RGPD et données de santé pour psychologues en Belgique

Les données qu'un psychologue recueille sur ses patients comptent parmi les plus sensibles qui existent. Le RGPD les classe en catégorie particulière, soumise à des règles plus strictes. En Belgique, le RGPD est complété par la loi du 30 juillet 2018 et contrôlé par l'Autorité de protection des données (APD). Respecter ce cadre n'est pas qu'une obligation légale : cela fait partie du secret professionnel et de la confiance propre à la relation thérapeutique.

Pourquoi les données cliniques sont une catégorie particulière

L'article 9 du RGPD interdit, en principe, le traitement des données de santé, sauf dans des situations précises. Pour la psychologie, ce traitement se justifie surtout par la fourniture de soins et par le consentement du patient, assorti de garanties adéquates. En pratique, cela impose un soin particulier dans la collecte, l'accès et la conservation des dossiers.

Le cadre légal belge : la loi du 30 juillet 2018 et l'APD

En Belgique, le RGPD s'applique directement, complété par la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, qui a définitivement remplacé l'ancienne loi vie privée de 1992. Depuis le 25 mai 2018, c'est l'Autorité de protection des données (APD) qui est l'autorité de contrôle compétente — elle a succédé à l'ancienne Commission de la protection de la vie privée, avec un vrai pouvoir de contrôle et de sanction que cette dernière n'avait pas.

Base légale et consentement

Il doit être clair, pour toi comme pour ton patient, sur quelle base tu traites ses données. Le consentement éclairé, donné par écrit au début de l'accompagnement, est la base la plus courante : il doit expliquer quelles données tu recueilles, dans quel but, pendant combien de temps tu les conserves, et quels droits le patient conserve.

Combien de temps conserver les dossiers ?

C'est un point où mieux vaut être honnête sur ce qui est réellement fixé : le code de déontologie médicale prévoit que les médecins conservent les dossiers de leurs patients 30 ans après le dernier contact, un repère aligné sur la loi qualité du 22 avril 2019. Les psychologues, en revanche, ne relèvent pas formellement, à ce jour, de la loi relative aux droits du patient qui encadre les médecins — les modalités précises applicables spécifiquement à la profession de psychologue ne sont donc pas encore fixées de la même manière.

Sécurité : où et comment stocker les dossiers

Garder des dossiers cliniques en version papier dans un tiroir, dans des fichiers Word isolés ou dans un tableur sans protection est un risque réel. Les bonnes pratiques incluent :

• Le chiffrement des données, en transit et au repos.
• L'hébergement des données dans l'Union européenne.
• Un contrôle des accès : seules les personnes qui doivent y accéder y accèdent.
• Un journal d'activité (qui a consulté ou modifié quoi).
• Des sauvegardes automatiques régulières.
• Des mots de passe robustes et, idéalement, une double authentification.

Ai-je besoin d'un délégué à la protection des données (DPO) ?

La désignation d'un DPO est obligatoire dans trois cas prévus par l'article 37 du RGPD : traitement par une autorité publique, surveillance régulière et systématique à grande échelle, ou traitement à grande échelle de données sensibles (comme les données de santé). Un cabinet indépendant ou un petit cabinet de psychologie n'est, en général, pas considéré comme un traitement « à grande échelle » et n'est donc généralement pas tenu de désigner un DPO. Cette appréciation reste toutefois propre à chaque situation : si ton cabinet grandit, regroupe plusieurs professionnels ou traite un très grand nombre de patients, il est utile de vérifier ta situation avec un conseiller en protection des données.

Droits des patients

Tes patients ont le droit d'accéder à leurs données, de demander la correction d'informations erronées et, sous certaines conditions, leur suppression. Tu dois pouvoir répondre à ces demandes dans un délai raisonnable — bien plus simple quand tes données sont organisées dans un seul système plutôt que réparties entre plusieurs outils. À noter : si tu supprimes le dossier d'un patient, ses rendez-vous, ses notes et ses documents disparaissent, mais les factures déjà émises doivent en général être conservées, la loi imposant leur conservation indépendamment de la suppression du dossier clinique.

Le rôle du logiciel que tu utilises

Un logiciel de gestion clinique pensé pour le RGPD résout une grande partie de ces exigences par défaut : chiffrement, hébergement dans l'UE, contrôle des accès et journal d'activité. Nerela a été construit avec ces garanties, pour que tu puisses te concentrer sur tes patients plutôt que sur la protection des données.