Comprendre la législation et le RGPD pour les praticiens du bien-être constitue une étape indispensable avant toute installation en cabinet ou à domicile. Le cadre légal s'étend de la protection des données personnelles des clients à l'encadrement des pratiques non conventionnelles. Il aide chaque professionnel à exercer en conformité avec le droit français et européen.
Le cadre légal du praticien en bien-être
Les praticiens du bien-être évoluent dans un cadre qui combine le droit commun, le droit de la consommation et la réglementation relative aux données personnelles. Pour démarrer une activité, la réglementation du bien-être en auto-entreprise offre un premier repère avant l'ouverture d'un cabinet.
Le RGPD applicable aux praticiens
Dès qu'un professionnel recueille des noms, des coordonnées, des notes de séance ou des informations de réservation, il devient responsable du traitement au sens du règlement général sur la protection des données. La réglementation en matière de RGPD pour les praticiens du bien-être encadre alors ses pratiques, sous le contrôle de la CNIL, sans déclaration préalable obligatoire depuis 2018.
Il doit toutefois pouvoir démontrer sa conformité à tout moment, notamment grâce à un registre et à la conservation des consentements des clients. Le praticien adapte aussi ses outils afin de limiter l'accès aux données et de respecter les règles applicables à leur conservation.
Les limites des pratiques non conventionnelles
La naturopathie, la sophrologie, l'hypnothérapie et la réflexologie comptent parmi les approches associées à la médecine non conventionnelle. Les métiers du bien-être concernés relèvent donc du droit commun et du Code de la consommation, sans régime dérogatoire.
L'article L.4161-1 du Code de la santé publique interdit à tout professionnel non médecin de poser un diagnostic, d'interpréter des examens biologiques ou d'annoncer une guérison. Les sanctions peuvent atteindre deux ans d'emprisonnement et 30 000 € d'amende. La communication doit présenter les séances comme des prestations de bien-être ou de relaxation, sans promesse de traitement ni affirmation thérapeutique.
La DGCCRF surveille notamment les professionnels du bien-être en cas d'allégations trompeuses, d'usage de titres non autorisés ou de défaut d'information sur les tarifs. En 2025, l'autorité a bloqué 80 sites de praticiens et disposait, depuis juin 2025, de pouvoirs de sanction renforcés. Un professionnel qui se présente comme naturopathe ou réflexologue doit pouvoir produire une attestation de formation indiquant le nombre d'heures suivies, ou préciser qu'il est autodidacte.
Les obligations envers les clients
Plusieurs documents encadrent la relation contractuelle avec le client et protègent les prestations.
- Devis écrit obligatoire : toute prestation supérieure à 25 € doit faire l'objet d'un devis remis au client avant l'intervention.
- Livret client : ce document précise les contre-indications, les conditions d'intervention et les limites de la pratique proposée.
- RC Pro : une assurance de Responsabilité Civile Professionnelle est vivement recommandée pour couvrir les risques liés à l'activité, en cabinet comme à domicile.
-
Carte d'ambulant : ce document officiel est obligatoire pour toute activité itinérante exercée au domicile du client.
Ces documents forment un ensemble cohérent : le devis fixe l'engagement contractuel, le livret client présente les limites de la pratique et la RC Pro offre une protection en cas de litige. Un praticien en bien-être qui souhaite exercer en conformité avec la réglementation française veille à les préparer.
Données de santé et consentement du thérapeute
La collecte de données sensibles impose au professionnel des obligations plus strictes que celles applicables aux simples coordonnées. Les informations de santé relèvent d’un régime juridique renforcé dans le RGPD, et leur traitement exige une vigilance particulière. Cette identification précède toute décision sur les garanties techniques et juridiques à mettre en place.
Identifier les données sensibles
Le statut du praticien ne détermine pas à lui seul les obligations relatives aux données. Même un accompagnateur sans diplôme médical qui recueille des antécédents de santé traite des données sensibles au sens de l’article 9 du RGPD. Chiffrement, accès restreint et registre des traitements s’imposent dès qu’un antécédent de santé est recueilli.
- Antécédents médicaux et anamnèses : toute information concernant l’état de santé passé ou présent du client constitue une donnée sensible soumise à l’article 9 du RGPD.
- Notes de séance : les observations, les ressentis et les informations consignées pendant une séance relèvent de cette catégorie dès lors qu’ils renseignent sur la santé.
- Bilans et diagnostics allégués : même lorsqu’ils ne sont pas médicaux, les bilans réalisés dans un cadre holistique peuvent constituer des données de santé si leur contenu est médical.
-
Informations thérapeutiques : tout élément décrivant un trouble, une douleur ou un suivi de soin entre dans le champ des données protégées par le RGPD.
Les données d’identité et de contact, nom, adresse e-mail ou numéro de téléphone, ne deviennent sensibles que lorsqu’elles sont associées à des informations de santé. Le praticien doit donc éviter de croiser ces catégories sans justification claire et appliquer à chacune un niveau de protection adapté.
Recueillir un consentement explicite
La loi est claire : le traitement de données de santé n’est autorisé qu’avec l’accord écrit de la personne concernée. Ce consentement doit être libre, spécifique, éclairé et démontrable. Un accord oral ou une case pré-cochée ne suffit pas.
