RGPD dans un centre esthétique, le vrai minimum sans jargon

Le RGPD est entré en application en 2018. Huit ans plus tard, la plupart des centres esthétiques ne l'appliquent qu'à moitié. Pas par mauvaise volonté, mais parce que la matière est présentée de façon anxiogène et hors sol. Voici, en langage clair, ce qui est vraiment obligatoire pour un centre esthétique, ce qui ne l'est pas, et les 4 erreurs les plus courantes qui peuvent coûter cher en cas de plainte.

Ce que vous manipulez, aux yeux du RGPD

Une fiche cliente en centre esthétique contient au minimum : nom, prénom, coordonnées, historique de rendez-vous, prestations réalisées, montants payés. C'est déjà de la donnée personnelle standard. Rien de très sensible.

Mais elle contient aussi, dans la vraie vie : allergies, contre-indications, traitements en cours, questionnaire de santé, photos avant et après. Là, ça devient de la donnée de santé au sens du RGPD, article 9. Et la donnée de santé est classée "sensible", ce qui déclenche une série d'obligations plus lourdes.

Il n'y a pas moyen de contourner ça en disant "je fais de l'esthétique, pas du médical". Le simple fait que vous notiez "grossesse en cours" ou "traitement anticoagulant" pour éviter certains soins, ça suffit à qualifier la fiche comme contenant de la donnée de santé.

Ce qui est vraiment obligatoire

Le consentement pour les données de santé. Vous devez pouvoir prouver que la cliente a explicitement accepté que vous notiez ses informations de santé. Une case cochée dans un questionnaire, une signature au bas d'un formulaire, un document numérique horodaté. Pas juste "elle m'a dit oui à l'oral". La preuve doit être conservée.

L'information claire. Chaque cliente doit savoir : quelles données vous conservez, pendant combien de temps, pour quel usage, avec qui vous les partagez (comptable, logiciel de gestion, prestataire d'envoi de SMS), et comment elle peut exercer ses droits. C'est ce qui doit figurer dans votre politique de confidentialité, qu'elle doit pouvoir consulter facilement (affichée au mur ou en ligne).

Le registre des traitements. Depuis 2018, toute structure (même un centre solo) doit tenir un registre listant les traitements de données personnelles qu'elle fait : fichier client, agenda, comptabilité, envoi de SMS de rappel, etc. Ce registre n'a pas à être envoyé à la CNIL, mais il doit exister et être présentable en cas de contrôle. C'est un simple tableau en Word ou Excel de 5 à 10 lignes. Beaucoup de centres n'en ont pas.

Le respect du droit à l'oubli. Quand une cliente demande à être supprimée, vous devez le faire dans un délai raisonnable (1 mois maximum). Attention, ça ne concerne pas les factures : les factures doivent être conservées 10 ans (article L123-22 du Code de commerce). Vous devez donc distinguer "supprimer la fiche" et "anonymiser les factures" (transformer "Anne Dupont" en "Cliente 5842", sans possibilité de remonter).

La sécurité des données. Vos données doivent être stockées de façon raisonnablement sécurisée. Ce qui veut dire : accès par mot de passe (pas d'ordinateur laissé ouvert), sauvegarde régulière, hébergement chez un prestataire fiable (idéalement en France ou en Europe). Vous n'avez pas besoin de norme ISO 27001, mais si votre logiciel de gestion est hébergé en Ukraine et que vous stockez les mots de passe en clair dans un fichier texte sur le bureau, c'est une négligence caractérisée.

La durée de conservation limitée. Les données doivent être supprimées ou anonymisées quand elles ne servent plus. La CNIL recommande 3 ans après le dernier rendez-vous pour les données non essentielles (préférences, notes), et 10 ans pour les factures. Les données de santé doivent être supprimées dès que la relation prend fin, sauf accord explicite de la cliente.

Ce qui n'est pas obligatoire

Beaucoup de choses vous seront présentées comme obligatoires alors qu'elles ne le sont pas.

Un DPO (délégué à la protection des données) n'est pas obligatoire pour un centre esthétique classique. Il l'est uniquement pour les structures qui font du traitement massif ou du profilage à grande échelle. Un centre avec 500 ou 1000 clientes n'entre pas dans cette catégorie.

Une analyse d'impact (AIPD) n'est pas obligatoire pour un centre esthétique classique. Elle l'est pour les traitements présentant un risque élevé (surveillance systématique, données biométriques). La photo avant/après ne constitue pas une donnée biométrique tant qu'elle n'est pas utilisée pour identifier la personne automatiquement.

Un contrat avec chaque prestataire n'est pas systématique. Il l'est avec les "sous-traitants" au sens RGPD (votre éditeur de logiciel, votre prestataire SMS). Il ne l'est pas avec votre banque ou votre expert-comptable qui sont des "responsables de traitement" indépendants.

