale du traitement
Deux niveaux se superposent. Tout traitement doit d’abord reposer sur une base légale de l’article 6 du RGPD. Les données de santé, en tant que catégorie particulière, doivent en outre relever d’une exception de l’article 9, qui pose une interdiction de principe. Trois fondements concernent le cabinet :
- la prise en charge (article 9, paragraphe 2, point h) : médecine préventive, diagnostic médical, prise en charge sanitaire ou sociale. C’est la base de la tenue du dossier de suivi. Son paragraphe 3 la conditionne au fait que les données soient traitées par un professionnel soumis à une obligation de secret ;
- le consentement explicite du patient (article 9, paragraphe 2, point a), particulièrement adapté lorsqu’un traitement n’est pas strictement nécessaire au soin, par exemple l’enregistrement d’une séance par un outil d’aide à la rédaction ;
- l’obligation légale ou l’intérêt légitime, pour les traitements administratifs périphériques comme la facturation ou la comptabilité, dont la base se trouve à l’article 6.
Une erreur courante consiste à retenir une base unique pour l’ensemble du cabinet. Chaque finalité appelle sa propre base légale, et c’est précisément ce que le registre sert à documenter.
4. Les durées de conservation
Une donnée ne se conserve pas indéfiniment : sa durée doit être limitée, justifiée et documentée dans le registre. C’est l’un des points les plus mal maîtrisés en libéral, et l’un des plus simples à corriger.
Il faut d’abord dissiper une confusion fréquente. La durée de vingt ans souvent citée provient de l’article R.1112-7 du Code de la santé publique : elle vise le dossier médical des établissements de santé, et court à compter du dernier séjour ou de la dernière consultation externe. Ce texte ne s’applique pas, en lui-même, à un cabinet libéral.
En libéral, aucune durée générale n’est fixée par la loi. Deux repères sont couramment retenus, et il est prudent de les combiner :
- la durée de vingt ans de l’article R.1112-7, retenue par analogie et par prudence, notamment sur recommandation des instances professionnelles ;
- la prescription décennale des actions en responsabilité médicale, qui court dix ans à compter de la consolidation du dommage (article L.1142-28 du Code de la santé publique). Ce point de départ mobile explique pourquoi une durée courte expose le praticien.
Deux ajustements méritent d’être documentés : pour un patient mineur, les délais sont susceptibles de courir plus longtemps compte tenu de la minorité ; et les données purement administratives (facturation, comptabilité) suivent leurs propres durées, généralement plus courtes.
Enfin, tout ce qui n’est pas le dossier de suivi doit être traité séparément. Un enregistrement audio réalisé pour aider à la rédaction n’a aucune raison d’être conservé au-delà de la validation de la note. Au terme de la durée retenue, les données sont supprimées ou archivées selon des modalités définies à l’avance, jamais laissées en place par défaut.
5. L’information et les droits des patients
L’article 13 du RGPD impose d’informer le patient au moment de la collecte : identité du responsable de traitement, finalités, base légale, destinataires, durées de conservation, droits et modalités pour les exercer. Un document d’information remis en début de suivi, ou affiché au cabinet et disponible sur demande, remplit cette obligation.
Vos patients disposent ensuite de droits que vous devez pouvoir honorer, en principe dans un délai d’un mois (article 12) :
- Accès (article 15) : obtenir une copie de leurs données. En santé, ce droit se combine avec l’accès au dossier prévu par l’article L.1111-7 du Code de la santé publique ;
- Rectification (article 16) : corriger une donnée inexacte. Une observation clinique datée n’est pas « inexacte » du seul fait que le patient la conteste : elle peut faire l’objet d’une mention complémentaire ;
- Effacement (article 17) : sous réserve des exceptions du paragraphe 3, notamment les obligations légales et les finalités de prise en charge ;
- Limitation (article 18) : geler temporairement un traitement contesté ;
- Portabilité (article 20) : dans les cas où le traitement repose sur le consentement ou un contrat et qu’il est automatisé ;
- Opposition (article 21) et retrait du consentement à tout moment lorsque le traitement repose sur lui (article 7, paragraphe 3).
Le point pratique le plus utile : préparer à l’avance une procédure de réponse. Savoir en quelques minutes où se trouvent les données d’un patient, dans quels outils, et comment les extraire ou les supprimer, transforme une demande potentiellement anxiogène en formalité.
