RGPD pour les professionnels du bien-être : les règles essentielles à appliquer

Article mis à jour le 14/08/2026

Un formulaire de contact, un agenda en ligne, un fichier clients, une newsletter ou un questionnaire préalable à une séance : il suffit de peu pour traiter des données personnelles. Le RGPD concerne donc aussi les indépendants et les petites structures du bien-être. Mais contrairement à une idée répandue, le respecter ne signifie pas demander le consentement de vos clients pour chaque utilisation de leurs informations.

L’enjeu est d’abord de savoir quelles données vous utilisez, dans quel but, sur quel fondement, pendant combien de temps et avec quelles protections. Cette démarche concerne aussi bien l’organisation de votre activité que la conception et la maintenance de votre site. Elle devient particulièrement importante lorsque vous recueillez des informations relatives à la santé.

Le RGPD, à quoi sert-il concrètement ?

Le règlement général sur la protection des données, ou RGPD, encadre l’utilisation des données personnelles et renforce les droits des personnes. Il s’applique depuis le 25 mai 2018. Selon la CNIL, toute organisation publique ou privée peut être concernée, quelle que soit sa taille, lorsqu’elle traite des données personnelles dans le cadre prévu par le règlement.

Pour un professionnel du bien-être, cela peut concerner la gestion des rendez-vous, les factures, les échanges par courriel, les inscriptions à des cours, l’envoi d’une newsletter ou les informations recueillies avant une séance. Le RGPD ne vous demande pas seulement de respecter des règles : il vous demande aussi de pouvoir expliquer et documenter vos choix. C’est le principe de responsabilité, parfois désigné par le terme anglais « accountability ».

Qu’est-ce qu’une donnée personnelle ?

Une personne peut être identifiée directement ou indirectement

Une donnée personnelle est une information se rapportant à une personne physique identifiée ou identifiable. Le nom, le prénom, l’adresse électronique, le numéro de téléphone ou la photographie sont des exemples évidents. Mais une adresse IP, un identifiant de réservation, des informations de paiement ou le rapprochement de plusieurs éléments peuvent également permettre d’identifier une personne.

Une information n’a donc pas besoin d’être intime pour être personnelle. Un carnet papier contenant les coordonnées de vos clients est soumis aux mêmes principes qu’un fichier informatique.

Donnée sensible et donnée de santé : quelle différence ?

Le RGPD accorde une protection renforcée à certaines catégories particulières de données, couramment appelées données sensibles. Il s’agit notamment des informations révélant l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses, l’appartenance syndicale, l’orientation sexuelle, ainsi que des données génétiques, biométriques ou concernant la santé.

Une donnée de santé renseigne sur la santé physique ou mentale, passée, présente ou future d’une personne. La définition de la CNIL couvre notamment les informations révélant un handicap, une maladie, un traitement, une douleur, une grossesse ou un antécédent médical. Une réponse comme « j’ai été opéré du genou » ou « je suis enceinte » peut donc constituer une donnée de santé.

Le contexte compte également. Une information a priori banale peut devenir une donnée de santé lorsqu’elle permet de déduire l’état physique ou mental d’une personne. Avant de la demander, il faut donc vous interroger : est-elle réellement nécessaire pour adapter la prestation ou éviter un risque ?

Qu’est-ce qu’un traitement de données personnelles ?

Un traitement est une opération ou un ensemble d’opérations effectué sur des données personnelles : les collecter, les enregistrer, les consulter, les classer, les modifier, les transmettre, les conserver ou les supprimer. Il n’est pas nécessaire d’utiliser un logiciel complexe.

Vous réalisez par exemple un traitement lorsque vous recevez une demande par votre formulaire de contact, inscrivez un client dans votre agenda, conservez son questionnaire dans un dossier, transmettez ses coordonnées à un outil de visioconférence ou archivez une facture. Chaque traitement doit répondre à un objectif précis et respecter les principes du RGPD.

Pourquoi collectez-vous ces données ?

