RGPD en Belgique : le guide du psychologue et du thérapeute

La conformité RGPD d'un psychologue ou d'un thérapeute en Belgique, c'est l'ensemble des règles qui encadrent les notes et les dossiers qu'il tient sur ses patients. Ces informations sont presque toujours des données de santé. Le RGPD les range parmi les catégories particulières de données (article 9), avec des règles plus strictes.

Ce guide s'adresse d'abord aux psychologues cliniciens. Il précise aussi ce qui change pour les thérapeutes qui ne sont pas reconnus comme professionnels des soins de santé. Le consentement à la prise de notes par IA est traité à part, dans notre article sur la prise de notes par IA en Belgique. Pour la France, voyez RGPD pour praticien libéral.

Quels textes s'appliquent à vous

Le RGPD s'applique à tous ceux qui traitent des données personnelles. Cela vaut pour un psychologue clinicien, un psychothérapeute, un thérapeute ou un coach. En Belgique, il est complété par la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel.

Cette loi ajoute trois mesures pour les données de santé (article 9). Vous désignez les catégories de personnes qui ont accès aux données, avec une description de leur fonction. Vous tenez cette liste à la disposition de l'Autorité de protection des données (APD). Et vous veillez à ce que ces personnes soient tenues à la confidentialité.

Les psychologues cliniciens sont reconnus comme professionnels des soins de santé depuis 2016. Ils sont donc soumis à deux autres lois, comme le rappelle la Commission des psychologues. La loi du 22 avril 2019 relative à la qualité de la pratique des soins de santé fixe le contenu et la durée de conservation du dossier. La loi du 22 août 2002 relative aux droits du patient fixe l'accès et la copie.

Si vous êtes thérapeute sans être professionnel des soins de santé

Ces deux lois visent les professionnels des soins de santé de la loi du 10 mai 2015. Elles visent aussi le praticien d'une pratique non conventionnelle au sens de la loi du 29 avril 1999. Selon votre pratique, vous pourriez donc en relever. Nous conseillons de vérifier votre situation avec votre fédération ou un juriste. Le RGPD, lui, s'applique pleinement. Ce que vous notez sur une personne en souffrance reste le plus souvent une donnée de santé.

La Commission des psychologues conseille aux psychologues non cliniciens de s'inspirer des principes de ces deux lois. Nous conseillons la même démarche aux autres thérapeutes.

Vous êtes responsable du traitement

C'est vous qui décidez pourquoi et comment les données de vos patients sont traitées. Vous êtes donc responsable du traitement, même si vous exercez seul. Vous devez pouvoir montrer que vous respectez le RGPD.

Si vous êtes un professionnel de la santé tenu au secret, vous n'avez pas besoin du consentement du patient au sens du RGPD pour le soigner. L'article 9 permet ce traitement pour la prise en charge sanitaire. Sinon, la base juridique est à vérifier. Dans tous les cas, vous informez le patient de ce que vous faites de ses données.

Le registre des activités de traitement

L'article 30 du RGPD prévoit une exception pour les structures de moins de 250 employés. Elle ne joue pas si le traitement n'est pas occasionnel ou s'il porte sur des données de santé. C'est votre cas. Le registre vous concerne donc, même en cabinet individuel.

La Commission européenne a proposé en 2025 d'assouplir cette exception. À notre connaissance, ce texte n'est pas encore adopté.

Le registre n'a pas de forme imposée. Un tableau suffit. Pour chaque traitement, il indique :

• vos coordonnées ;
• la finalité (par exemple le suivi des patients, la facturation, la prise de rendez-vous) ;
• les catégories de personnes et de données ;
• les destinataires, dont vos sous-traitants ;
• les transferts hors de l'Union européenne, s'il y en a ;
• les durées de conservation ;
• une description générale de vos mesures de sécurité.

Nous conseillons de relire le registre à chaque nouvel outil.

Votre logiciel ou votre outil de notes IA est un sous-traitant

Un prestataire qui traite des données pour votre compte est un sous-traitant. C'est le cas de votre logiciel de dossiers patients, de votre hébergeur, de votre agenda en ligne et de votre outil de prise de notes par IA.

L'article 28 du RGPD vous oblige à choisir des sous-traitants qui présentent des garanties suffisantes. Le traitement doit être encadré par un contrat. Ce contrat précise l'objet, la durée, la nature et la finalité du traitement, le type de données et vos droits. Le sous-traitant ne traite les données que sur vos instructions documentées. L'APD rappelle que ce contrat est toujours obligatoire.

Avant d'adopter un outil, nous conseillons de vérifier ces points :

• le contrat de sous-traitance existe et vous pouvez le lire ;
• vous savez où les données sont hébergées et où l'IA les traite ;
• vous savez si l'éditeur utilise les données pour entraîner ses modèles ;
• les données sont chiffrées ;
• vous pouvez exporter le dossier complet d'un patient.

Hébergement et transferts hors de l'Union européenne

Au sein de l'Union européenne, les données circulent librement. Hors de l'Union, le RGPD n'autorise un transfert que dans un cadre précis (articles 44 et suivants). Il faut une décision d'adéquation de la Commission européenne, ou des garanties appropriées comme les clauses types de protection des données.

Le point à surveiller est souvent l'IA. Un outil peut héberger vos dossiers en Europe et envoyer la transcription à un service situé ailleurs. Posez la question par écrit. La certification HDS est française. Elle n'est pas exigée en Belgique, mais elle donne un repère utile. Nous l'expliquons dans notre guide sur l'hébergement HDS.

