RGPD et psychologue : ce qu’il faut savoir en pratique

Mis à jour le 8 octobre 2026 par Scriboupsy

Au fil d’un suivi, un psychologue recueille et conserve de nombreuses informations : coordonnées, rendez-vous, notes, écrits psychologiques, factures… Le RGPD encadre la manière dont ces données sont utilisées, protégées et conservées.

Dans un cabinet de psychologie, cela soulève surtout des questions très concrètes : quelles informations garder ? Faut-il demander l’accord du patient ? Combien de temps conserver un dossier ? Que transmettre lorsqu’un patient souhaite y accéder ? Et comment choisir un logiciel auquel confier ces données ?

Dans cet article, Scriboupsy vous donne des repères pratiques pour répondre à ces questions, sans faire de cette page un cours de droit.

RGPD, confidentialité et pratique du psychologue

Le RGPD n’a pas inventé la confidentialité. Bien avant son entrée en application, les psychologues accordaient déjà une attention particulière à la manière dont ils recueillaient, écrivaient et conservaient les informations concernant leurs patients. Le RGPD ajoute à cette exigence professionnelle un cadre juridique précis pour le traitement des données personnelles.

Ces deux dimensions se complètent, sans se confondre. La confidentialité concerne notamment ce qui est confié au psychologue dans le cadre du suivi ; le RGPD encadre plus largement la manière dont les données sont recueillies, utilisées, conservées, protégées et, lorsque cela est nécessaire, transmises.

Cette connaissance du métier fait aussi partie de l’histoire de Scriboupsy : une psychologue est à l’origine du logiciel.

Dans le cadre de la protection des données, cela se traduit par des choix très concrets, par exemple : distinguer un écrit psychologique d’un brouillon ou d’une note personnelle, ou permettre d’archiver un suivi sans le faire disparaître.

Scriboupsy a ainsi été pensé à partir de la pratique réelle des psychologues, avec ses besoins de confidentialité, ses écrits et ses contraintes quotidiennes.

Dossiers du psychologue et RGPD : quelles données sont concernées et qui est responsable ?

Des données personnelles, dont des données de santé

Dans votre activité, vous traitez nécessairement des données personnelles : nom, coordonnées, dates de rendez-vous, informations de facturation…

Dès qu’une information renseigne sur la santé physique ou mentale d’une personne, elle constitue une donnée de santé, particulièrement protégée par le RGPD. C’est notamment le cas des symptômes, des observations cliniques, des antécédents, des résultats d’évaluations ou d’autres éléments relatifs à la santé mentale recueillis au cours du suivi (source).

Dans la pratique d’un psychologue clinicien, les observations portant sur l’état psychique d’un patient entrent donc clairement dans cette catégorie.

Toutes les données concernant un patient ne sont pas pour autant des données de santé. Une adresse e-mail utilisée pour le contacter reste, par exemple, une donnée personnelle. Elle doit être protégée elle aussi, mais n’a pas, à elle seule, le même caractère sensible qu’une information sur sa santé mentale.

Le psychologue et Scriboupsy ont chacun leurs responsabilités

En tant que psychologue en libéral, c’est vous qui décidez quelles informations sont nécessaires au suivi de vos patients, pourquoi vous les conservez et comment vous les utilisez. Au sens du RGPD, vous êtes donc responsable du traitement de ces données.

Lorsque vous confiez les données de vos patients à Scriboupsy, nous les traitons pour votre compte : Scriboupsy intervient alors comme sous-traitant au sens du RGPD.

Cela ne signifie pas que l’éditeur du logiciel est dégagé de toute responsabilité, bien au contraire. Un sous-traitant a lui aussi des obligations légales importantes, notamment pour protéger les données qui lui sont confiées, garantir leur confidentialité et encadrer les traitements qu’il réalise.

Le RGPD répartit donc les responsabilités : vous restez responsable de la manière dont vous utilisez les données de vos patients dans votre pratique, tandis que Scriboupsy est responsable du respect des obligations qui lui incombent en tant que sous-traitant.

Que demande concrètement le RGPD à un psychologue ?

Le RGPD comporte de nombreuses règles, mais plusieurs principes se traduisent assez simplement au quotidien.

Conserver les informations dont vous avez réellement besoin

Le principe est simple : ne pas collecter ou conserver des informations « au cas où » si elles ne sont pas utiles à votre travail.

Cela concerne notamment les informations sur les proches du patient. Si celui-ci parle de sa sœur, de son conjoint ou d’un collègue au cours d’une séance, il n’est généralement pas nécessaire d’enregistrer le nom complet, l’adresse, le numéro de téléphone ou l’adresse e-mail de cette personne.

