Beaucoup de psychologues libéraux pensent que le RGPD ne les concerne pas, ou seulement de façon marginale. C'est une erreur. Dès le moment où vous tenez un dossier sur un patient — même dans un carnet papier — vous êtes responsable du traitement de données à caractère personnel. Et quand ces données concernent la santé mentale, les obligations sont renforcées.
Les données de santé mentale : une catégorie à part
Le RGPD distingue les données personnelles ordinaires (nom, prénom, adresse, email) des données sensibles, qui bénéficient d'une protection renforcée. Les données de santé — et notamment les données de santé mentale — appartiennent à cette catégorie sensible.
En tant que psychologue libéral, vos notes de séance, les motifs de consultation, les diagnostics posés, les éléments d'histoire personnelle partagés en séance : tout cela constitue des données de santé au sens du RGPD. Leur traitement est encadré par des règles strictes, et leur violation peut entraîner des sanctions de la CNIL pouvant aller jusqu'à 20 millions d'euros ou 4 % du CA mondial.
Le consentement : une étape obligatoire
Pour traiter des données de santé, vous avez besoin d'une base légale. Pour un psychologue libéral, c'est le consentement explicite du patient qui sert de fondement. Ce consentement doit être libre, éclairé, spécifique et documenté.
En pratique, cela signifie qu'à la première consultation, vous devez remettre au patient un document expliquant :
- Quelles données vous collectez et pourquoi
- Combien de temps vous les conservez
- Qui y a accès (vous seul, en principe)
- Comment le patient peut exercer ses droits (accès, rectification, suppression)
Ce document, signé par le patient, constitue votre preuve de consentement. Conservez-le précieusement.
Le registre des activités de traitement
Tout responsable de traitement de données personnelles doit tenir un registre des activités de traitement. Pour un psychologue libéral, ce registre est généralement simple : une ou deux pages qui listent les types de données collectées, leur finalité, leur durée de conservation et les mesures de sécurité en place.
Ce registre n'est pas public — il est destiné à la CNIL si elle en fait la demande. Mais son absence en cas de contrôle est une infraction en elle-même.
Où stocker les données de vos patients ?
C'est la question pratique que se posent beaucoup de psychologues. Carnet papier, fichier Excel, application mobile, logiciel en ligne — toutes ces solutions ne se valent pas du point de vue du RGPD.
Un carnet papier doit être conservé sous clé, dans un local sécurisé. Un fichier Excel sur votre ordinateur doit être chiffré et protégé par mot de passe. Un logiciel en ligne doit être hébergé en France ou dans l'Union européenne, avec des garanties contractuelles de sécurité (chiffrement des données, accès sécurisé, traçabilité).
À éviter absolument : Google Docs, Dropbox ou tout outil américain sans accord de traitement des données conforme, pour stocker des notes de séance ou des informations de santé mentale.
Combien de temps conserver les dossiers ?
Les psychologues libéraux ne sont pas soumis aux mêmes règles que les médecins pour la conservation du dossier médical. En l'absence de texte spécifique, la pratique recommandée est de conserver les dossiers 5 ans après la dernière consultation. Pour les patients mineurs, il est conseillé de prolonger jusqu'à la majorité du patient, plus 5 ans.
Au-delà de ces durées, les données doivent être supprimées ou anonymisées. Un logiciel de gestion sérieux vous alertera automatiquement sur les dossiers à archiver ou à supprimer.
En cas de violation de données : que faire ?
Si vous perdez un ordinateur contenant des dossiers patients, si vous êtes victime d'un piratage, ou si des données sont transmises par erreur à un tiers, vous êtes en situation de violation de données. Vous devez alors notifier la CNIL dans les 72 heures et, si la violation présente un risque élevé pour les patients, les informer directement.
Ce délai de 72 heures est court. C'est pourquoi il est important de savoir exactement où sont stockées vos données et d'avoir un outil de gestion qui vous permet de réagir rapidement.
Practly : hébergé en France, conforme RGPD
Vos dossiers patients sont chiffrés, hébergés en France, accessibles uniquement par vous. Consentement, registre de traitement, sécurité des données — Practly est pensé pour les psychologues libéraux soucieux de leur conformité.
Essayer gratuitement →Questions fréquentes
Un psychologue libéral est-il soumis au RGPD ?
Oui, sans exception. Et comme les données de santé mentale sont classées comme données sensibles, les obligations sont renforcées par rapport aux données personnelles ordinaires.
Combien de temps conserver les dossiers des patients ?
La pratique recommandée est de 5 ans après la dernière consultation. Pour les patients mineurs, jusqu'à la majorité plus 5 ans. Au-delà, les données doivent être supprimées ou anonymisées.
Faut-il demander un consentement écrit au patient ?
Oui. Un formulaire de consentement signé à la première consultation est obligatoire. Il doit expliquer quelles données sont collectées, pourquoi, combien de temps elles sont conservées et comment le patient peut exercer ses droits.
Faut-il tenir un registre de traitement ?
Oui. Ce registre liste les données collectées, leur finalité, leur durée de conservation et les mesures de sécurité. Son absence en cas de contrôle de la CNIL est une infraction.
Quel logiciel utiliser pour rester conforme au RGPD ?
Un logiciel hébergé en France ou dans l'UE, avec chiffrement des données et accès sécurisé. Évitez les outils américains sans garanties contractuelles (certains Google Docs, Dropbox) pour stocker des notes de séance ou des informations de santé mentale.