RGPD et site de profession réglementée : les obligations concrètes

Créer le site de son cabinet, c’est souvent aborder le RGPD par le mauvais bout. On pense bandeau cookies et politique de confidentialité, on coche deux cases, on passe à autre chose. Puis un formulaire de contact collecte des noms, une prise de rendez-vous enregistre des motifs de consultation, un outil de statistiques suit les visiteurs. Les données s’accumulent sans cadre.

Pour un professionnel réglementé, l’enjeu est double. Il y a le risque de sanction, réel. Il y a aussi la confiance de ceux qui confient une information sensible : un patient, un client, un justiciable. Un site négligé abîme les deux.

Ce guide décrit les obligations concrètes, pas la théorie. Le registre à tenir, la base légale à choisir, les cookies, les données de santé, les sanctions fréquentes. De quoi savoir où vous en êtes vraiment.

Le RGPD s’applique à votre cabinet, quelle que soit sa taille

Beaucoup de professionnels pensent le RGPD réservé aux grandes structures. C’est faux. Le règlement vise tout organisme qui traite des données personnelles, sans seuil d’effectif ni de revenus.

Un point revient sans cesse dans les questions qu’on reçoit des cabinets : « je n’ai qu’un formulaire de contact, suis-je concerné ? ». Oui. Un nom, une adresse e-mail, un numéro de téléphone sont des données personnelles. Les recueillir, les stocker, les consulter, tout cela constitue un traitement au sens du règlement.

L’idée d’une exemption pour les petites structures circule beaucoup. Elle repose sur une lecture tronquée de l’article 30 du RGPD. Le texte dispense de registre les organismes de moins de 250 salariés, mais assortit cette dispense de trois exceptions. L’obligation revient dès que le traitement n’est pas occasionnel, qu’il présente un risque pour les personnes, ou qu’il porte sur des données sensibles. Une seule de ces situations suffit. Or gérer un fichier de clients ou de patients est par nature un traitement non occasionnel. L’exemption tombe presque toujours.

La CNIL retient d’ailleurs une lecture stricte. Son propre modèle de registre destiné aux petites structures recommande à toutes les organisations d’en tenir un. Le principe d’accountability, au cœur du règlement, impose de pouvoir démontrer sa conformité. On ne démontre pas la conformité d’un traitement qu’on n’a même pas recensé.

Pour un professionnel réglementé, cette exigence se double d’une sensibilité accrue des données. Un médecin manipule des données de santé, un notaire des informations patrimoniales, un expert-comptable des données fiscales. Le socle est le même pour tous, mais son intensité monte avec la nature de ce qui est traité.

Le registre des traitements, votre premier document de conformité

Le registre des activités de traitement est la pierre angulaire du dispositif. C’est le premier document que la CNIL demande en cas de contrôle. Son absence ou ses lacunes reviennent parmi les manquements les plus fréquemment sanctionnés.

Ce registre n’a rien d’un document décoratif. Il recense chaque traitement de données mené par le cabinet, du formulaire de contact à la newsletter en passant par la prise de rendez-vous. Il sert d’outil de pilotage interne, de preuve de conformité et de support de transparence.

La CNIL met à disposition un modèle gratuit, en tableur, qui couvre ces champs minimaux. C’est une base de départ solide pour un cabinet qui découvre l’exercice. Le registre se tient à jour et doit pouvoir être présenté immédiatement en cas de contrôle.

D’après la Commission nationale de l’informatique et des libertés (modèle de registre des activités de traitement à destination des TPE et PME), un registre doit être tenu quelle que soit la taille de l’organisme dès lors que les traitements sont réguliers, ce qui est le cas d’un fichier de clients ou de patients. CNIL, le registre des activités de traitement

Un cabinet qui hésitait à formaliser ce document nous a résumé son blocage : « je ne savais pas par où commencer, alors je ne commençais pas ». Le registre paraît intimidant vu de loin. Rempli ligne par ligne, traitement par traitement, il devient un simple inventaire. C’est souvent en le remplissant qu’on prend conscience du volume réel de données qu’on manipule.

La base légale, ce que la CNIL vérifie en premier

Avant de démarrer un traitement, le RGPD impose de choisir sa base légale. C’est le fondement qui rend la collecte licite. Sans base légale valable, un traitement est irrégulier, même si tout le reste est en ordre.

Le règlement prévoit six bases légales possibles. Toutes ne se valent pas selon la situation, et le réflexe du consentement systématique est souvent une erreur.

Pour un formulaire de contact, la base la plus adaptée est souvent l’intérêt légitime ou l’exécution de mesures précontractuelles, pas le consentement. Pour une lettre d’information, en revanche, le consentement s’impose. Chaque traitement mérite sa propre analyse.

