RGPD et prise de rendez-vous
Vous collectez des données personnelles dès le premier rendez-vous. Voici ce que cela implique.
Par Margot Miller — Rédaction, blog Wibook
Dès que vous collectez le nom, l'e-mail ou le téléphone d'un client pour un rendez-vous, vous traitez des données personnelles et le RGPD s'applique. Quatre obligations principales : ne collecter que ce qui est nécessaire au rendez-vous, informer la personne de ce que vous en faites, conserver ces données une durée limitée et justifiable, et pouvoir les supprimer sur demande. Les données de santé — que traitent thérapeutes et praticiens — relèvent d'un régime renforcé. L'hébergement dans l'Union européenne sur une infrastructure certifiée HDS — c'est le cas de Wibook, sur Google Cloud dans l'Union européenne — simplifie nettement la conformité.
Dès qu'une personne réserve chez vous en laissant son nom et son adresse e-mail, vous traitez des données personnelles. Cela vous rend responsable de traitement au sens du RGPD, quelle que soit la taille de votre activité. Ce n'est pas grave, mais cela suppose quelques réflexes.
Ce texte n'est pas un conseil juridique. Il rassemble les points qui reviennent le plus souvent. Pour une situation particulière, notamment si vous traitez des données de santé, consultez un professionnel du droit.
Les principes qui vous concernent vraiment
Ne demandez que le nécessaire
Pour confirmer un rendez-vous, un nom et un moyen de contact suffisent. Demander la date de naissance, l'adresse postale ou la profession « au cas où » vous met en défaut. C'est le principe de minimisation, et c'est le plus souvent enfreint.
Dites à quoi ça sert
Une phrase suffit : « Vos coordonnées servent à confirmer et à vous rappeler votre rendez-vous. » Une politique de confidentialité accessible depuis votre site complète l'information.
Ne gardez pas indéfiniment
Trois ans après le dernier contact est une durée couramment retenue pour un fichier client. Les factures, elles, doivent être conservées dix ans pour des raisons comptables.
Sachez répondre à une demande
Un client peut demander l'accès à ses données, leur correction ou leur suppression. Vous avez un mois pour répondre. En pratique, il suffit de savoir où elles sont.
Le cas des cookies
Si votre site mesure son audience avec un outil comme Google Analytics, vous devez recueillir le consentement avant tout dépôt. Le bandeau doit permettre de refuser aussi facilement que d'accepter : un bouton « Tout accepter » sans bouton « Refuser » de même visibilité est sanctionnable, et la CNIL l'a rappelé à plusieurs reprises.
Le cas des données de santé
Si vous êtes praticien, attention à la limite. Un nom et un créneau ne sont pas des données de santé. Un motif de consultation détaillé, si. Les données de santé relèvent d'un régime plus strict et, pour un hébergement externalisé, d'une certification spécifique : l'agrément HDS (Hébergeur de Données de Santé). Wibook s'appuie sur Google Cloud, dans l'Union européenne, une infrastructure certifiée HDS, ce qui répond à cette exigence. La règle pratique reste toutefois de ne faire transiter aucun motif médical détaillé par un outil de prise de rendez-vous : moins vous en collectez, plus votre conformité est simple.
Quand vous utilisez un outil tiers
Votre prestataire est sous-traitant : il traite les données pour votre compte. Vérifiez trois points avant de vous engager :
- Où les données sont-elles hébergées ? Un hébergement dans l'Union européenne simplifie tout.
- Combien de temps sont-elles conservées ?
- Sont-elles utilisées à d'autres fins, notamment publicitaires ?
Une liste minimale pour être en règle
- Ne demandez que le nom et un moyen de contact.
- Publiez une politique de confidentialité accessible.
- Si vous mesurez l'audience, posez un bandeau avec un vrai bouton « Refuser ».
- Fixez-vous une durée de conservation et tenez-vous-y.
- Sachez extraire ou supprimer les données d'une personne qui le demande.