La première question n’est pas « ai-je obtenu une case cochée ? », mais « pourquoi ai-je besoin de cette information ? ». Cette raison constitue la finalité du traitement. Elle doit être déterminée, explicite et légitime. Vous pouvez collecter une adresse électronique pour répondre à une demande de renseignement, par exemple, sans pouvoir automatiquement l’utiliser ensuite pour envoyer des offres commerciales.

Le principe de minimisation impose de limiter la collecte aux informations adéquates, pertinentes et nécessaires. Demander la date de naissance complète, la profession, la situation familiale ou des antécédents médicaux « au cas où » n’est pas justifié si la prestation peut être organisée sans ces informations.

Vous devez également prévoir une durée de conservation adaptée à chaque objectif. Il n’existe pas une durée unique valable pour toutes les données : les obligations applicables aux factures ne sont pas celles d’une demande de contact restée sans suite ou d’une liste de diffusion. La durée doit être définie, documentée et communiquée, puis réellement appliquée par une suppression ou, lorsque c’est justifié, un archivage distinct.

Le consentement est-il toujours obligatoire ?

Un traitement doit reposer sur une base légale

Non. Le consentement est l’une des six bases légales prévues par le RGPD, mais ce n’est pas la solution par défaut. La base appropriée dépend de la finalité et du contexte. Pour un indépendant, plusieurs situations reviennent fréquemment :

• l’exécution d’un contrat ou de mesures précontractuelles, lorsqu’une information est réellement nécessaire pour fournir la prestation demandée ou répondre à une demande avant sa conclusion ;
• le respect d’une obligation légale, notamment pour certaines données de facturation ou obligations comptables ;
• l’intérêt légitime, après avoir vérifié que cet intérêt ne porte pas une atteinte disproportionnée aux droits et libertés des personnes ;
• le consentement, lorsqu’il est approprié et peut être donné librement puis retiré aussi facilement.

La CNIL rappelle que tout traitement doit être rattaché à l’une des bases légales. Ce choix doit intervenir avant la collecte. On ne peut pas sélectionner une base après coup uniquement parce qu’elle paraît plus commode.

Contrat, prospection et données sensibles : trois questions différentes

Accepter une prestation ou signer un contrat n’équivaut pas automatiquement à consentir à tous les traitements de données qui pourraient l’accompagner. L’exécution du contrat peut autoriser les usages strictement nécessaires à la prestation. Elle ne permet pas, à elle seule, d’ajouter une personne à une newsletter ou de réutiliser ses informations pour une autre finalité.

La prospection commerciale obéit à des règles qui dépendent notamment du destinataire, du canal utilisé et de la relation existante. Elle doit donc être traitée séparément. Lorsqu’un traitement repose sur le consentement, celui-ci doit être libre, spécifique, éclairé et univoque. Il doit résulter d’un acte positif clair, sans case précochée, et pouvoir être retiré. La fiche de la CNIL consacrée au consentement détaille ces conditions.

Pour les données sensibles, une justification supplémentaire est nécessaire. Il faut identifier à la fois une base légale au titre de l’article 6 du RGPD et une exception à l’interdiction de principe prévue par son article 9. Le consentement explicite peut constituer l’une de ces exceptions, mais il n’est ni la seule ni une autorisation générale de tout collecter.

Comment informer correctement les personnes ?

L’information doit être claire, accessible et fournie au moment où les données sont collectées. Sous un formulaire en ligne, une mention courte peut présenter les informations essentielles et renvoyer vers une politique de confidentialité plus complète. Cette page ne doit pas être un texte générique sans rapport avec vos pratiques réelles.

La personne doit notamment savoir qui utilise ses données, dans quel but, sur quelle base légale, pendant combien de temps, qui peut y accéder, comment exercer ses droits et, le cas échéant, si des données sont transférées en dehors de l’Espace économique européen. Elle doit aussi être informée de la possibilité d’adresser une réclamation à la CNIL.