6. La sécurité des données
L’article 32 du RGPD impose des mesures techniques et organisationnelles adaptées au risque. Pour des données de santé mentale, le niveau d’exigence est élevé, et la sanction d’une négligence ne se limite pas à la CNIL : une fuite met en cause le secret professionnel.
Les mesures de base, à la portée de tout cabinet :
- chiffrement du disque des postes et des supports mobiles, et chiffrement des données au repos chez les prestataires ;
- authentification forte sur les outils qui contiennent des données patients, avec un second facteur ;
- sauvegardes régulières, testées, elles-mêmes chiffrées et conservées séparément ;
- journalisation des accès, pour pouvoir reconstituer qui a consulté quoi ;
- cloisonnement des usages : pas de données patients dans une messagerie grand public ni sur un service de stockage personnel ;
- mise à jour des systèmes et verrouillage automatique des sessions.
Une pratique complémentaire mérite d’être connue : la minimisation avant traitement automatisé. Si les identifiants directs du patient sont masqués avant qu’un traitement automatisé n’intervienne, le risque résiduel d’une éventuelle compromission diminue fortement. Nous détaillons ce raisonnement dans secret professionnel et intelligence artificielle.
7. Sous-traitants et hébergement HDS
Chaque prestataire qui traite des données pour votre compte doit être encadré par un contrat de sous-traitance conforme à l’article 28 du RGPD. Ce contrat fixe l’objet, la durée, la nature et la finalité du traitement, les obligations de confidentialité et de sécurité, le sort des données en fin de contrat et le régime des sous-traitants ultérieurs.
Trois questions permettent d’évaluer rapidement un prestataire :
- où sont hébergées les données, et sous quel droit se trouve la société qui les détient ?
- quels sous-traitants ultérieurs interviennent, et la liste en est-elle publiée ?
- que se passe-t-il si vous partez : restitution, format, délai de suppression ?
Dès qu’un tiers héberge des données de santé pour votre compte, l’article L.1111-8 du Code de la santé publique impose qu’il soit certifié HDS. Cette certification, adossée à un référentiel publié par l’Agence du Numérique en Santé, couvre la sécurité, la traçabilité, la continuité d’activité et la restitution des données. Attention : la certification HDS ne dit rien du droit applicable à l’hébergeur. Un prestataire peut être certifié HDS tout en relevant d’une législation extraterritoriale.
→ Comprendre l’hébergement HDS en France · → Lire un accord de protection des données
8. Violations de données : que faire ?
Une violation de données n’est pas seulement un piratage : un ordinateur volé, un dossier égaré, un courriel envoyé au mauvais destinataire, une sauvegarde perdue en sont aussi. Le RGPD impose une réaction en trois temps.
- Documenter systématiquement : toute violation, même sans notification, est consignée dans un registre interne des violations (article 33, paragraphe 5), avec sa nature, ses effets et les mesures prises.
- Notifier la CNIL sous 72 heures à compter de la prise de connaissance, lorsque la violation est susceptible d’engendrer un risque pour les droits et libertés des personnes (article 33). Le délai court dès la connaissance raisonnablement établie, pas à l’issue de l’analyse complète.
- Informer les personnes concernées lorsque le risque est élevé (article 34). Une violation portant sur des données de santé présente par nature un risque élevé pour les personnes.
Le réflexe utile consiste à savoir, avant l’incident, qui prévenir et où notifier. La CNIL met à disposition un service de notification en ligne, et votre prestataire a l’obligation de vous alerter sans délai s’il constate une violation de son côté.
9. Analyse d’impact et délégué à la protection des données
L’analyse d’impact relative à la protection des données (article 35 du RGPD) est requise lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. Le traitement de données sensibles à grande échelle en fait partie. Pour un cabinet libéral traitant les dossiers de sa seule patientèle, une analyse d’impact n’est pas systématiquement exigée, mais elle devient pertinente dès qu’un dispositif nouveau apparaît, par exemple l’enregistrement systématique des séances. La CNIL publie la liste des types d’opérations pour lesquelles une analyse est requise, ainsi qu’une méthode et un logiciel libre pour la conduire.
