En bref
Oui, le RGPD te concerne même si tu travailles seul, y compris pour tes fiches papier. Concrètement :
- liste tes traitements dans un registre (la CNIL fournit un modèle simplifié) ;
- sois très prudent avec les données de santé : en nutrition et en bien-être, un simple croisement poids et apports caloriques peut en être une ;
- informe tes clients, réponds à leurs demandes, recueille leur consentement avant de leur envoyer une newsletter et ne garde pas les données indéfiniment.
Le RGPD te concerne, même si tu travailles seul
Le RGPD (règlement général sur la protection des données) s'applique à tous les professionnels, quels que soient leur taille et leur secteur. Ce qui change d'une structure à l'autre, c'est le niveau d'exigence : il dépend des risques que tes traitements font peser sur tes clients.
Une donnée personnelle, c'est toute information qui permet d'identifier une personne : nom, e-mail, téléphone, historique de rendez-vous, notes de séance. Un traitement, c'est tout ce que tu en fais : collecter, ranger, consulter, envoyer, supprimer.
- Le RGPD couvre aussi tes fichiers papier : un classeur de fiches clients compte.
- Pour une petite structure dont le métier n'est pas de traiter des données, la CNIL indique que l'analyse d'impact (une étude poussée des risques) et le délégué à la protection des données (DPO) sont « rares ». Les cas précis où un DPO devient obligatoire sont à vérifier selon ta situation.
Source : CNIL, Appliquer le RGPD dans une TPE ou PME.
Tu n'as pas à partir de zéro. La CNIL met à disposition des outils gratuits pour les petites structures : un guide pratique, une fiche « Améliorez et maîtrisez votre relation client », un modèle de registre simplifié et des exemples de mentions d'information (voir la page de la CNIL). Le Comité européen de la protection des données publie aussi un guide RGPD pour TPE-PME disponible en français.
Première étape : faire la liste de tes données dans un registre
Le registre des activités de traitement est un document qui recense ce que tu fais des données de tes clients. Selon la CNIL, il concerne tous les organismes qui traitent des données personnelles, quelle que soit leur taille. Le texte du RGPD (article 30) prévoit une dispense pour certaines structures, mais avec des exceptions qui semblent inclure un fichier clients tenu en continu : ce point est à vérifier sur le texte. Le plus sûr, et le plus simple, est de tenir ce registre.
Le principe : une fiche par activité. Pour un praticien, cela peut donner :
- la gestion des rendez-vous ;
- la facturation ;
- le suivi des séances ;
- la newsletter.
Dans chaque fiche, tu décris notamment pourquoi tu collectes les données, lesquelles, qui y a accès (toi, ton logiciel, ton comptable), combien de temps tu les gardes et comment tu les protèges.
La CNIL propose un modèle simplifié au format tableur (ODS), pensé pour les petites structures et conforme au socle de l'article 30 : CNIL, Le registre des activités de traitement. Cette page n'affiche pas de mise à jour récente, mais son contenu reste cohérent avec le RGPD.
Données de santé : la vraie vigilance en nutrition et bien-être
C'est le point le plus sensible si tu es coach en nutrition, nutritionniste ou praticien bien-être. La CNIL retient une définition large : tout ce qui touche à la santé physique ou mentale, passée, présente ou future. Elle distingue trois catégories :
- par nature : antécédents, maladies, traitements, handicap ;
- par croisement : une donnée banale qui, croisée avec d'autres, renseigne sur la santé. La CNIL cite le poids croisé avec le nombre de pas ou avec les apports caloriques ;
- par destination : une donnée qui devient une donnée de santé par l'usage médical qui en est fait.
Il faut juger au cas par cas (CNIL, Qu'est-ce qu'une donnée de santé ?, page datée de janvier 2018). Les données de santé sont des données sensibles au sens de l'article 9 du RGPD, avec un régime plus strict (CNIL, données de santé des sportifs).
Ce que tu peux faire dès maintenant
- Ne collecte que ce dont tu as vraiment besoin pour ton accompagnement.