Lors de la création d’un site professionnel, ces informations doivent être pensées en même temps que les formulaires, les outils de mesure d’audience, la prise de rendez-vous et la newsletter. Une mention d’information ne corrige pas à elle seule un formulaire qui recueille trop de données ou les transmet à des outils mal choisis.

Quels sont les droits de vos clients et prospects ?

Les personnes disposent de plusieurs droits, dont l’application exacte dépend du traitement et de sa base légale : droit d’accès, de rectification, d’effacement, d’opposition, de limitation et, dans certaines situations, de portabilité. Lorsqu’un traitement repose sur le consentement, celui-ci peut être retiré à tout moment, sans remettre en cause les opérations déjà licitement effectuées.

Vous devez prévoir un moyen simple de vous contacter et une procédure pour retrouver les données concernées, vérifier l’identité du demandeur de façon proportionnée et répondre. La CNIL indique un délai de principe d’un mois, qui peut être prolongé dans certaines situations complexes à condition d’en informer la personne. Toutes les demandes n’aboutissent pas nécessairement à un effacement total : une obligation légale ou la défense de droits peut justifier la conservation de certaines informations. La réponse doit alors être expliquée.

À quoi sert le registre des traitements ?

Le registre des activités de traitement recense les usages de données dans votre structure. Pour chaque traitement, il permet d’indiquer sa finalité, les personnes et données concernées, les destinataires, la durée de conservation, les prestataires, les éventuels transferts et les mesures de sécurité. La CNIL le présente comme un outil de pilotage et de démonstration de la conformité.

L’exemption prévue pour certaines organisations de moins de 250 salariés est limitée. Elle ne s’applique notamment pas de manière générale lorsque les traitements ne sont pas occasionnels, présentent un risque ou portent sur des catégories particulières de données. Or la gestion régulière d’un fichier clients n’est généralement pas occasionnelle. Pour un indépendant, tenir un registre simple et à jour reste donc une démarche prudente et surtout utile.

Il n’a pas besoin d’être compliqué : un tableau structuré peut suffire s’il reflète réellement vos pratiques. Il doit évoluer lorsque vous changez d’outil, ajoutez un formulaire ou lancez une nouvelle utilisation des données.

Vos outils et prestataires sont-ils également concernés ?

Un hébergeur, un outil de réservation, une plateforme d’emailing, un espace de stockage, un logiciel de visioconférence ou certains services d’intelligence artificielle peuvent traiter des données pour votre compte. Selon leur rôle réel, ils peuvent être sous-traitants, responsables conjoints ou responsables autonomes de certains traitements. La qualification ne dépend pas seulement du vocabulaire commercial du fournisseur.

Avant de choisir un service, vérifiez les données qu’il reçoit, ses conditions contractuelles, ses mesures de sécurité, les sous-traitants qu’il utilise et la localisation des traitements. Si des données sont transférées hors de l’Espace économique européen, un mécanisme juridique approprié et une information des personnes peuvent être nécessaires.

La mention « conforme au RGPD » sur le site d’un fournisseur ne vous décharge pas de vos responsabilités. La CNIL recommande de vérifier les garanties apportées par les sous-traitants, notamment en matière de sécurité et de gestion des incidents.

Comment protéger les données que vous conservez ?

Les mesures de sécurité doivent être adaptées à la nature des données, aux risques pour les personnes et aux moyens de la structure. Une petite activité n’a pas les mêmes ressources qu’un établissement de santé, mais elle doit prendre des précautions cohérentes.

• utilisez des mots de passe longs et uniques, conservés dans un gestionnaire de mots de passe ;
• activez la double authentification chaque fois que cela est possible ;
• mettez à jour le site, les extensions, les appareils et les logiciels ;
• limitez les accès aux seules personnes qui ont réellement besoin des informations ;
• protégez les documents papier et ne laissez pas un écran ou un agenda accessible au public ;
• organisez des sauvegardes protégées et vérifiez qu’elles peuvent être restaurées ;
• prévoyez quoi faire en cas de perte, de piratage ou d’envoi au mauvais destinataire.