Une certification n'est pas obligatoire. Ni pour vous, ni pour votre logiciel. Certains éditeurs mettent en avant des labels ou des certifications payantes. Elles peuvent rassurer, mais elles ne sont pas exigées par la loi.

Les 4 erreurs qui coûtent cher

Erreur 1 : les photos sur téléphone perso. Beaucoup de praticiennes prennent des photos avant/après avec leur téléphone personnel, "pour se faire une progression". Ces photos, si elles sont conservées, entrent dans le champ du RGPD au même titre que celles stockées dans le logiciel de gestion. Sauf que sur un téléphone perso, il n'y a pas de traçabilité, pas de suppression facile, et souvent pas de consentement écrit. En cas de plainte d'une cliente, c'est le pire scénario. Solution : soit vous prenez les photos avec le logiciel de gestion (qui trace et sécurise), soit vous ne prenez pas de photos.

Erreur 2 : le partage de fiches entre praticiennes. Vous avez trois praticiennes dans le centre. La cliente d'Anne prend un rendez-vous chez Nadia. Nadia consulte la fiche de la cliente établie par Anne pour préparer sa séance. Sans consentement explicite, ce partage est illégal. La cliente a confié ses données à Anne, pas à tout le centre. Solution : soit chaque praticienne a son propre univers de fiches, soit vous demandez explicitement à la cliente d'accepter le partage entre praticiennes (case à cocher au premier rendez-vous).

Erreur 3 : les SMS et emails de reprise commerciale. Vous avez 500 clientes dans votre base, dont 200 qui ne sont pas venues depuis 2 ans. Vous voulez leur envoyer une promo pour les faire revenir. Si elles n'ont pas explicitement accepté de recevoir de la prospection commerciale (pas juste des rappels de rendez-vous, vraiment de la prospection), c'est une infraction. La CNIL a déjà sanctionné plusieurs professionnels pour ça. Solution : distinguer clairement à la souscription "rappels de rendez-vous" (essentiel, opt-out) et "offres commerciales" (opt-in explicite).

Erreur 4 : l'export vers un ancien logiciel. Vous changez de logiciel. Vous exportez l'ensemble de vos fiches vers le nouveau. Vous laissez l'ancien logiciel avec les données. Pendant 3 ou 5 ans, l'ancien reste actif dans votre placard sans que personne ne s'en occupe. En cas de fuite depuis cet ancien logiciel, c'est vous qui êtes responsable. Solution : soit vous fermez le compte de l'ancien logiciel avec suppression documentée, soit vous continuez à payer l'abonnement pour maintenir l'accès et la sécurité.

Ce que la CNIL peut faire (et fait vraiment)

En cas de plainte d'une cliente ou de contrôle inopiné, la CNIL peut prononcer plusieurs types de sanctions.

Le rappel à l'ordre. Sans amende, mais publié dans certains cas. Effet réputation.

L'injonction de mise en conformité, avec astreinte financière si vous ne bougez pas.

L'amende administrative. Pour un centre esthétique de petite taille, on parle rarement des amendes maximales (4 % du CA mondial pour les grandes entreprises). Mais des amendes de 1 000 à 10 000 euros pour des artisans commerçants ont déjà été prononcées, notamment pour de la prospection commerciale non consentie.

La publication de la sanction. C'est souvent le plus dommageable. Une décision CNIL publiée avec le nom de votre centre remonte dans les résultats de recherche Google pendant des années.

Un plan d'action minimaliste

Si vous partez de zéro, voici les 6 actions à mener dans l'ordre. Vous êtes en règle avec le minimum en une demi-journée.

1. Rédigez une politique de confidentialité simple (10 lignes) et affichez-la à l'accueil ou sur votre site.
2. Ajoutez une case à cocher au premier rendez-vous : "J'accepte que le centre conserve mes données de santé pour la préparation de mes soins".
3. Distinguez dans votre logiciel les rappels de rendez-vous (opt-out) et les offres commerciales (opt-in).
4. Créez un fichier Excel "Registre des traitements" avec 5 lignes : fichier client, agenda, comptabilité, envoi SMS, envoi emails. Gardez-le à jour.
5. Formalisez une procédure de suppression sur demande. Un simple email dédié suffit, du moment que vous répondez sous 1 mois.
6. Vérifiez que votre logiciel de gestion est hébergé en France ou en Europe, et qu'il propose un bouton d'export et un bouton de suppression.

Vous êtes en conformité raisonnable avec le RGPD. Pas parfait, mais suffisamment pour qu'aucun contrôle CNIL ne se transforme en cauchemar. Et pour qu'aucune cliente en colère ne trouve prise pour une plainte fondée.