- Sépare les informations administratives (nom, contact, rendez-vous, factures) des éventuelles informations de santé.
- Ne saisis pas de données de santé dans un outil qui n'est pas prévu pour cela.
- Pour savoir si ta pratique impose un hébergeur certifié pour les données de santé (dit « HDS ») et à quelles conditions tu peux collecter ces données, demande l'avis d'un juriste : ce point est à vérifier selon ton activité.
Informer tes clients et répondre à leurs demandes
Tes clients doivent savoir ce que tu fais de leurs données : qui tu es, pourquoi tu les collectes, combien de temps tu les gardes et quels sont leurs droits. La liste exacte des mentions obligatoires (article 13 du RGPD) est à vérifier sur la page dédiée de la CNIL. Tu trouveras des exemples de mentions dans les outils de la CNIL pour les TPE-PME.
Place ces informations là où tu collectes les données : formulaire de réservation, fiche d'accueil, bas de tes e-mails.
Quand un client te sollicite
Un client peut te demander d'accéder à ses données, de les corriger, de les supprimer ou de les récupérer pour les transmettre ailleurs (droit à la portabilité, expliqué par la CNIL). Pour être prêt :
- sache où se trouvent toutes ses données (logiciel, boîte e-mail, papier) : ton registre sert justement à ça ;
- assure-toi que la demande vient bien de la personne concernée ;
- réponds sans tarder. Le RGPD fixe un délai maximal de réponse, prolongeable dans certains cas : le délai exact est à vérifier sur les pages de la CNIL.
Newsletter et relances : consentement et durées de conservation
Envoyer ta newsletter ou une offre par e-mail ou SMS, c'est de la prospection. Les règles viennent de l'article L.34-5 du code des postes et des communications électroniques :
- Particuliers : il faut leur consentement préalable, c'est-à-dire un accord clair donné avant le premier envoi.
- Exception « déjà client » : si la personne est déjà ta cliente et que le message porte sur des prestations similaires aux tiennes, le consentement n'est pas exigé. Tu dois alors l'informer et lui permettre de s'opposer facilement, au moment de la collecte puis dans chaque message.
- La simple création d'un compte ne suffit pas pour utiliser cette exception.
- Professionnels : la règle est l'information et la possibilité de s'opposer.
Sources : CNIL, Communications par voie électronique aux prospects et clients et CNIL, La prospection commerciale par courrier électronique, SMS-MMS et automate d'appel.
Combien de temps garder ces données ?
| Données | Durée |
|---|---|
| Clients utilisés pour la prospection | Pendant la relation commerciale, puis 3 ans après sa fin (dernier achat, fin du contrat ou dernier contact du client) |
| Prospects | Jusqu'au retrait du consentement, ou 3 ans après le dernier contact |
| Liste des personnes qui se sont opposées | Au minimum 3 ans (recommandation de la CNIL) |
Sources : Délibération CNIL n° 2021-131 du 23 septembre 2021 (Légifrance) et CNIL, questions-réponses sur ces référentiels. Ce référentiel vise la gestion commerciale : son application aux éventuelles données de santé est à vérifier. Tes factures obéissent à leurs propres règles, détaillées dans notre guide Combien de temps conserver ses factures et ses justificatifs.
Sécuriser les données et bien choisir tes outils
Le RGPD te demande de protéger les données que tu détiens. Quelques réflexes de bon sens :
- un mot de passe solide et différent pour chaque outil ;
- un accès limité aux seules personnes qui en ont besoin ;
- pas de dossier client qui traîne sur une clé USB ou en pièce jointe non protégée ;
- des sauvegardes régulières ;
- des fiches papier rangées sous clé.
La CNIL publie un guide sur la sécurité des données personnelles : l'édition la plus récente est à vérifier sur son site.
Tes outils travaillent pour toi
Ton logiciel de réservation, ton outil de facturation ou ton hébergeur traitent des données pour ton compte : ce sont des sous-traitants au sens du RGPD. Vérifie qu'ils prennent des engagements écrits sur la protection des données et regarde où ils hébergent ces données. Le contenu exact du contrat exigé (article 28 du RGPD) est à vérifier.
