Le RGPD (Règlement Général sur la Protection des Données) est entré en vigueur en 2018. Sept ans plus tard, la plupart des sites de chirurgiens et médecins esthétiques ne sont toujours pas conformes. Non par mauvaise volonté, mais parce que les agences qui créent ces sites appliquent des solutions standard qui ne couvrent pas les spécificités du secteur médical.
Un site médical non conforme au RGPD expose le praticien à des sanctions CNIL qui peuvent aller de la mise en demeure à l’amende significative. Et la conformité RGPD est aussi un critère de confiance de plus en plus scruté par les patients avertis.
- Ce qui constitue une collecte de données sur un site médical
- Les données de santé et leur statut particulier dans le RGPD
- Les obligations concrètes : politique de confidentialité, cookies, formulaires, HTTPS
- Les sanctions réelles en cas de non-conformité
- La solution simple : un site sans cookies de traçage
Ce qui constitue une collecte de données personnelles
On pense souvent que la collecte de données se limite aux bases de données clients ou aux abonnements newsletters. Sur un site médical, la collecte commence dès qu’un visiteur interagit avec le site.
Au sens du RGPD, une "donnée personnelle" est toute information permettant d'identifier directement ou indirectement une personne physique. Un nom, une adresse email, un numéro de téléphone, une adresse IP : toutes ces informations sont des données personnelles. Dès que votre site en collecte, y compris via un simple compteur de visites, le RGPD s'applique.
Sur un site médical typique, les points de collecte sont :
- Le formulaire de contact (nom, email, téléphone, message, qui peut contenir une demande médicale)
- Le système de prise de rendez-vous en ligne (données supplémentaires : date de naissance, motif de consultation)
- Les cookies de statistiques (Google Analytics, par exemple) qui collectent l’adresse IP et les données de navigation
- Les cookies publicitaires ou de ciblage (Meta Pixel, Google Ads) si présents
Le cas particulier des données de santé
C’est la spécificité qui distingue le site d’un praticien de tous les autres sites professionnels.
L'article 9 du RGPD crée une catégorie spéciale pour les "données relatives à la santé". Leur traitement est en principe interdit, sauf exceptions, notamment le fait que le traitement est nécessaire à des fins de médecine préventive, de diagnostic médical ou de prise en charge médicale. Pour un praticien, la collecte via un formulaire de demande de consultation entre dans cette exception, à condition de satisfaire toutes les obligations de protection associées.
Règlement UE 2016/679 (RGPD), article 9Concrètement : quand un patient écrit dans le formulaire de contact “je souhaite consulter pour une rhinoplastie suite à un accident de voiture”, les informations médicales qu’il communique sont des données de santé au sens de l’article 9. Elles bénéficient d’une protection renforcée et leur traitement doit satisfaire des obligations spécifiques.
Un site médical dont le formulaire de contact ne comporte aucune mention RGPD collecte potentiellement des données de santé sans base légale conforme. C'est l'une des violations les plus courantes et les plus facilement identifiables par la CNIL lors d'un contrôle.
Les obligations concrètes
La politique de confidentialité
Toute entité qui collecte des données personnelles doit publier une politique de confidentialité. Cette politique doit être :
- Accessible depuis toutes les pages du site (généralement en pied de page)
- Rédigée en termes clairs et compréhensibles
- Spécifique au site concerné (pas une politique générique copiée-collée)
Une politique de confidentialité pour un site médical doit mentionner :
- L’identité du responsable de traitement (le praticien ou la structure)
- Les catégories de données collectées (contact, rendez-vous, navigation)
- La finalité de chaque traitement
- La durée de conservation pour chaque catégorie
- Les droits des personnes concernées (accès, rectification, effacement, portabilité, opposition)
- Les coordonnées du responsable de traitement pour exercer ces droits
- Les éventuels sous-traitants (hébergeur, prestataire de messagerie)
L’erreur fréquente : une politique de confidentialité générique téléchargée sur internet, qui mentionne des cookies que le site n’a pas, ne cite pas le bon hébergeur, et ne couvre pas les spécificités du formulaire médical.
Le consentement aux cookies
Si le site utilise des cookies de traçage (analytics, publicité, réseaux sociaux), le consentement préalable et explicite du visiteur est obligatoire.