Un exemple concret. Delta, l'assistant clinique des professionnels de santé mentale et du paramédical, héberge les données en France chez un hébergeur certifié HDS, et le traitement IA se fait en France. Le nom du patient et les informations identifiantes sont pseudonymisés avant l'IA. Aucun fichier audio n'est conservé, les données ne servent jamais à entraîner un modèle, et elles sont chiffrées en transit et au repos. L'outil est présenté dans notre fiche de référence sur Delta.

Combien de temps conserver le dossier

L'article 35 de la loi qualité fixe la règle. Le professionnel des soins de santé conserve le dossier au minimum 30 ans et au maximum 50 ans à compter du dernier contact avec le patient. La Commission des psychologues confirme que cela vaut pour les psychologues cliniciens.

Si vous arrêtez définitivement votre activité, la Commission conseille de transmettre les dossiers à un confrère psychologue clinicien, avec l'accord du patient. Nous conseillons de désigner ce confrère à l'avance, pour le cas d'un arrêt imprévu.

Pour les thérapeutes qui ne relèvent pas de la loi qualité, aucune durée n'est fixée par un texte spécifique. Le RGPD demande de ne pas garder les données plus longtemps que nécessaire. Fixez une durée, justifiez-la et inscrivez-la dans votre registre.

Les droits du patient

Accès et copie

La loi relative aux droits du patient (article 9) donne au patient le droit de consulter son dossier et d'en obtenir une copie. Vous répondez dans les meilleurs délais et au plus tard dans les 15 jours. Les données qui concernent des tiers sont exclues. La première copie est gratuite. Les copies suivantes peuvent coûter des frais raisonnables et justifiés.

L'ancienne exception des « annotations personnelles » du praticien a été supprimée par une réforme en 2024. Selon la Commission des psychologues, le patient peut aujourd'hui consulter toutes vos notes personnelles, quelle que soit leur date. Nous conseillons donc d'écrire chaque note comme si le patient pouvait la lire.

Le RGPD prévoit aussi un droit d'accès et de copie (article 15), avec un délai d'un mois. Si la loi relative aux droits du patient vous vise, c'est le délai de 15 jours, plus court, qui compte.

Rectification et effacement

Le patient peut demander la correction d'une donnée inexacte. Il peut aussi demander l'effacement de ses données. Ce droit a des limites. L'article 17 du RGPD ne s'applique pas quand le traitement est nécessaire pour respecter une obligation légale. Pour les psychologues cliniciens, la Commission des psychologues estime que le droit à l'oubli ne peut pas s'appliquer au dossier patient.

Sécurité et violation de données

Le RGPD demande des mesures de sécurité adaptées au risque. Les notes cliniques sont très sensibles. Nous conseillons un mot de passe propre à chaque outil, la double authentification, un ordinateur chiffré et verrouillé, et aucun dossier patient sur une clé USB non protégée.

En cas de violation de données (perte, vol, accès non autorisé), l'article 33 vous impose de la notifier à l'APD dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance. Ce n'est pas nécessaire si la violation n'est pas susceptible d'engendrer un risque pour les personnes. La notification se fait via le portail de l'APD. Les notifications envoyées par courriel ne sont pas traitées.

Si le risque est élevé, vous devez aussi prévenir les patients concernés (article 34). Et vous documentez toute violation, même celles que vous ne notifiez pas (article 33).

Faut-il un DPO

Le délégué à la protection des données (DPO) est obligatoire quand les activités de base consistent en un traitement à grande échelle de données de santé (article 37). L'APD donne deux exemples. Les données de patients d'un hôpital relèvent de la grande échelle. Celles d'un médecin individuel n'en relèvent pas. Le considérant 91 du RGPD dit la même chose pour un professionnel de santé qui exerce à titre individuel.

Un psychologue ou un thérapeute seul en cabinet n'a donc en général pas besoin de DPO.

L'analyse d'impact (AIPD)

Une analyse d'impact est obligatoire quand un traitement est susceptible d'engendrer un risque élevé, notamment quand il porte à grande échelle sur des données de santé (article 35). Selon le considérant 91, elle ne devrait pas être obligatoire pour un professionnel de santé qui traite seul les données de ses patients.

L'APD a publié une liste de huit types de traitements qui exigent une AIPD (décision du 16 janvier 2019). Un point peut concerner les cabinets de groupe ou les réseaux. C'est l'échange systématique de données de santé entre plusieurs responsables du traitement. La liste n'est pas exhaustive.

Si vous adoptez un outil d'IA, nous conseillons de noter en une page les risques et les mesures prises, même si l'AIPD n'est pas obligatoire pour vous.

Par où commencer

• Rédigez votre registre, un traitement par ligne.
• Listez vos prestataires et récupérez chaque contrat de sous-traitance.
• Notez qui a accès aux dossiers, comme le demande la loi belge.
• Fixez vos durées de conservation.
• Préparez une notice d'information pour vos patients.
• Écrivez une procédure courte en cas de fuite, avec le lien vers le portail de l'APD.

Pour les courriers, attestations et comptes rendus qui alimentent le dossier, voyez nos modèles de documents cliniques par profession. Et pour savoir ce que fait l'outil, lisez notre fiche de référence sur Delta.

Sources

• RGPD, règlement (UE) 2016/679, EUR-Lex
• Loi qualité du 22 avril 2019, texte consolidé, Justel
• Loi droits du patient du 22 août 2002, texte consolidé, Justel
• Commission des psychologues, Le dossier patient
• APD, Cas où le DPO est obligatoire