La désignation d’un délégué à la protection des données obéit à l’article 37 : elle est obligatoire notamment lorsque l’activité de base consiste en un traitement à grande échelle de catégories particulières de données. Le considérant 91 du RGPD précise que le traitement de données de patients effectué par un praticien exerçant à titre individuel n’est pas considéré comme un traitement à grande échelle. La plupart des cabinets libéraux ne sont donc pas tenus de désigner un délégué, mais doivent pouvoir indiquer à leurs patients un point de contact pour les questions de protection des données.
Checklist du cabinet conforme
- ✓ Tenir un registre des traitements à jour (article 30), mis à jour à chaque nouvel outil.
- ✓ Identifier la base légale de chaque finalité (prise en charge, consentement, obligation légale).
- ✓ Définir et documenter une durée de conservation par catégorie de données, en distinguant dossier de suivi, administratif et enregistrements.
- ✓ Remettre une information claire aux patients (article 13) et savoir répondre à leurs demandes sous un mois.
- ✓ Sécuriser : chiffrement, authentification forte, accès restreints, sauvegardes testées, journalisation.
- ✓ Encadrer chaque sous-traitant par contrat (article 28) et vérifier la certification HDS de l’hébergeur.
- ✓ Tenir un registre des violations et connaître la procédure de notification à la CNIL sous 72 heures.
- ✓ Réaliser une analyse d’impact (article 35) avant tout dispositif nouveau à risque élevé.
- ✓ Publier un contact pour les questions de protection des données.
Ce que j’ai appris en construisant un outil pour un cabinet
J’ai construit Pllume en observant le travail d’une professionnelle de la santé mentale de mon entourage proche. Ce qui m’a surpris n’est pas le volume des obligations : c’est leur dispersion. Le praticien libéral doit tenir un registre, choisir des durées, vérifier des contrats, comprendre une certification, et le faire seul, entre deux consultations, sans service juridique.
J’en ai tiré une conviction de conception : un outil destiné à un cabinet doit absorber une part de cette charge plutôt que l’augmenter. Concrètement, cela signifie fournir un accord de protection des données lisible et signé, documenter où sont les données et sous quel droit, faire du consentement un geste tracé et révocable, et rendre la suppression réellement effective. Ce sont exactement les points qu’un praticien doit pouvoir documenter dans son registre.
Je ne prétends pas que la conformité soit simple. Je constate seulement qu’une partie de sa difficulté vient d’outils qui ne répondent pas aux questions que le praticien doit se poser. C’est cette partie que nous avons cherché à traiter.
Ce que Pllume documente pour votre registre
Pllume est l’assistant clinique conçu pour les professionnels de la santé mentale. Les éléments dont vous avez besoin pour documenter votre conformité sont accessibles sans démarche particulière.
- ✓ Accord de protection des données conforme à l’article 28 du RGPD, versionné et consultable.
- ✓ Hébergement en France, chez un hébergeur certifié HDS : audio, transcriptions et notes restent dans le périmètre français.
- ✓ Liste des sous-traitants et de leur localisation, publiée et tenue à jour.
- ✓ Consentement tracé et révocable, avec suppression en cascade des données dérivées.
- ✓ Anonymisation côté navigateur : les identifiants patient sont masqués sur votre poste avant tout envoi au modèle de génération de texte.
- ✓ Contact RGPD : contact@pllume.com.
Questions fréquentes
Quelles sont les obligations RGPD d’un cabinet de psychologue ?+
Le praticien libéral est responsable de traitement. Il doit tenir un registre des traitements (article 30 du RGPD), identifier une base légale pour chaque traitement (article 9), fixer des durées de conservation justifiées, informer ses patients et honorer leurs droits, sécuriser les données (article 32) et encadrer ses sous-traitants par contrat (article 28).
Un psychologue est-il responsable de traitement au sens du RGPD ?+
Oui. Le praticien qui détermine les finalités et les moyens du traitement des données de ses patients est responsable de traitement. Les prestataires qu’il utilise (logiciel de gestion, outil d’aide à la rédaction, hébergeur) sont ses sous-traitants, encadrés par un contrat au sens de l’article 28 du RGPD.
Faut-il déclarer son cabinet à la CNIL ?+
Non. Depuis l’entrée en application du RGPD en 2018, les déclarations préalables à la CNIL n’existent plus. Le praticien tient un registre des traitements (article 30 du RGPD) et reste responsable de sa conformité, selon le principe de responsabilité. Une analyse d’impact (article 35) est requise pour les traitements susceptibles d’engendrer un risque élevé.