Pour un acupuncteur sans diplôme médical, le caractère non médical de l’activité ne dispense pas de recueillir un consentement valide pour les données de santé collectées. Le document remis au client doit préciser l’usage prévu des données, la durée de conservation envisagée, les destinataires éventuels et les modalités d’exercice de ses droits.
Après signature, le praticien adapte son questionnaire aux informations effectivement nécessaires. La transmission de ces données à un médecin traitant exige une autorisation écrite, distincte et préalable.
Limiter les informations collectées
Le principe de minimisation conduit à ne demander au client que les informations utiles à la séance : date de naissance, antécédents pertinents, traitement en cours. Le thérapeute doit examiner chaque question de son formulaire : une information inutile pour la séance ne doit pas être demandée. Cette méthode protège la personne concernée et limite les risques pour le professionnel.
La présentation de l’activité doit également exposer clairement ses limites. Aucun praticien ne peut laisser croire qu’une approche holistique remplace une consultation médicale, un diagnostic ou un traitement prescrit. Cette exigence concerne les formulaires, le site internet et les séances ; elle participe à la protection du client et à la conformité avec la réglementation applicable.
Sécurité et conformité des données des clients
Toutefois, le respect des règles de collecte ne suffit pas : les données doivent rester protégées pendant tout leur cycle de vie, de l’enregistrement initial à la suppression définitive. Le RGPD impose des mesures de sécurité adaptées à la sensibilité des données traitées, sans exemption pour les professionnels du bien-être.
Sécuriser les dossiers du praticien
Aucune médecine douce reconnue par l’État ne dispense un professionnel d’appliquer les règles de sécurité prévues par la loi. Pour assurer la protection des données des clients, un thérapeute doit notamment utiliser des mots de passe robustes, verrouiller ses postes de travail et maintenir son antivirus à jour.
- Données numériques : accès protégé par un mot de passe fort, régulièrement renouvelé et réservé au seul praticien ; chiffrement des fichiers sensibles.
- Notes manuscrites et formulaires papier : conservation dans une armoire fermée à clé, inaccessible aux tiers, y compris dans les locaux partagés.
-
Appareils mobiles et tablettes : verrouillage automatique activé, accès biométrique ou par code, sauvegardes régulières sur un support sécurisé.
Le praticien doit pouvoir savoir qui a consulté ou modifié un dossier, à quelle date et pour quelle raison. Cette obligation concerne toute structure, même petite, où plusieurs personnes accèdent au même système. Un cabinet dirigé par un seul thérapeute est aussi concerné s’il utilise un outil partagé ou un service en ligne.
Choisir un hébergement de santé
La liste des thérapies alternatives comprend notamment l’acupuncture, la réflexologie, la naturopathie et la kinésiologie. Dès lors que ces activités produisent des données de santé, elles sont soumises à la même exigence légale : l’article L.1111-8 du Code de la santé publique impose un hébergement auprès d’un prestataire certifié HDS, dans le cadre supervisé par l’Agence du Numérique en Santé.
En pratique, les fichiers Excel non sécurisés et les cloud grand public sans certification HDS ne doivent pas accueillir d’informations de santé sur les clients. Un hébergeur certifié HDS prévoit un stockage sur des serveurs situés en France ou dans l’Union européenne, avec chiffrement et contrôle des accès. Ce choix réduit aussi le risque lié au Cloud Act américain, qui pourrait faciliter l’accès à des données hébergées hors de l’Union européenne.
Gérer une violation de données
Une violation de données peut prendre plusieurs formes : perte, accès non autorisé ou divulgation accidentelle. Elle doit être identifiée et traitée sans délai. L’article 34 du RGPD impose au responsable du traitement d’informer les personnes concernées lorsque l’incident est susceptible de présenter un risque élevé pour leurs droits et libertés. L’information transmise doit préciser clairement la nature de l’incident et intervenir dans les meilleurs délais.
La CNIL peut contrôler les cabinets de praticiens, sur demande ou de manière aléatoire, puis infliger des amendes pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel, en application de l’article 83 du RGPD. Des cas concrets illustrent ce risque : un psychologue a été sanctionné à hauteur de 25 000 € pour avoir stocké 200 dossiers de patients sur un service cloud non conforme, tandis qu’une sophrologue a reçu une amende de 3 000 € pour avoir conservé des enregistrements audio de séances pendant quinze ans.
Après la maîtrise de l’incident, le praticien consigne les circonstances, les mesures adoptées et les enseignements tirés. Cette documentation peut servir de preuve de bonne foi lors d’un contrôle ultérieur. Elle aide aussi à maintenir la conformité dans la durée, conformément aux exigences du RGPD et aux règles de protection des données.
Documents et droits RGPD du client
La conformité au RGPD ne repose pas seulement sur des mesures techniques. Elle suppose aussi des documents à créer, à actualiser et à remettre aux personnes concernées, avec une information claire sur l’usage de leurs données. Ces documents prouvent la conformité du professionnel en cas de contrôle de la CNIL ou de plainte d’un client.
