Premier rendez-vous : le questionnaire, les données de santé et le RGPD pour un praticien bien-être

Avant une première séance, la plupart des praticiens bien-être font remplir un questionnaire : antécédents, traitements en cours, grossesse, qualité du sommeil, motif de la venue. Ces réponses ne sont pas des données comme les autres. La CNIL rappelle que sont des données de santé celles qui « révèlent des informations sur l'état de santé » d'une personne, qu'elles soient de santé par nature, par croisement ou par destination. Votre questionnaire coche les trois cases. Cet article dit ce que cela implique et comment faire simple sans faire faux.

Pourquoi votre questionnaire est concerné

La CNIL distingue trois familles : les données de santé par nature (antécédents, maladies, traitements, handicap), celles qui le deviennent par croisement (un poids et un nombre de pas), et celles qui le deviennent par leur destination, c'est-à-dire par l'usage qu'on en fait. Une réponse à la question « pourquoi venez-vous ? », posée pour adapter une séance, relève de la troisième. Le RGPD range ces données parmi les données sensibles de son article 9 : leur traitement est interdit par principe, sauf exceptions, dont le consentement explicite de la personne. C'est cette exception que vous utilisez.

Ne demander que ce qui sert

Premier réflexe, avant le consentement : alléger. Chaque question doit servir à conduire la séance ou à repérer une contre-indication. Le nom du médecin traitant, le détail d'un traitement, l'historique familial ne sont utiles que si vous en faites quelque chose. Moins vous collectez, moins vous avez à protéger, et plus le questionnaire est vite rempli.

Recueillir un consentement qui tienne

La CNIL rappelle les quatre conditions d'un consentement valable : libre, spécifique, éclairé et univoque. Pour des données de santé, il doit en plus être explicite. Concrètement : une phrase qui dit pourquoi vous posez ces questions, qui y aura accès, combien de temps vous gardez les réponses, et comment les faire effacer ; puis une case à cocher ou une signature, distincte de l'acceptation de vos conditions. Une case pré-cochée ou un consentement déduit du fait d'avoir pris rendez-vous ne valent rien.

Tenir un registre, fixer une durée

Le registre des activités de traitement est obligatoire dès que l'on traite des données sensibles, quelle que soit la taille de l'activité : un praticien seul y est tenu. Il tient sur une page : quelles données, pourquoi, qui y accède, combien de temps, où elles sont stockées. La durée, vous la fixez et vous la respectez : par exemple la durée de l'accompagnement plus un délai raisonnable, puis suppression ou archivage. La CNIL publie des repères sur les durées de conservation.

Où ne jamais stocker ces réponses

• Dans une messagerie Instagram ou WhatsApp : ces conversations ne sont ni triables, ni effaçables proprement, ni limitées à vous.
• Dans un tableur partagé ou un document en ligne sans mot de passe.
• Dans le champ « commentaire » d'une réservation, lisible par d'autres outils que le vôtre.
• Dans un outil en ligne qui n'est pas certifié pour héberger des données de santé : le Code de la santé publique réserve cet hébergement à des hébergeurs certifiés.
• Sur papier sans armoire fermée : le papier est acceptable, à condition d'être rangé et détruit au terme fixé.

Et sur RendV ?

RendV ne propose pas de questionnaire de santé intégré, et c'est un choix : un outil de réservation n'a pas vocation à héberger ces réponses, et RendV n'est pas certifié pour héberger des données de santé. Ce qu'il tient, c'est la fiche de vos clients avec leurs coordonnées, l'historique des rendez-vous et des notes privées, visibles de vous seul ou des membres de l'équipe à qui vous donnez ce droit, jamais des clients. Gardez-y l'organisation, préférences, prestations faites, suite prévue, et rien qui touche à la santé. Le questionnaire et vos observations vivent dans votre dossier, papier rangé sous clé ou outil certifié pour les données de santé, sous votre registre.