Ce cas revient régulièrement : un cabinet coche « consentement » partout, par prudence, en pensant se couvrir. En réalité, un consentement mal placé fragilise le traitement. La personne peut le retirer, et le cabinet se retrouve sans base pour une activité pourtant légitime. La bonne base légale protège mieux qu’un consentement de façade.

Cookies, politique de confidentialité et information des visiteurs

Le volet le plus visible du RGPD sur un site reste la gestion des traceurs et l’information des personnes. C’est aussi le terrain des sanctions les plus nombreuses.

Le consentement aux cookies non essentiels doit être libre et éclairé. Refuser doit être aussi simple qu’accepter. Un bandeau qui met en avant un gros bouton « tout accepter » sans option de refus équivalente relève du dark pattern, sanctionné par la CNIL. Les cookies de mesure d’audience et de publicité supposent un accord préalable. Seuls les traceurs strictement nécessaires au fonctionnement du site s’en dispensent.

La politique de confidentialité, elle, doit rester accessible et lisible. Elle précise les finalités de chaque collecte, les durées de conservation, les destinataires et les moyens d’exercer ses droits. Un visiteur doit pouvoir comprendre ce qu’il advient de ses données sans être juriste.

Un point technique passe souvent inaperçu et pèse pourtant lourd en cas de contrôle : les sous-traitants. Votre hébergeur, votre outil d’e-mailing, votre logiciel de rendez-vous traitent des données pour votre compte. Le RGPD impose de signer avec chacun un accord de traitement des données, souvent appelé DPA. Ce contrat encadre ce que le prestataire a le droit de faire, ses obligations de sécurité et le sort des données en fin de relation. Une relation de sous-traitance mal encadrée figure parmi les manquements que la CNIL relève régulièrement. Beaucoup de cabinets utilisent des outils sans avoir jamais vérifié ce point, alors que le document existe presque toujours côté prestataire, à demander une fois.

La sécurisation par HTTPS s’est imposée comme un standard attendu. Son absence est perçue comme un signal négatif, par les visiteurs comme par les moteurs de recherche. Ce point rejoint la logique du référencement naturel des professions réglementées. Un site techniquement propre sert à la fois la conformité et la visibilité.

Un dernier réflexe utile concerne les avis clients. Republier sur son site un avis nominatif suppose une base légale et le respect des droits de la personne citée. Pour les professions de santé, la question se double d’un interdit déontologique. Afficher des témoignages de patients reste prohibé, un point développé dans notre article sur le site d’un médecin et le secret médical.

Données de santé et patrimoniales, le cas des professions à données sensibles

Certaines professions manipulent des données que le RGPD qualifie de particulières, ou dont la sensibilité appelle une vigilance renforcée. Les données de santé en tête, mais aussi les données patrimoniales et fiscales.

Pour les données de santé, une règle spécifique s’ajoute au RGPD : l’hébergement. L’article L1111-8 du Code de la santé publique pose une règle claire. Toute donnée de santé hébergée par un tiers doit l’être chez un prestataire certifié Hébergeur de Données de Santé, dit HDS.

Il faut bien comprendre la portée de cette obligation, souvent mal lue. Un site vitrine de médecin qui présente le cabinet et ses horaires n’héberge aucune donnée de santé. Il n’est pas soumis à l’obligation HDS. Elle naît dès qu’un outil stocke des données de santé. Un module de prise de rendez-vous avec motif de consultation, un espace de dépôt de documents, une messagerie sécurisée. C’est alors le prestataire qui héberge ces données qui doit être certifié.

Le référentiel HDS a été renforcé. La version 2.0 de 2024 intègre des exigences de souveraineté des données, avec une mise en conformité attendue courant 2026. Pour un cabinet, l’implication est simple : privilégier des outils dont l’hébergeur affiche clairement sa certification HDS à jour.

D’après le Code de la santé publique (article L1111-8), toute personne qui héberge des données de santé à caractère personnel recueillies à l’occasion d’activités de prévention, de diagnostic ou de soins doit disposer d’un certificat de conformité, la certification HDS. Légifrance, article L1111-8 du Code de la santé publique

Pour les conseillers en gestion de patrimoine, la logique est voisine sans être identique. Les données patrimoniales ne relèvent pas du régime HDS, mais leur sensibilité justifie des mesures de sécurité renforcées et une attention particulière aux sous-traitants. Ces professionnels cumulent par ailleurs des obligations d’affichage de statut. Elles sont détaillées dans notre guide sur les statuts ORIAS et AMF du CGP.

Un cabinet médical qui préparait sa refonte nous a interrogés sur ce point : fallait-il un hébergement HDS pour un simple site de présentation ? Non, tant qu’aucune donnée de patient n’y est stockée. La confusion est fréquente. Elle coûte parfois des surcoûts d’hébergement inutiles, ou à l’inverse fait négliger la certification là où elle est vraiment requise. Ces arbitrages se cadrent en amont d’une création de site pour un médecin, avant même de choisir un outil de rendez-vous.

