PllumeRGPD au cabinet du psychologue : le guide pratique
Tout cabinet de santé mentale traite des données de santé, c’est-à-dire des données sensibles au sens du RGPD. Bonne nouvelle : la conformité tient à quelques principes clairs : un registre, une base légale, une durée de conservation justifiée, des droits respectés, une sécurité raisonnable et des sous-traitants encadrés. Voici le guide pratique.
Mis à jour le 14 juin 2026 · Lecture 7 min · Contenu informatif, ne constitue pas un conseil juridique.
1. Vous êtes responsable de traitement
En décidant pourquoi et comment vous traitez les données de vos patients, vous êtes responsable de traitement au sens du RGPD. Les outils que vous utilisez (logiciel de gestion, messagerie, scribe IA, hébergeur) sont vos sous-traitants. Cette distinction structure toutes vos obligations : c’est vous qui répondez de la conformité, et c’est à vous d’encadrer vos prestataires.
2. Le registre des traitements
L’article 30 du RGPD impose de tenir un registre des activités de traitement. L’exemption prévue pour les petites structures ne s’applique pas dès lors que l’on traite des données sensibles de façon régulière, ce qui est le cas d’un cabinet de santé mentale. Votre registre décrit, pour chaque traitement : la finalité, les catégories de données, les destinataires, les durées de conservation et les mesures de sécurité.
Depuis 2018, il n’y a plus de déclaration préalable à la CNIL : le registre et le principe de responsabilité (accountability) ont remplacé les formalités.
3. La base légale
Les données de santé sont en principe interdites de traitement (article 9 du RGPD), sauf exception. Deux fondements concernent surtout le cabinet :
- la prise en charge (médecine, diagnostic, soins), qui couvre la tenue du dossier de soin ;
- le consentement explicite du patient, particulièrement adapté lorsqu’un traitement n’est pas strictement nécessaire au soin, par exemple l’enregistrement d’une séance par un outil d’aide à la rédaction.
4. La durée de conservation
Une donnée ne se conserve pas indéfiniment : sa durée doit être limitée, justifiée et documentée dans votre registre. Pour les dossiers de santé, des durées de référence existent ; une durée longue, de l’ordre de 20 ans après le dernier contact, est fréquemment retenue pour les dossiers médicaux. La règle exacte dépend de votre profession et de la nature du document : vérifiez-la auprès de votre Ordre ou de la CNIL.
Au-delà de la durée fixée, les données sont supprimées ou archivées selon des modalités définies à l’avance.
5. Les droits des patients
Vos patients disposent de droits que vous devez pouvoir honorer :
- Accès (article 15) : obtenir une copie de leurs données ;
- Rectification (article 16) : corriger une donnée inexacte ;
- Effacement (article 17) : sous réserve des obligations de conservation du dossier de soin ;
- Portabilité (article 20) dans certains cas ;
- Retrait du consentement à tout moment, lorsque le traitement repose sur lui.
Une information claire (qui traite quoi, pourquoi, combien de temps, et comment exercer ses droits) doit être accessible à vos patients.
6. La sécurité et les sous-traitants
L’article 32 du RGPD impose des mesures de sécurité adaptées au risque : chiffrement, contrôle des accès, sauvegardes, journalisation. Pour des données de santé, le niveau d’exigence est élevé.
Chaque prestataire qui traite des données pour votre compte doit être encadré par un contrat de sous-traitance (article 28). Et dès qu’un tiers héberge des données de santé, il doit être certifié HDS.
→ Comprendre l’hébergement HDS en France · → Secret professionnel et IA
Checklist du cabinet conforme
- ✓ Tenir un registre des traitements à jour (article 30).
- ✓ Identifier la base légale de chaque traitement (soin ou consentement).
- ✓ Définir et documenter une durée de conservation par type de donnée.
- ✓ Pouvoir répondre aux demandes d’accès, de rectification et d’effacement.
- ✓ Sécuriser : chiffrement, accès restreints, sauvegardes.
- ✓ Encadrer chaque sous-traitant par contrat (article 28) ; vérifier la certification HDS de l’hébergeur.
- ✓ Réaliser une analyse d’impact (DPIA, article 35) en cas de traitement à risque élevé.
- ✓ Informer clairement les patients et mettre à disposition un contact RGPD.
Cet article a une vocation informative et ne constitue pas un conseil juridique. Les références au RGPD et aux durées de conservation sont citées à titre pédagogique et peuvent évoluer ; vérifiez les règles applicables à votre profession auprès de votre Ordre, de votre instance professionnelle ou de la CNIL.
Questions fréquentes
Un psychologue est-il responsable de traitement au sens du RGPD ?+
Oui. Le praticien qui détermine les finalités et les moyens du traitement des données de ses patients est responsable de traitement. Les prestataires qu’il utilise (logiciel, scribe IA, hébergeur) sont ses sous-traitants, encadrés par un contrat au sens de l’article 28 du RGPD.
Faut-il déclarer son cabinet à la CNIL ?+
Non. Depuis 2018, les déclarations préalables à la CNIL n’existent plus. Le praticien tient un registre des traitements (article 30 du RGPD) et reste responsable de sa conformité (principe d’accountability). Une analyse d’impact (DPIA, article 35) est requise pour les traitements à risque élevé.
Faut-il un DPO (délégué à la protection des données) pour un cabinet libéral ?+
Pas systématiquement. La désignation d’un DPO est obligatoire dans certains cas (traitement à grande échelle de données sensibles, notamment). Un petit cabinet libéral n’y est pas toujours tenu, mais doit pouvoir identifier un contact pour les questions de protection des données.
Combien de temps conserver le dossier d’un patient ?+
La durée doit être limitée, justifiée et documentée dans votre registre. Pour les dossiers de santé, des durées de référence existent (une durée longue, de l’ordre de 20 ans après le dernier contact, est fréquemment retenue pour les dossiers médicaux). Vérifiez la règle applicable à votre profession auprès de votre Ordre ou de la CNIL.