Le RGPD (Règlement Général sur la Protection des Données) est entré en vigueur en 2018. Sept ans plus tard, la plupart des sites de chirurgiens et médecins esthétiques ne sont toujours pas conformes. Non par mauvaise volonté, mais parce que les agences qui créent ces sites appliquent des solutions standard qui ne couvrent pas les spécificités du secteur médical.
Un site médical non conforme au RGPD expose le praticien à des sanctions CNIL qui peuvent aller de la mise en demeure à l’amende significative. Et la conformité RGPD est aussi un critère de confiance de plus en plus scruté par les patients avertis.
- Ce qui constitue une collecte de données sur un site médical
- Les données de santé et leur statut particulier dans le RGPD
- Les obligations concrètes : politique de confidentialité, cookies, formulaires, HTTPS
- Les sanctions réelles en cas de non-conformité
- Mesurer l’audience en restant conforme : les deux options
Ce qui constitue une collecte de données personnelles
On pense souvent que la collecte de données se limite aux bases de données clients ou aux abonnements newsletters. Sur un site médical, la collecte commence dès qu’un visiteur interagit avec le site.
Au sens du RGPD, une "donnée personnelle" est toute information permettant d'identifier directement ou indirectement une personne physique. Un nom, une adresse email, un numéro de téléphone, une adresse IP : toutes ces informations sont des données personnelles. Dès que votre site en collecte, y compris via un simple compteur de visites, le RGPD s'applique.
Sur un site médical typique, les points de collecte sont :
- Le formulaire de contact (nom, email, téléphone, message, qui peut contenir une demande médicale)
- Le système de prise de rendez-vous en ligne (données supplémentaires : date de naissance, motif de consultation)
- Les cookies de statistiques (Google Analytics, par exemple) qui collectent l’adresse IP et les données de navigation
- Les cookies publicitaires ou de ciblage (Meta Pixel, Google Ads) si présents
Le cas particulier des données de santé
C’est la spécificité qui distingue le site d’un praticien de tous les autres sites professionnels.
L'article 9 du RGPD crée une catégorie spéciale pour les "données relatives à la santé". Leur traitement est en principe interdit, sauf exceptions, notamment le fait que le traitement est nécessaire à des fins de médecine préventive, de diagnostic médical ou de prise en charge médicale. Pour un praticien, la collecte via un formulaire de demande de consultation entre dans cette exception, à condition de satisfaire toutes les obligations de protection associées.
Règlement UE 2016/679 (RGPD), article 9Concrètement : quand un patient écrit dans le formulaire de contact “je souhaite consulter pour une rhinoplastie suite à un accident de voiture”, les informations médicales qu’il communique sont des données de santé au sens de l’article 9. Elles bénéficient d’une protection renforcée et leur traitement doit satisfaire des obligations spécifiques.
Un site médical dont le formulaire de contact ne comporte aucune mention RGPD collecte potentiellement des données de santé sans base légale conforme. C'est l'une des violations les plus courantes et les plus facilement identifiables par la CNIL lors d'un contrôle.
Les obligations concrètes
La politique de confidentialité
Toute entité qui collecte des données personnelles doit publier une politique de confidentialité. Cette politique doit être :
- Accessible depuis toutes les pages du site (généralement en pied de page)
- Rédigée en termes clairs et compréhensibles
- Spécifique au site concerné (pas une politique générique copiée-collée)
Une politique de confidentialité pour un site médical doit mentionner :
- L’identité du responsable de traitement (le praticien ou la structure)
- Les catégories de données collectées (contact, rendez-vous, navigation)
- La finalité de chaque traitement
- La durée de conservation pour chaque catégorie
- Les droits des personnes concernées (accès, rectification, effacement, portabilité, opposition)
- Les coordonnées du responsable de traitement pour exercer ces droits
- Les éventuels sous-traitants (hébergeur, prestataire de messagerie)
L’erreur fréquente : une politique de confidentialité générique téléchargée sur internet, qui mentionne des cookies que le site n’a pas, ne cite pas le bon hébergeur, et ne couvre pas les spécificités du formulaire médical.
Le consentement aux cookies
Si le site utilise des cookies de traçage (analytics, publicité, réseaux sociaux), le consentement préalable et explicite du visiteur est obligatoire.