Une violation de données n’est pas seulement un piratage spectaculaire. Un ordinateur perdu, un courriel envoyé au mauvais client ou un dossier partagé avec un accès public peuvent également constituer un incident. Selon le risque, il peut être nécessaire de le documenter, de le notifier à la CNIL dans les 72 heures après en avoir pris connaissance et, dans les cas de risque élevé, d’informer les personnes concernées.

Données de santé : quelles précautions pour un professionnel du bien-être ?

Le traitement des données concernant la santé est interdit par principe, sauf lorsqu’une exception prévue par le RGPD s’applique. La situation d’un médecin, d’un kinésithérapeute ou d’un autre professionnel de santé soumis au secret professionnel ne peut pas être transposée automatiquement à celle d’un professeur de yoga, d’un sophrologue, d’un coach ou d’un praticien du bien-être.

La CNIL rappelle que la base légale de l’article 6 et l’exception de l’article 9 doivent toutes deux être justifiées. Elle distingue aussi le consentement au traitement des données du consentement à un soin, à un accompagnement ou à la participation à une étude.

La première précaution consiste à ne pas demander un diagnostic ou un historique médical si une information plus limitée suffit. Pour adapter un cours, il peut être plus pertinent de demander si certains mouvements doivent être évités ou si la personne souhaite signaler une contrainte particulière, sans exiger le nom d’une maladie. Même ainsi, la réponse peut révéler une donnée de santé : sa nécessité, son fondement, son accès et sa conservation doivent donc être examinés.

Un questionnaire standard trouvé sur Internet ou une case « j’accepte le RGPD » ne suffit pas à sécuriser la démarche. Si votre activité implique une collecte régulière ou détaillée de données de santé, un profilage, une surveillance ou un risque élevé pour les personnes, une analyse d’impact peut être nécessaire. L’avis d’un professionnel du droit ou de la protection des données est alors recommandé.

Une démarche RGPD réaliste en huit actions

1. Recensez les données que vous collectez, les supports sur lesquels elles se trouvent et les outils qui y accèdent.
2. Définissez la finalité de chaque traitement : prise de rendez-vous, prestation, facturation, prospection ou autre objectif précis.
3. Choisissez et documentez la base légale adaptée, puis vérifiez séparément les conditions applicables aux données sensibles.
4. Supprimez les questions, champs et copies dont vous n’avez pas réellement besoin.
5. Définissez des durées de conservation et mettez en place leur application concrète.
6. Informez les personnes au bon moment et organisez un moyen simple d’exercer leurs droits.
7. Vérifiez les contrats, les accès, les sauvegardes, la sécurité et les éventuels transferts de vos prestataires.
8. Tenez votre registre à jour et réexaminez vos pratiques lors de chaque changement d’outil ou de service.

Le RGPD est une démarche, pas une case à cocher

Respecter le RGPD ne consiste pas à multiplier les demandes de consentement. Il s’agit de connaître les données que vous utilisez, de limiter leur collecte, de justifier chaque traitement, d’informer les personnes, de protéger les informations et de respecter leurs droits.

Commencez par cartographier vos pratiques réelles : formulaires, agenda, fichiers, facturation, newsletter et prestataires. Vous pourrez ensuite corriger les risques les plus importants, en accordant une vigilance particulière aux informations relatives à la santé. Si votre situation est complexe ou si vous avez un doute sur le fondement d’un traitement sensible, demandez un conseil juridique ou spécialisé plutôt que de vous appuyer sur un modèle générique.

Cet article fournit une information générale et ne constitue pas un avis juridique adapté à une situation particulière.

Sources principales

Règlement (UE) 2016/679 — texte officiel

CNIL — RGPD : de quoi parle-t-on ?

CNIL — RGPD : les premières étapes

CNIL — Les bases légales

CNIL — Le registre des activités de traitement

CNIL — Qu’est-ce qu’une donnée de santé ?

CNIL — Quelles formalités pour les traitements de données de santé ?

CNIL — Sécurité : gérer la sous-traitance