Selon le contexte, « son conjoint », « sa sœur » ou éventuellement un prénom suffisent largement à comprendre et retrouver l’information utile au suivi.

Le RGPD rejoint ici une logique assez naturelle : conserver ce qui a du sens pour le suivi, sans constituer inutilement des dossiers sur les personnes qui gravitent autour du patient.

Informer vos patients

Vos patients doivent savoir comment leurs données sont utilisées : pourquoi vous les recueillez, combien de temps elles sont conservées, qui peut éventuellement y accéder et comment ils peuvent exercer leurs droits.

Cette information doit être claire et facilement accessible. Elle peut notamment être présentée dans votre cabinet, par exemple au moyen d’une affiche en salle d’attente.

Scriboupsy permet de générer une affiche RGPD adaptée à votre cabinet, que vous pouvez imprimer et afficher pour informer simplement vos patients. Nous y consacrons un article dédié.

Informer ne signifie pas demander une autorisation

C’est une confusion fréquente : un psychologue n’a pas à demander un consentement RGPD à son patient pour prendre et conserver les informations nécessaires à son suivi.

Le patient doit être informé de la manière dont ses données sont traitées, mais cette information ne signifie pas qu’il doit donner son autorisation à chaque prise de note ou à la constitution de son dossier.

De la même manière, utiliser Scriboupsy pour conserver les données du suivi ne nécessite pas de demander individuellement à chaque patient l’autorisation d’utiliser le logiciel (source).

Concernant l’hébergement des données de santé, une opposition reste possible pour un motif légitime, mais cette possibilité est très encadrée et concerne des situations personnelles particulières.

Un exemple permet de mieux comprendre à quel point cette notion de motif légitime est restrictive. Dans une affaire dont la CNIL avait été saisie en 1991, un patient des Hospices civils de Lyon ne souhaitait pas que sa famille apprenne sa pathologie. Son beau-frère, médecin, allait travailler dans l’établissement où il était soigné, et le patient craignait qu’il puisse découvrir sa pathologie grâce au système informatique de l’hôpital : la CNIL avait considéré ce motif comme légitime (source).

Une simple préférence pour ne pas utiliser un logiciel ou pour conserver uniquement un dossier papier n’est donc pas du même ordre.

L’idée importante reste simple : le patient doit être correctement informé ; vous n’avez pas à lui demander une autorisation RGPD pour pouvoir tenir son dossier et assurer son suivi.

Un patient vous demande son dossier psychologique : que faire ?

Un patient n’a pas besoin de connaître le vocabulaire du RGPD pour exercer son droit d’accès. S’il vous demande simplement à récupérer son dossier ou les informations que vous détenez sur lui, vous devez lui répondre rapidement.

Que devez-vous lui transmettre ?

Le patient doit pouvoir accéder aux données et aux écrits qui le concernent dans son dossier, sous une forme compréhensible.

Cela ne signifie pas pour autant que tous les brouillons produits au cours de votre travail font partie du dossier.

Une note personnelle peut être définie comme une note de travail : un brouillon, une notation schématique ou un support provisoire de réflexion, par exemple avant que les éléments utiles soient formalisés dans le dossier. Elle est distincte des écrits qui constituent réellement le suivi et n’a pas vocation à être conservée indéfiniment.

À l’inverse, un compte rendu, une observation formalisée ou un écrit structuré faisant partie du suivi ne devient pas une « note personnelle » simplement parce qu’on choisit de le nommer ainsi.

Scriboupsy permet d’exporter facilement en PDF les écrits et les données du suivi, sans les brouillons ni les notes personnelles. Cette fonctionnalité facilite concrètement la préparation des éléments à transmettre lorsqu’un patient exerce son droit d’accès.

Vérifier avant de transmettre

Avant d’envoyer le dossier, vous devez bien sûr vous assurer qu’il est remis à la bonne personne. Une pièce d’identité n’a toutefois pas à être demandée systématiquement : elle peut être nécessaire lorsqu’il existe un doute raisonnable sur l’identité du demandeur.

Enfin, les informations contenues dans un suivi psychologique peuvent être particulièrement sensibles. Le moyen utilisé pour les transmettre doit donc être adapté à leur niveau de confidentialité.

Pour un psychologue, combien de temps conserver les dossiers patients ?

Lorsqu’un suivi se termine, le dossier du patient doit encore être conservé pendant un certain temps.