Un cabinet libéral doit-il tenir un registre des traitements ?+
Oui. L’exemption prévue par l’article 30, paragraphe 5 du RGPD pour les organismes de moins de 250 personnes ne s’applique pas lorsque le traitement porte sur des catégories particulières de données, ce qui est le cas des données de santé traitées de façon régulière par un cabinet de santé mentale.
Faut-il un délégué à la protection des données pour un cabinet libéral ?+
Pas systématiquement. L’article 37 du RGPD impose un délégué en cas de traitement à grande échelle de catégories particulières de données. Le considérant 91 précise que le traitement effectué par un praticien exerçant à titre individuel n’est pas un traitement à grande échelle. Le cabinet doit néanmoins indiquer à ses patients un contact pour la protection des données.
Combien de temps conserver le dossier d’un patient ?+
Aucun texte ne fixe de durée générale pour l’exercice libéral. La durée de vingt ans de l’article R.1112-7 du Code de la santé publique vise les établissements de santé ; elle est souvent retenue par analogie. La prescription décennale de l’article L.1142-28 est un second repère. La durée retenue doit être justifiée et documentée au registre.
Que faire en cas de violation de données au cabinet ?+
Toute violation doit être consignée dans un registre interne (article 33, paragraphe 5 du RGPD). Si elle est susceptible d’engendrer un risque pour les personnes, elle doit être notifiée à la CNIL dans les 72 heures. En cas de risque élevé, les patients doivent être informés (article 34), ce qui est par nature le cas pour des données de santé.
Peut-on utiliser un outil d’aide à la rédaction de notes cliniques en restant conforme ?+
Oui, à trois conditions : un contrat de sous-traitance conforme à l’article 28 du RGPD, un hébergement des données de santé chez un hébergeur certifié HDS (article L.1111-8 du Code de la santé publique), et le consentement explicite du patient lorsque la séance est enregistrée. Le praticien reste responsable de traitement et du respect du secret professionnel.
Sources et références
Chaque obligation décrite renvoie à une source publique et vérifiable. Les textes cités sont accessibles en ligne et peuvent évoluer.
- Règlement (UE) 2016/679 (RGPD) : articles 5 (principes), 6 et 9 (bases légales), 12 à 22 (droits), 28 (sous-traitance), 30 (registre), 32 (sécurité), 33 et 34 (violations), 35 (analyse d’impact), 37 (délégué à la protection des données). eur-lex.europa.eu
- CNIL, délibération n° 2020-081 du 18 juin 2020 portant adoption d’un référentiel relatif aux traitements destinés à la gestion des cabinets médicaux et paramédicaux. legifrance.gouv.fr
- CNIL, espace « Professionnels du secteur de la santé » : fiches pratiques, modèles de registre et référentiels. cnil.fr
- CNIL, notifier une violation de données personnelles (service en ligne). cnil.fr
- Code de la santé publique, article L.1111-7 : accès de la personne aux informations concernant sa santé. legifrance.gouv.fr
- Code de la santé publique, article L.1111-8 : hébergement de données de santé pour le compte de tiers. legifrance.gouv.fr
- Code de la santé publique, article R.1112-7 : conservation du dossier médical pendant vingt ans dans les établissements de santé. legifrance.gouv.fr
- Code de la santé publique, article L.1142-28 : prescription décennale des actions en responsabilité à compter de la consolidation du dommage. legifrance.gouv.fr
- Code pénal, article 226-13 : révélation d’une information à caractère secret. legifrance.gouv.fr
- Agence du Numérique en Santé, certification des Hébergeurs de Données de Santé (HDS). esante.gouv.fr
- Code de déontologie des psychologues (version actualisée de 2021). codededeontologiedespsychologues.fr
Cette page présente une lecture des bonnes pratiques et du cadre applicable ; elle a une vocation strictement informative et ne constitue pas un avis juridique. Les références au RGPD, au Code de la santé publique et aux durées de conservation sont citées à titre pédagogique et peuvent évoluer. Vérifiez les règles applicables à votre profession auprès de votre Ordre, de votre instance professionnelle ou de la CNIL. Pour toute question relative aux données personnelles traitées par Pllume, contact RGPD : contact@pllume.com.