Répondre aux droits des personnes, une obligation qu’on oublie souvent

La conformité ne s’arrête pas à la collecte. Le RGPD donne à chaque personne des droits sur ses données, et le professionnel doit pouvoir y répondre. Ce volet est souvent négligé, car il ne se voit pas sur le site. Il se joue le jour où une demande arrive.

Toute personne peut demander l’accès aux données que vous détenez sur elle, leur rectification si elles sont inexactes, ou leur effacement dans certains cas. Elle peut aussi s’opposer à un traitement ou en demander la limitation. Ces demandes se traitent dans un délai d’un mois, prolongeable si le dossier est complexe. Un cabinet qui ne sait pas où se trouvent les données d’une personne ne peut pas répondre dans les temps. Le registre, encore lui, sert alors de carte pour retrouver l’information.

Un point mérite l’attention des professions à secret. Le droit d’accès d’un tiers ne prime jamais sur le secret professionnel ou médical. Un patient accède à ses propres données, pas à celles d’un autre. Un client d’un cabinet comptable de même. La bonne réponse à une demande suppose donc de vérifier l’identité du demandeur et le périmètre exact de ce qu’il peut obtenir. En cas de doute sur l’articulation entre droit d’accès et secret, mieux vaut interroger son ordre ou la CNIL avant de communiquer une pièce.

La transparence figure au cœur de ce dispositif. Informer clairement, dès la collecte, sur les droits disponibles et la façon de les exercer réduit le risque de plainte. Une personne bien informée qui obtient une réponse rapide ne saisit presque jamais la CNIL. La plainte naît le plus souvent du silence ou de l’esquive, rarement d’une donnée mal placée.

Vérifier la conformité RGPD de son site, la méthode

Passer de la théorie à un site réellement conforme suppose une démarche ordonnée. Voici les points à contrôler, du plus structurant au plus fin.

Cette méthode vaut pour l’immense majorité des cabinets. Elle ne remplace pas l’avis d’un délégué à la protection des données quand un traitement de données de santé prend de l’ampleur. Sur un sujet sensible, mieux vaut valider auprès de la CNIL ou d’un professionnel du droit des données que trancher seul.

Ce qu’un site non conforme fait vraiment courir

Le sujet des sanctions crispe souvent, à tort ou à raison. Un cadrage honnête vaut mieux qu’un discours anxiogène.

Le RGPD prévoit des amendes lourdes. Elles peuvent atteindre 20 millions d’euros ou 4 pour cent du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Ces plafonds visent d’abord les grands manquements de grandes structures. Pour un cabinet, ils fixent un cadre plus qu’ils ne décrivent un risque quotidien.

Le risque concret est ailleurs. Il tient à la procédure simplifiée que la CNIL peut engager après une plainte ou un contrôle. L’amende y est plafonnée à 20 000 euros, mais bien réelle. Les manquements qui reviennent le plus souvent sont connus. Absence ou lacunes du registre, consentement cookies non valide, durée de conservation excessive, défaut de sécurité, information insuffisante des personnes.

D’après la Commission nationale de l’informatique et des libertés, le montant maximal d’une amende administrative peut s’élever à 20 millions d’euros ou 4 pour cent du chiffre d’affaires annuel mondial total, le montant le plus élevé étant retenu. CNIL, les sanctions pouvant être prononcées

Au-delà de l’amende, deux conséquences pèsent autant pour un professionnel réglementé. La première est réputationnelle : une plainte ou une mise en demeure publique entame la confiance, valeur centrale de ces métiers. La seconde est disciplinaire : un manquement à la protection des données peut croiser la déontologie, notamment quand le secret professionnel est en jeu. Ces obligations s’articulent avec l’ensemble des règles du site d’une profession réglementée, dont le RGPD n’est qu’une couche parmi d’autres.

La bonne nouvelle, c’est que la conformité RGPD d’un site de cabinet n’a rien d’insurmontable. Un registre tenu, des bases légales choisies, des cookies gérés proprement, un hébergement adapté aux données traitées : l’essentiel tient dans une poignée de réflexes structurants. Le plus dur est de s’y mettre. Ensuite, c’est de l’entretien.

Sources

• CNIL, le registre des activités de traitement
• CNIL, les sanctions pouvant être prononcées
• CNIL, cookies et traceurs, ce que dit la loi
• CNIL, les bases légales d’un traitement
• Légifrance, article L1111-8 du Code de la santé publique
• EUR-Lex, règlement général sur la protection des données, article 30
• Agence du Numérique en Santé, la certification HDS
• CNIL, notifier une violation de données personnelles