Bandeau de cookies non conforme
- Seul un bouton “Accepter” visible
- Refus difficile ou caché
- Cookies activés avant le consentement
- Pas d’option de gestion granulaire
- Consentement valable pour une durée indéfinie sans renouvellement
Bandeau de cookies conforme
- Boutons “Accepter” et “Refuser” également visibles
- Cookies inactifs jusqu’au consentement
- Option de gestion détaillée par catégorie
- Consentement renouvelé au maximum tous les 13 mois
- Possibilité de retirer le consentement à tout moment
Les formulaires
Chaque formulaire de contact doit comporter :
- Une mention sur la finalité du traitement des données (ex : “Vos données sont utilisées pour traiter votre demande et vous recontacter”)
- L’identité du responsable de traitement (ou un lien vers les mentions légales)
- La durée de conservation des données
- Un lien vers la politique de confidentialité complète
- Une case de consentement non pré-cochée (si le formulaire collecte des données au-delà des strictes nécessités)
Formulaire sans mention RGPD : l'une des infractions les plus facilement identifiables lors d'un contrôle CNIL. Le test couvre 3 points RGPD spécifiques aux sites médicaux.
Le HTTPS
La CNIL recommande explicitement le HTTPS pour tout site qui collecte des données personnelles. Un site médical en HTTP (sans certificat SSL) transmet les données des formulaires en clair sur le réseau, ce qui constitue une mesure de sécurité insuffisante pour des données potentiellement médicales. De plus, Google affiche un avertissement "Site non sécurisé" pour les sites en HTTP, ce qui décourage les patients et pénalise le référencement.
Les sanctions en cas de non-conformité
Les sanctions CNIL sont progressives : elles commencent généralement par une mise en demeure, avant d’évoluer vers une amende si la mise en conformité n’est pas réalisée.
Première étape : la CNIL adresse une mise en demeure de se conformer dans un délai défini. Cette mise en demeure peut être publique, ce qui constitue en soi un préjudice de réputation pour un praticien.
En cas de non-conformité persistante, la CNIL peut prononcer une amende. Pour un cabinet libéral, le niveau des amendes réellement prononcées pour des manquements courants (politique de confidentialité absente, cookies sans consentement) est généralement de l'ordre de quelques milliers à dizaines de milliers d'euros selon la gravité et la récidive. Le plafond légal est de 4% du chiffre d'affaires annuel ou 20 millions d'euros, applicable aux grandes entreprises.
Les violations RGPD peuvent aussi être signalées par des patients directement à la CNIL. Un patient qui demande l'effacement de ses données et n'obtient pas de réponse dans les délais légaux peut déposer une plainte. Ces plaintes individuelles ont conduit à des procédures formelles contre des praticiens.
La solution simple : un site sans cookies de traçage
La façon la plus efficace de simplifier la conformité RGPD d’un site médical est d’éviter les cookies de traçage.
Un site sans Google Analytics, sans Meta Pixel, sans cookies publicitaires n'a pas besoin de bandeau de consentement. Il n'a pas à maintenir une liste de cookies à jour. Il n'a pas à gérer des consentements expirés. Pour un praticien dont l'objectif est simplement de comprendre le trafic de son site, Google Search Console suffit : c'est un outil back-end qui ne dépose aucun cookie sur le site des visiteurs.
Cette approche “privacy by design”, construire un site sans collecte superflue plutôt que de gérer la conformité d’une collecte étendue, est recommandée par la CNIL et correspond à l’esprit du RGPD.
- Tout formulaire de contact sur un site médical collecte des données personnelles soumises au RGPD
- Les données médicales transmises dans les formulaires sont des “données de santé” au sens de l’article 9 : protection renforcée
- Obligations concrètes : politique de confidentialité spécifique, consentement cookies conforme, formulaires avec mentions RGPD, HTTPS
- Les sanctions CNIL commencent par une mise en demeure, qui peut être publique, avant l’amende
- La solution optimale : un site sans cookies de traçage qui simplifie la conformité à la source
Notre audit de conformité déontologique et RGPD pour site médical couvre les obligations spécifiques aux sites médicaux, avec les corrections à apporter pour chaque point identifié. Voir aussi : les formulaires de contact sur un site médical : ce que le RGPD impose exactement.