Formulaire de prise de rendez-vous en ligne pour cabinet dentaire : quels champs avez-vous le droit de demander (RGPD)

Un formulaire de rendez-vous a l'air d'être l'élément le plus banal de votre site. Vous ajoutez quelques champs, vous cliquez sur « envoyer », c'est fait. Les ennuis commencent dès que vous ajoutez un champ du type « qu'est-ce qui vous gêne ? » ou « antécédents médicaux » — car à partir de là vous collectez des données de santé, que le RGPD traite comme une catégorie particulière, avec des règles bien plus strictes.

La bonne nouvelle : vous n'avez pas besoin d'un avocat pour chaque champ. Vous avez besoin d'un principe simple — ne demandez que le strict nécessaire pour fixer un rendez-vous, et recueillez le reste au cabinet, sur le dossier médical, là où vous disposez d'une base juridique et de la confidentialité. Dans cet article, je vous montre concrètement quels champs utiliser, ce qu'il ne faut jamais mettre dans un formulaire public, et comment éviter les situations qui déclenchent contrôles et amendes de l'autorité de protection des données (l'ANSPDCP en Roumanie).

Pourquoi les données de santé sont une catégorie « particulière »

Le RGPD (article 9) traite les données de santé comme une catégorie particulière — au même titre que l'origine ethnique ou les données biométriques. Un champ « qu'est-ce qui fait mal », « maladies chroniques » ou « médicaments actuels » y entre directement. Parfois c'est même implicite : le seul fait que quelqu'un prenne rendez-vous via une rubrique « implantologie » ou « parodontologie » peut à lui seul révéler une pathologie.

Cela ne veut pas dire qu'un cabinet dentaire n'a pas le droit de traiter ces données — bien sûr que si, c'est le cœur du métier. Cela signifie seulement qu'il faut une base plus solide : soit le consentement explicite, soit l'exception liée aux soins de santé (art. 9(2)(h)), assurés par un professionnel tenu au secret.

La vraie question n'est donc pas « ai-je le droit ? » mais « de combien de données de santé ai-je réellement besoin dans le formulaire en ligne, et comment les protéger ? »

Les champs que vous pouvez demander pour un rendez-vous

Le principe clé est la minimisation des données (art. 5) : ne collecter que ce qui est strictement nécessaire à la finalité. Or un formulaire de rendez-vous n'a qu'une finalité — fixer un créneau. Pour cela, ceci suffit :

• Nom et prénom
• Téléphone (le canal de confirmation)
• E-mail (facultatif)
• Le service, de façon générale : consultation, détartrage, urgence — une catégorie, pas un diagnostic
• Date et créneau souhaités
• Un champ libre « message », facultatif, où le patient écrit ce qu'il veut

Cela suffit pour tout rendez-vous. Notez que « le service » reste général et que « le message » est facultatif — le patient décide ce qu'il révèle, vous ne l'y forcez pas par un champ obligatoire. Tout ce qui touche aux antécédents détaillés se remplit au cabinet, sur le dossier, dans le bon cadre.

Ce qu'il ne faut jamais mettre dans un formulaire public

Ces champs créent le plus de risque et sont les plus difficiles à justifier :

• Antécédents médicaux détaillés, maladies chroniques, médicaments, allergies
• Le numéro national d'identification (rarement utile pour réserver, mais forte exposition en cas de fuite)
• Le téléversement de radiographies ou de documents médicaux via un formulaire ordinaire, sans canal sécurisé
• Tout champ obligatoire qui force le patient à divulguer une pathologie juste pour pouvoir cliquer sur « envoyer »

La logique est simple : plus vous récoltez de données sensibles via un formulaire, plus le risque augmente et plus il est difficile de prouver la nécessité. Les autorités regardent exactement cela — nécessité et proportionnalité. Si vous voulez tout de même que le patient puisse dire un mot sur son problème, laissez-le au champ libre facultatif. C'est son choix, pas une condition imposée.

Consentement, base légale et politique de confidentialité

Pour le rendez-vous lui-même, la base peut être « mesures précontractuelles » ou l'intérêt légitime. Pour toute donnée de santé, il faut un consentement explicite ou l'exception liée aux soins. En pratique, un formulaire correct comporte :

• Une case NON cochée par défaut, avec l'accord du patient et un lien vers la politique de confidentialité
• Une politique claire : qui est le responsable de traitement (le cabinet, avec ses coordonnées), quelles données, dans quel but, combien de temps vous les conservez, et les droits du patient (accès, effacement, rectification)
• Le consentement marketing séparé — vous ne pouvez pas conditionner la prise de rendez-vous à l'acceptation d'une newsletter ou de publicités

En plus, tenez un registre des activités de traitement et, selon la taille du cabinet, évaluez si un délégué à la protection des données (DPO) est nécessaire. Une case seule ne vous couvre pas — c'est l'ensemble qui compte.

Où finissent les données : la partie technique souvent oubliée

Un formulaire conforme n'est pas qu'une question de texte juridique, c'est aussi une question de sécurité (art. 32). C'est là que les cabinets se trompent le plus :

• Un site sans HTTPS — les données circulent en clair
• Les soumissions qui arrivent en simple e-mail non chiffré sur un Gmail personnel accessible à toute la famille
• Des données stockées dans un outil tiers hors UE, sans base de transfert claire
• Aucune conservation limitée : les contacts s'accumulent indéfiniment, bien après avoir cessé d'être pertinents

Une fuite typique n'est pas une attaque spectaculaire, c'est exactement le flux « formulaire → boîte perso → téléphone perdu ». En pratique il vous faut : HTTPS, accès restreint protégé par mot de passe, une liste claire de qui voit les rendez-vous, et une durée de conservation raisonnable après laquelle vous supprimez. Le formulaire passe ainsi d'une vulnérabilité à un processus maîtrisé.

À quoi ressemble un formulaire bien fait en pratique

Quand nous construisons un site pour un cabinet dentaire chez MPO Web Studio, nous partons de ces principes dès le départ, au lieu de les ajouter à la fin : champs minimaux, case de consentement liée à la politique, HTTPS par défaut, et des données qui arrivent dans un endroit maîtrisé plutôt que dans une boîte perso au hasard.

Nous travaillons à distance, dans tout le pays, et nous préparons une démo gratuite de votre site avec le formulaire déjà pensé ainsi — vous le voyez fonctionner avant de payer quoi que ce soit, avec des tarifs transparents et sans surprise.

Si vous voulez qu'on vérifie ensemble votre formulaire actuel ou qu'on en construise un conforme depuis zéro, écrivez-nous sur WhatsApp. Nous ne sommes pas un cabinet d'avocats — pour les interprétations juridiques fines, mieux vaut consulter les orientations de l'ANSPDCP ou un DPO — mais la partie web, nous la faisons tenir debout dès le premier jour.