Tenir les documents de conformité
Prévu par l’article 30 du RGPD, le registre des activités de traitement constitue le document central de la mise en conformité. Il décrit les traitements de données, leurs finalités, les catégories de personnes et de données personnelles concernées, les durées de conservation ainsi que les mesures de sécurité appliquées. Il n’est pas transmis spontanément à la CNIL, mais doit pouvoir être présenté immédiatement en cas de contrôle ou de demande de l’autorité.
- Registre des traitements : ce document interne recense tous les traitements de données personnelles mis en œuvre, y compris l’utilisation d’une messagerie électronique sécurisée.
- Politique de confidentialité : elle devient obligatoire dès que le praticien recueille des informations personnelles en ligne. Elle précise les finalités, la base juridique et les droits des personnes.
- Politique cookies : elle s’impose lorsque le site du praticien utilise des traceurs d’audience ou des pixels publicitaires, conformément aux exigences de la CNIL.
-
Consentements écrits : ces formulaires, signés par chaque client avant la collecte de données de santé, doivent être conservés et présentables en cas de vérification.
Un logiciel conforme au RGPD peut ajouter automatiquement les mentions légales nécessaires aux pages de réservation en ligne, ce qui facilite leur actualisation. La politique de confidentialité doit également rester accessible depuis chaque page du site du praticien, sans parcours complexe.
| Document | Obligatoire | À présenter en cas de contrôle CNIL |
| Registre des traitements (art. 30 RGPD) | Oui | Oui |
| Politique de confidentialité | Oui (si collecte en ligne) | Oui |
| Formulaire de consentement données de santé | Oui (art. 9 RGPD) | Oui |
| Politique cookies | Oui (si traceurs sur site) | Sur demande |
| Devis écrit (prestation > 25 €) | Oui | Sur demande |
Informer les personnes concernées
Avant toute collecte, le client doit recevoir une information claire sur l’utilisation de ses données. Elle peut figurer dans un document distinct, être affichée en salle d’attente ou être intégrée aux conditions générales de vente. Elle précise notamment le nom et les coordonnées du praticien, les finalités du traitement, sa base juridique, les éventuels destinataires des données et la durée de conservation prévue.
Les droits des personnes doivent être détaillés : accès, rectification, effacement, limitation, opposition et réclamation auprès de la CNIL. L’article 21 du RGPD reconnaît notamment à chacun le droit de s’opposer, pour des raisons liées à sa situation particulière, à certains traitements fondés sur l’intérêt légitime du responsable de traitement.
La loi Informatique et Libertés complète le RGPD en droit français. Elle impose une information concise, transparente et facilement accessible. Un affichage en cabinet, associé à une mention dans le formulaire de prise de rendez-vous, constitue une pratique adaptée. Le praticien adapte le niveau de détail aux données effectivement recueillies : lorsque les informations sont sensibles, la présentation doit être plus précise et davantage formalisée.
Répondre aux demandes des clients
Une demande d’un client concernant l’accès, la rectification, l’effacement ou l’opposition doit recevoir une réponse dans un délai maximal d’un mois. Pour une demande d’accès au dossier patient, ce délai est ramené à huit jours et porté à deux mois lorsque les informations datent de plus de cinq ans.
Le partage d’une information avec un médecin traitant requiert le consentement écrit préalable du client, et seules les données strictement nécessaires peuvent être transmises. Cette obligation s’applique à l’ensemble des professionnels du bien-être, qu’ils appartiennent ou non à un ordre professionnel.
Foire aux questions
Que prévoit l'article 34 du RGPD pour un praticien du bien-être ?
L'article 34 du RGPD impose à tout responsable de traitement, y compris à un praticien du bien-être, d'informer les personnes concernées lorsqu'une violation de données est susceptible de présenter un risque élevé pour leurs droits et libertés. Cette notification intervient dans les meilleurs délais après la découverte de l'incident. Elle précise la nature de la violation, les données impliquées, ses conséquences probables et les mesures prises pour y remédier. Omettre cette démarche peut aggraver les sanctions prononcées par la CNIL.
Quelles personnes sont concernées par le RGPD dans un cabinet de bien-être ?
Au sens du RGPD, les personnes concernées sont les personnes physiques identifiables dont le praticien traite les données. Dans un cabinet de bien-être, il peut s'agir des clients actuels, des anciens clients dont les dossiers sont conservés, des prospects ayant rempli un formulaire de contact ou de réservation en ligne, ainsi que des visiteurs du site lorsque des cookies permettent de les identifier. Toutes disposent des droits d'accès, de rectification et d'effacement prévus par le règlement général sur la protection des données.
Quelle loi encadre le RGPD en France pour les praticiens du bien-être ?
Le règlement général sur la protection des données, entré en vigueur en 2018, s'applique directement en France. Il est complété par la loi Informatique et Libertés, dont la version révisée organise son articulation avec le droit national. La CNIL contrôle l'application de ces textes et peut sanctionner les manquements. Pour les praticiens du bien-être, cet ensemble constitue le cadre juridique de référence pour la protection des données personnelles de leurs clients et de toute personne suivie par le cabinet.