Pour les mineurs, le régime applicable aux dossiers médicaux prévoit que, si cette durée s’achève avant le 28e anniversaire du patient, le dossier est conservé jusqu’à cette date. C’est également un repère utile pour les suivis psychologiques d’enfants et d’adolescents (source).

Un suivi terminé peut simplement être archivé

Conserver un dossier ne signifie pas qu’il doit rester au milieu de vos suivis en cours pendant vingt ans.

Dans Scriboupsy, lorsqu’un suivi est terminé, vous pouvez simplement l’archiver : il ne se mélange plus aux suivis actifs, tout en restant conservé et accessible si vous en avez besoin par la suite.

Cette conservation longue concerne le dossier et les écrits qui en font réellement partie. Les brouillons et véritables notes personnelles de travail, destinés à être repris ou formalisés dans le dossier, n’ont pas vocation à être conservés de la même manière pendant des années.

Sanctions RGPD pour les psychologues : entre plafonds théoriques et réalité

Les sanctions de la CNIL ne concernent pas uniquement les grandes entreprises ou les fuites de données touchant des millions de personnes.

Des professionnels exerçant seuls ou dans de petites structures ont déjà été sanctionnés pour des manquements très concrets. En 2023, une orthophoniste a ainsi reçu une amende de 5 000 €, accompagnée d’une injonction, notamment pour ne pas avoir correctement répondu à une demande d’accès à des données de santé. En 2024, deux chirurgiens-dentistes ont été sanctionnés à hauteur de 5 000 € et 4 000 € pour des manquements concernant le droit d’accès, la sécurité des données ou la coopération avec la CNIL (source).

La sécurité peut également être directement en cause : en 2020, deux médecins libéraux ont reçu des amendes de 3 000 € et 6 000 € après avoir insuffisamment protégé les données personnelles de leurs patients et omis de notifier une violation de données à la CNIL (source).

Ces décisions donnent une image plus réaliste du risque que les seuls plafonds prévus par le RGPD. Ceux-ci peuvent atteindre 20 millions d’euros ou, pour une entreprise, 4 % de son chiffre d’affaires annuel mondial pour les manquements les plus graves. Mais il s’agit de plafonds légaux, pas d’un barème appliqué automatiquement. La CNIL peut également prononcer un rappel à l’ordre, une injonction de mise en conformité ou d’autres mesures correctrices (source).

Pour un psychologue libéral, l’enseignement est surtout beaucoup plus concret : répondre correctement à une demande d’accès, protéger les données confiées au cabinet et réagir lorsqu’un problème est identifié sont de véritables obligations. Les sanctions existent, sans qu’une erreur expose pour autant automatiquement à une amende de plusieurs millions d’euros.

Bien choisir son logiciel pour psychologue

Respecter le RGPD ne dépend pas uniquement de ce que vous faites dans votre cabinet. Dès lors que vous confiez les données de vos patients à un logiciel ou à un autre prestataire, le choix de celui-ci compte également.

La CNIL recommande de vérifier où les données sont réellement hébergées, les éventuels transferts hors de l’Union européenne et la chaîne de sous-traitance. Pour les données les plus sensibles, comme les données de santé, elle va plus loin et recommande de choisir un prestataire exclusivement soumis au droit européen (source).

C’est un point de vigilance particulier avec les fournisseurs américains : le CLOUD Act permet aux autorités américaines de demander à une entreprise américaine l’accès à des données qu’elle contrôle, y compris lorsqu’elles sont hébergées hors des États-Unis (source).

Ce point a directement guidé nos choix pour Scriboupsy.

Nous aurions pu confier l’hébergement à un grand fournisseur international. Nous avons préféré AZNETWORK, une entreprise française, avec des données hébergées en France.

AZNETWORK est certifié HDS v2 pour les six activités prévues par le référentiel (ANS). La certification HDS impose à l’hébergeur des exigences spécifiques en matière de sécurité et de protection des données de santé, contrôlées dans le cadre d’un audit de certification (source).

Pour l’hébergement de Scriboupsy, ce choix nous permet ainsi de rester dans un cadre juridique français et européen, sans dépendre d’un fournisseur américain pour le stockage de vos données.

Nous appliquons la même attention au choix des autres prestataires utilisés par Scriboupsy, en privilégiant les entreprises françaises, puis européennes.

Pour en savoir plus sur l’hébergement, le chiffrement, les sauvegardes, les audits ou la double authentification, vous pouvez consulter notre page « Sécurité et confidentialité ».

Ce choix de confidentialité se retrouve jusque sur scriboupsy.fr : nous n’utilisons pas de cookies ou de traceurs publicitaires pour vous cibler avec de la publicité.