Fuite de données au cabinet de psychologie : que faire dans les 72 heures ?

Un rapport envoyé par erreur à un autre patient, un ordinateur portable volé, une boîte mail piratée : tout cela peut constituer une violation de données. Le RGPD fait alors courir un délai. Voici comment il fonctionne pour un cabinet indépendant en Belgique, et un plan d’une page.

À savoir : ce texte est une information générale et non un avis juridique. Quand un point dépend de ta situation ou de la Commission des Psychologues, nous le disons plutôt que de deviner. Le texte français n’a pas été relu par un juriste.

Ce qui compte comme violation dans un cabinet

Il ne s’agit pas seulement de piratage. Une violation de données est une atteinte à la sécurité qui entraîne la destruction, la perte, l’altération ou l’accès non autorisé à des données personnelles, par accident ou de façon délibérée. Exemples courants : un compte rendu envoyé à une mauvaise adresse, un téléphone ou un ordinateur non chiffré perdu, une boîte partagée lisible par quelqu’un d’autre, des dossiers papier laissés dans un lieu accessible, ou un fournisseur qui t’annonce que des données ont été exposées.

Ce que dit l’article 33 du RGPD

• Notification à l’autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance. Si tu notifies plus tard, tu dois justifier le retard.
• Pas de notification si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes.
• Contenu de la notification : la nature de la violation, un point de contact, les conséquences probables et les mesures prises ou envisagées.
• Un sous-traitant te prévient dans les meilleurs délais après en avoir pris connaissance, pour que tu puisses respecter ton propre délai.
• Documente toute violation, y compris celles que tu ne notifies pas : les faits, les effets et les mesures prises, de façon à permettre à l’autorité de vérifier ta conformité.

En Belgique, l’autorité de contrôle est l’Autorité de protection des données (APD). La procédure et le formulaire de notification sont à vérifier sur son site au moment de l’incident ; nous ne les reproduisons pas ici, car ils peuvent changer. L’article 34 du RGPD précise quand informer aussi les personnes concernées ; en cas de doute, demande conseil à un juriste ou à un délégué à la protection des données.

Un plan d’une page

1. Qui décide ? Écris un nom (et un suppléant). Dans un cabinet individuel, c’est toi.
2. Note le moment où tu l’as appris. Les 72 heures courent à partir de la prise de connaissance : date, heure, comment tu l’as su.
3. Limite les dégâts. Change les mots de passe, révoque l’accès des appareils perdus, demande au destinataire de supprimer le mail et de le confirmer.
4. Évalue le risque. Quelles données, combien de patients, quelle sensibilité (des notes de séance pèsent plus qu’un horaire de rendez-vous), tout était-il chiffré ?
5. Décide et consigne. Notifier ou non, informer les patients ou non, et pourquoi.
6. Notifie et informe dans le délai si nécessaire, en langage clair.
7. Tire les leçons. Qu’est-ce qui l’aurait évité ? Change la procédure, pas seulement le mot de passe.

Prévenir : ce qui garde la plupart des incidents petits

L’article 32 du RGPD cite le chiffrement et la capacité de rétablir l’accès aux données en temps utile après un incident parmi les mesures à envisager. Concrètement :

• Appareils chiffrés, avec verrouillage d’écran, pour tout ce qui sert au travail.
• Dossiers dans un système avec contrôle d’accès et journal d’activité, pas en pièces jointes de mails.
• Vérification en deux étapes sur ta messagerie et ton logiciel de cabinet.
• Vérifier le destinataire avant d’envoyer quoi que ce soit sur un patient, et ne pas mettre de noms dans l’objet.
• Un fournisseur qui s’engage, dans son contrat de sous-traitance, à te prévenir rapidement d’une violation de son côté.

Ce que ce texte ne peut pas trancher

Savoir si un incident est « susceptible d’engendrer un risque » demande un jugement. Un rappel de rendez-vous envoyé à la mauvaise personne et un rapport psychologique envoyé à la mauvaise personne n’ont pas la même gravité. En cas de doute, demande conseil et consigne comment tu as décidé. Vérifie aussi si ton assurance responsabilité professionnelle ou cyber prévoit ses propres délais de déclaration.

Sources

Toutes les pages ci-dessous ont été consultées le 7 novembre 2026.

• RGPD, article 33 : notification d’une violation à l’autorité de contrôle (texte anglais)
• RGPD, article 32 : sécurité du traitement (texte anglais)
• RGPD, article 28 : sous-traitant (texte anglais)
• Autorité de protection des données (APD), l’autorité de contrôle belge (site en néerlandais, GBA)