En cas de fuite
Si des données sont perdues, volées ou consultées par erreur, on parle de violation de données. Le RGPD peut imposer de la signaler à la CNIL dans un délai court : les conditions et le délai exact sont à vérifier sur la page de la CNIL consacrée à la notification des violations. Note dès maintenant ce que tu ferais : qui prévenir, comment couper l'accès, comment garder une trace de l'incident.
Ta liste d'actions pour cette semaine
- Télécharge le modèle de registre simplifié de la CNIL et remplis une fiche par activité.
- Fais le tri : supprime les données dont tu n'as plus besoin, papier compris.
- Repère les éventuelles données de santé et demande conseil si tu en collectes.
- Ajoute des mentions d'information sur ton formulaire de réservation et ta fiche d'accueil.
- Vérifie que ta newsletter repose sur un consentement ou sur l'exception « déjà client », avec un lien de désinscription dans chaque envoi.
- Fixe une durée de conservation pour chaque type de données et note-la dans ton registre.
- Fais le point sur tes outils : où sont les données, qui y a accès, quels engagements écrits.
En cas de doute sur ta situation, en particulier pour les données de santé, l'avis d'un juriste reste le meilleur réflexe.
Et dans Otium Forge ?
Otium Forge est conçu et développé en France ; les données sont hébergées dans l'Union européenne, en Allemagne (Render, région de Francfort). Otium Forge n'est pas certifié pour l'hébergement de données de santé (HDS) : n'y saisis pas de données de santé. Il t'aide à organiser tes données clients, sans remplacer l'avis d'un juriste.
- Carnet client (dès la formule Pro) : des notes de suivi pour chaque client, prévues sans données de santé, consultables avant chaque rendez-vous.
- Newsletter (dès la formule Pro) : publie articles et recettes et envoie-les à tes abonnés, qui les retrouvent aussi dans leur espace client. À toi de recueillir leur consentement comme expliqué plus haut.
- Automatisations des relances (dès la formule Pro) : relances de paiement et relance des clients inactifs. Si le message est commercial, garde en tête les règles de prospection.
Tu peux l'essayer pendant 7 jours, sans carte bancaire et sans engagement. Le détail des formules est sur la page des tarifs.
Sources
- CNIL, « Appliquer le RGPD dans une TPE ou PME : les questions/réponses de la CNIL », consultée le 20 octobre 2026.
- CNIL, « Règlement européen : existe-t-il des outils pour aider les TPE-PME ? », consultée le 20 octobre 2026.
- CNIL, « TPE-PME : le CEPD publie un guide RGPD disponible en français », consultée le 20 octobre 2026.
- CNIL, « Le registre des activités de traitement », consultée le 20 octobre 2026.
- CNIL, « Qu'est-ce ce qu'une donnée de santé ? », consultée le 20 octobre 2026.
- CNIL, « Dans quels cas et à quelles conditions des données de santé peuvent-elles être collectées sur les sportifs ? », consultée le 20 octobre 2026.
- CNIL, « Professionnels : comment répondre à une demande de droit à la portabilité ? », consultée le 20 octobre 2026.
- CNIL, « Communications par voie électronique aux prospects et clients : quelles règles respecter ? », consultée le 20 octobre 2026.
- CNIL, « La prospection commerciale par courrier électronique, SMS-MMS et automate d'appel », consultée le 20 octobre 2026.
- Légifrance, « Délibération n° 2021-131 du 23 septembre 2021 portant adoption d'un référentiel relatif aux traitements de données à caractère personnel mis en œuvre aux fins de gestion des activités commerciales », consultée le 20 octobre 2026.
- CNIL, « Questions-réponses sur les référentiels relatifs à la gestion des activités commerciales et des impayés dans une transaction commerciale », consultée le 20 octobre 2026.
- Le fonctionnement d'Otium Forge décrit ici correspond au logiciel à la date de publication du guide.