RGPD : ce que votre site doit prévoir

01Qui répond de quoi

Le RGPD distingue deux rôles. Le responsable du traitement décide pourquoi et comment les données sont traitées. Pour le site de votre cabinet, c’est vous, ou votre société d’exercice.

Le sous-traitant traite les données pour le compte du responsable, dans le cadre d’un service ou d’une prestation. Ce sont vos prestataires : celui qui fait fonctionner le site, l’hébergeur qui le garde en ligne, le service qui vous transmet les messages du formulaire.

C’est donc à vous de répondre aux demandes des visiteurs et de tenir votre registre ; vos prestataires doivent vous en donner les moyens.

02Informer les visiteurs : la politique de confidentialité

Dès qu’une donnée est recueillie, l’article 13 du RGPD impose d’informer la personne au moment de la collecte, en termes clairs et simples (article 12). C’est le rôle de la politique de confidentialité. Elle indique :

La CNIL propose deux niveaux : quelques lignes sous le formulaire, qui renvoient à la page complète, elle-même liée depuis le pied de chaque page. Cette page ne porte que sur le site : l’information des patients sur leur dossier passe par l’affiche en salle d’attente que propose l’Ordre.

03Le formulaire de contact, sans donnée de santé

Un nom, une adresse e-mail, un téléphone facultatif et un message suffisent pour répondre. N’en demandez pas plus : l’article 5 du RGPD veut des données « adéquates, pertinentes et limitées à ce qui est nécessaire ». La CNIL recommande aussi de signaler clairement les champs obligatoires.

Surtout, pas de champ « motif de consultation » ni « antécédents ». Les données concernant la santé font partie des catégories particulières dont l’article 9 interdit le traitement par principe, sauf exceptions : le formulaire d’un site n’est pas fait pour les recueillir.

Un patient peut pourtant décrire spontanément sa douleur. D’où un rappel visible, au-dessus du champ du message :

Si un message en contient malgré tout, traitez-le comme tout échange avec un patient, couvert par le secret : ne le transférez pas, proposez d’appeler ou de prendre rendez-vous, et ne le gardez pas plus que nécessaire.

Les sites DoctoClic n’ont pas de formulaire de contact : vos patients vous joignent par téléphone, par e-mail si vous en affichez un, ou prennent rendez-vous en ligne avec l’agenda de votre choix.

04Cookies et traceurs : quand faut-il un bandeau ?

Un traceur est une information déposée ou lue sur l’appareil du visiteur : un cookie, un pixel invisible, un identifiant. L’article 82 de la loi Informatique et Libertés exige le consentement préalable du visiteur, sauf pour les traceurs strictement nécessaires au service qu’il a demandé.

Quand il est requis, la CNIL fixe les règles : une action positive du visiteur, un refus aussi simple que l’acceptation (« Tout refuser » au même niveau que « Tout accepter »), un retrait possible à tout moment.

Un site sans traceur soumis à consentement n’a donc ni consentement à recueillir, ni bandeau à afficher. Deux vigilances : un contenu intégré d’un autre service (vidéo, carte interactive, bouton de partage d’un réseau social) peut déposer ses propres traceurs ; et une mesure d’audience n’est pas exemptée si son fournisseur réutilise les données pour son propre compte.

Sur un site DoctoClic, aucun traceur soumis à consentement : la fréquentation est comptée sans cookie, sans identifiant et sans conserver l’adresse IP, et la politique de confidentialité l’explique. Le plan d’accès et la prise de rendez-vous s’ouvrent par un simple lien. Pas de bandeau, donc.

05Durées de conservation et droits des personnes

Les données ne se gardent pas indéfiniment : l’article 5 du RGPD limite leur conservation à la durée nécessaire au but poursuivi. Pour chaque usage du site, fixez une durée, écrivez-la dans la politique de confidentialité et respectez-la :

• les messages du formulaire : le temps de traiter la demande, puis suppression, sauf si l’échange doit rejoindre le dossier du patient ;
• les statistiques de visite : 25 mois au plus, selon la recommandation de la CNIL pour la mesure d’audience ;
• le dossier du patient suit ses propres règles, en principe 20 ans à compter de la dernière consultation selon le modèle de registre de l’Ordre : il n’a rien à faire sur le site.

Toute personne peut demander l’accès à ses données, leur rectification ou leur effacement, la limitation du traitement, leur portabilité, ou s’y opposer (articles 15 à 22). Vous répondez au plus tard dans un mois, délai prolongeable de deux mois pour une demande complexe si vous prévenez la personne dans le premier mois (article 12). En cas de doute raisonnable sur son identité, vous pouvez demander un justificatif.

06Le registre et le contrat de sous-traitance

L’article 30 du RGPD dispense du registre les structures de moins de 250 employés, sauf notamment si le traitement n’est pas occasionnel ou s’il porte sur des données de santé. C’est le cas d’un cabinet. La CNIL le confirme : un professionnel de santé libéral doit tenir un registre des activités de traitement, le garder en interne et le présenter en cas de contrôle.

L’Ordre en propose un modèle, pré-rempli pour les patients, le personnel et les fournisseurs. Ajoutez-y une fiche pour le site : formulaire de contact et mesure de fréquentation, avec leurs durées de conservation et vos prestataires comme sous-traitants. Si vous exercez à titre individuel, la désignation d’un délégué à la protection des données n’est pas obligatoire ; elle le devient si vous traitez des données de santé à grande échelle, par exemple dans un centre de santé, selon la CNIL.

Demandez ces clauses à votre prestataire de site : dans ses conditions générales ou dans un document à part. La CNIL en publie un exemple dans son guide du sous-traitant. Sur un site DoctoClic, elles figurent à l’annexe 1 des conditions générales de vente.

07Récapitulatif

Sur un site DoctoClic, la politique de confidentialité est rédigée à votre nom et avec vos coordonnées, et le site ne dépose aucun traceur soumis à consentement : il vous reste à la relire et à compléter votre registre.

Ce guide résume les textes et les recommandations de la CNIL en vigueur au 28 septembre 2026. Il ne remplace pas l’avis de votre conseil départemental de l’Ordre ni celui d’un juriste.