Bandeau de cookies non conforme
- Seul un bouton “Accepter” visible
- Refus difficile ou caché
- Cookies activés avant le consentement
- Pas d’option de gestion granulaire
- Consentement valable pour une durée indéfinie sans renouvellement
Bandeau de cookies conforme
- Boutons “Accepter” et “Refuser” également visibles
- Cookies inactifs jusqu’au consentement
- Option de gestion détaillée par catégorie
- Consentement renouvelé au maximum tous les 13 mois
- Possibilité de retirer le consentement à tout moment
Les formulaires
Chaque formulaire de contact doit comporter :
- Une mention sur la finalité du traitement des données (ex : “Vos données sont utilisées pour traiter votre demande et vous recontacter”)
- L’identité du responsable de traitement (ou un lien vers les mentions légales)
- La durée de conservation des données
- Un lien vers la politique de confidentialité complète
- Une case de consentement non pré-cochée (si le formulaire collecte des données au-delà des strictes nécessités)
Formulaire sans mention RGPD : l'une des infractions les plus facilement identifiables lors d'un contrôle CNIL. Le test couvre 3 points RGPD spécifiques aux sites médicaux.
Le HTTPS
La CNIL recommande explicitement le HTTPS pour tout site qui collecte des données personnelles. Un site médical en HTTP (sans certificat SSL) transmet les données des formulaires en clair sur le réseau, ce qui constitue une mesure de sécurité insuffisante pour des données potentiellement médicales. De plus, Google affiche un avertissement "Site non sécurisé" pour les sites en HTTP, ce qui décourage les patients et pénalise le référencement.
Les sanctions en cas de non-conformité
Les sanctions CNIL sont progressives : elles commencent généralement par une mise en demeure, avant d’évoluer vers une amende si la mise en conformité n’est pas réalisée.
Première étape : la CNIL adresse une mise en demeure de se conformer dans un délai défini. Cette mise en demeure peut être publique, ce qui constitue en soi un préjudice de réputation pour un praticien.
En cas de non-conformité persistante, la CNIL peut prononcer une amende. Pour un cabinet libéral, le niveau des amendes réellement prononcées pour des manquements courants (politique de confidentialité absente, cookies sans consentement) est généralement de l'ordre de quelques milliers à dizaines de milliers d'euros selon la gravité et la récidive. Le plafond légal est de 4% du chiffre d'affaires annuel ou 20 millions d'euros, applicable aux grandes entreprises.
Les violations RGPD peuvent aussi être signalées par des patients directement à la CNIL. Un patient qui demande l'effacement de ses données et n'obtient pas de réponse dans les délais légaux peut déposer une plainte. Ces plaintes individuelles ont conduit à des procédures formelles contre des praticiens.
Mesurer l’audience en restant conforme : les deux options
Un praticien a souvent besoin de savoir combien de patients consultent son site et quelles pages ils lisent. Deux approches sont conformes.
Un outil de mesure exempté de consentement
Certains outils de mesure d’audience peuvent fonctionner sans bandeau, à condition de respecter les conditions d’exemption de la CNIL :
- finalité limitée à la seule mesure d’audience, pour le compte exclusif du site
- données statistiques anonymes uniquement
- aucun recoupement avec d’autres traitements ni transmission de données non anonymes à des tiers
- aucun suivi de la navigation sur d’autres sites
L’exemption dépend de la configuration de l’outil, pas seulement de son nom : elle se vérifie au cas par cas.
Un outil soumis au consentement, avec un bandeau conforme
Un outil qui ne remplit pas ces conditions reste utilisable sur un site médical, à condition de recueillir le consentement du visiteur avec un bandeau correctement construit :
- aucun cookie déposé et aucun script chargé avant que le visiteur clique sur « Accepter »
- un bouton « Refuser » aussi visible que le bouton « Accepter »
- un choix conservé, puis redemandé après quelques mois (la CNIL recommande 6 mois)
- un lien permanent, en bas de page, pour modifier ou retirer son choix
Dans les deux cas, Google Search Console complète utilement la mesure : c'est un outil côté Google, qui ne dépose aucun cookie sur le site des visiteurs et indique sur quelles requêtes le site apparaît.
Quel que soit l’outil choisi, le principe reste le même : ne collecter que les données qui servent réellement.
- Tout formulaire de contact sur un site médical collecte des données personnelles soumises au RGPD
- Les données médicales transmises dans les formulaires sont des “données de santé” au sens de l’article 9 : protection renforcée
- Obligations concrètes : politique de confidentialité spécifique, consentement cookies conforme, formulaires avec mentions RGPD, HTTPS
- Les sanctions CNIL commencent par une mise en demeure, qui peut être publique, avant l’amende
- Mesure d’audience : un outil exempté et correctement configuré, ou un bandeau où rien n’est chargé avant l’accord du visiteur
Notre audit de conformité déontologique et RGPD pour site médical couvre les obligations spécifiques aux sites médicaux, avec les corrections à apporter pour chaque point identifié.