Chat ou WhatsApp pour les rendez-vous au cabinet : rester conforme au RGPD sur les canaux de messagerie

WhatsApp est discrètement devenu l'accueil officieux de nombreux cabinets. Un patient écrit « je voudrais un rendez-vous en dermatologie, j'ai un problème avec… » et, d'un coup, des données de santé se retrouvent dans le téléphone de la réception. C'est rapide, c'est pratique, et les patients adorent. L'ennui commence quand on réalise que ces messages sont, aux yeux du RGPD, une catégorie particulière de données personnelles — la plus sensible qui soit.

Bonne nouvelle : vous n'avez pas à abandonner la messagerie pour rester conforme. Il suffit de savoir ce que vous avez le droit de recevoir sur le canal, ce qu'il faut en tenir éloigné, et comment vous organiser pour qu'un message égaré ne devienne pas un problème. Cet article vous montre exactement cela, en termes pratiques, sans jargon juridique.

Pourquoi un message WhatsApp sur des symptômes n'est pas « qu'un message »

Selon le RGPD, les données de santé relèvent des « catégories particulières » (article 9). Elles bénéficient donc d'une protection plus stricte qu'un simple nom ou numéro de téléphone. Dès qu'un patient écrit ce qui ne va pas, le médicament dont il a besoin ou son diagnostic, votre cabinet devient responsable de traitement de données médicales — que vous l'ayez demandé ou non.

Concrètement, cela implique :

• vous avez besoin d'une base légale claire pour les traiter ;
• vous êtes responsable de leur conservation, de qui les voit et pendant combien de temps ;
• la responsabilité vous incombe en tant que responsable de traitement, pas à l'application.

WhatsApp chiffre la conversation en transit, mais cela ne vous dédouane de rien. Le chiffrement protège le message en chemin ; le RGPD demande ce qu'il advient de lui une fois arrivé dans le téléphone de la réception.

WhatsApp classique vs. WhatsApp Business vs. un formulaire sur votre site

Toutes les options ne se valent pas en matière de conformité.

• WhatsApp classique (compte personnel de la réception) : le plus risqué. Les données se mélangent à la vie privée du salarié, s'enregistrent dans la galerie et partent avec le téléphone si la personne s'en va.
• WhatsApp Business : un peu mieux (numéro dédié, messages séparés, réponses rapides), mais toujours un compte personnel à la base. WhatsApp/Meta traite des métadonnées, et votre contrôle sur le stockage reste limité.
• Un formulaire sécurisé sur votre propre site : là, vous avez un vrai contrôle. Les données arrivent chiffrées sur votre infrastructure, avec un consentement explicitement coché et des règles de conservation que vous définissez.

La réalité honnête : les patients continueront d'écrire sur WhatsApp. La solution n'est pas d'interdire le canal, mais de l'utiliser pour le « premier contact » et de déplacer la partie sensible vers un canal que vous maîtrisez.

La règle d'or : le canal de messagerie sert à prendre rendez-vous, pas à diagnostiquer

Le moyen le plus simple de rester propre est de traiter WhatsApp comme un agenda, pas comme un dossier médical. Sur le canal, n'autorisez que le strict nécessaire pour fixer un rendez-vous : nom, service souhaité, date et heure.

Comment l'appliquer au quotidien :

• préparez un message d'accueil type qui ne demande que les informations de rendez-vous et invite le patient à décrire son problème au cabinet ou dans le formulaire sécurisé ;
• quand quelqu'un commence à décrire des symptômes, répondez poliment que « les détails médicaux se discutent en consultation » et redirigez ;
• ne demandez jamais sur le chat de numéro d'identité, de photos d'analyses ou d'antécédents médicaux.

Ainsi, même si le téléphone est perdu ou que quelqu'un regarde par-dessus l'épaule, aucune donnée sensible n'est sur le canal — juste une liste de rendez-vous. Le risque chute, sans bureaucratie supplémentaire.

Des étapes concrètes pour être conforme dès demain

Pas besoin d'un projet de trois mois. Quelques mesures font la plus grande partie de la différence :

• Un téléphone et un compte dédiés au cabinet, avec code PIN et verrouillage biométrique — jamais le compte personnel d'un salarié.
• Une politique de suppression : les messages contenant le moindre détail de santé sont supprimés une fois le rendez-vous enregistré dans votre propre système.
• Une courte information, envoyée au premier contact : qui vous êtes, ce que vous faites des données, et l'invitation à ne pas envoyer de détails médicaux sur le chat.
• Une formation minimale de l'accueil : quoi demander, quoi refuser, comment rediriger.
• Un registre simple des traitements et, si vous manipulez de gros volumes de données sensibles, évaluez si vous avez besoin d'un délégué à la protection des données.

Consignez ces règles sur une seule page. Si un patient pose un jour la question ou qu'un contrôle survient, avoir une procédure écrite compte énormément.

Ce qu'apporte un vrai site — et comment nous travaillons chez MPO

Un site avec un formulaire de rendez-vous sécurisé résout exactement ce que WhatsApp ne peut pas couvrir : un consentement explicitement coché, des données chiffrées qui vous parviennent directement, des champs conçus pour ne pas demander plus que nécessaire, et une page de confidentialité qui dit clairement ce qu'il advient des informations. WhatsApp reste pour le « bonjour, je voudrais un rendez-vous », et le reste passe par un canal que vous maîtrisez.

Chez MPO Web Studio, nous construisons ce type de sites pour les cabinets, à distance, dans tout le pays. Nous préparons une version démo à l'avance — vous la voyez avant de payer quoi que ce soit — avec un formulaire de rendez-vous pensé pour les données médicales et un prix transparent, sans surprises.

Si vous voulez voir ce que cela donnerait pour votre cabinet, écrivez-nous un message sur WhatsApp et nous vous préparons une démo. Sans engagement, sans pression.