Photographies et données patients : les réflexes de protection en cabinet esthétique

Les données les plus utiles sont souvent les plus sensibles

Un cabinet esthétique traite des informations qui peuvent révéler l’identité, les coordonnées, les antécédents, les attentes et le parcours d’une personne. Les photographies du visage ajoutent une dimension particulière : elles sont directement identifiantes et, lorsqu’elles sont associées à une prise en charge, s’inscrivent dans un contexte de santé.

La protection ne peut pas être réduite à une case « RGPD » ou à la présence d’un mot de passe. Elle commence par la compréhension des flux : quelles données sont recueillies, pourquoi, où elles sont enregistrées, qui y accède, à qui elles sont transmises et quand elles sont supprimées. Cette cartographie permet de corriger les habitudes risquées avant qu’un incident ne survienne.

Protéger les données patients, c’est combiner finalité claire, accès limités, outils adaptés et habitudes quotidiennes cohérentes.

Commencer par la finalité

Chaque collecte doit répondre à un objectif. Une photographie peut être nécessaire au suivi, une coordonnée à la confirmation d’un rendez-vous et une information clinique à l’évaluation d’une situation. Si l’objectif n’est pas clair, il est difficile de déterminer ce qui doit être collecté ou conservé.

Les finalités distinctes ne doivent pas être regroupées artificiellement. Le suivi clinique, la communication commerciale, la publication d’un avant-après, la recherche et l’entraînement d’un système d’IA répondent à des objectifs différents. La CNIL rappelle qu’un consentement à l’utilisation d’une image dans un contexte ne vaut pas automatiquement pour une réutilisation destinée à constituer une base d’apprentissage.

Cette distinction doit se retrouver dans les documents, les paramètres de la plateforme et les pratiques de l’équipe. Une photographie ne devrait pas passer du dossier au compte social du cabinet par simple habitude.

Informer avec des mots compréhensibles

L’information doit permettre à la personne de comprendre le traitement de ses données. Elle présente notamment les finalités, la base utilisée, les destinataires, la durée de conservation et les droits. Lorsqu’un algorithme intervient de manière pertinente, la CNIL indique que l’existence d’une prise de décision automatisée et des informations utiles sur sa logique et ses conséquences doivent être abordées dans les situations concernées.

Une notice exhaustive n’est pas forcément une notice comprise. Une information à plusieurs niveaux peut être plus efficace : une explication courte au moment de la collecte, puis un document détaillé facilement accessible. Le professionnel doit pouvoir répondre aux questions courantes ou orienter vers la personne compétente.

Il faut éviter les formulations vagues telles que « pour améliorer nos services » lorsqu’elles cachent plusieurs usages. Le patient doit savoir si ses données servent uniquement à son parcours ou à une finalité supplémentaire.

Recueillir un accord adapté lorsqu’il est requis

Le consentement, lorsqu’il constitue la base retenue, doit être libre, spécifique, éclairé et univoque. Il ne peut pas être déduit du silence ou noyé dans des conditions générales. La personne doit pouvoir choisir entre des finalités distinctes lorsque cela est pertinent et retirer son accord dans les conditions applicables.

La CNIL indique que la photographie d’une personne hospitalisée ne peut être intégrée à son dossier qu’avec son accord et sous réserve de pertinence, et recommande un formulaire précisant l’usage. Le cabinet esthétique doit analyser son propre cadre, mais ce repère montre l’importance d’une information explicite autour des images.

Un accord pour le suivi ne vaut pas publication. Un accord pour publier sur un support ne vaut pas nécessairement pour tous les canaux et toutes les durées. La granularité protège la liberté de choix.

Limiter les données au nécessaire

La facilité technique encourage parfois à tout conserver. Pourtant, chaque donnée supplémentaire augmente l’impact d’un accès indu ou d’une erreur. Le cabinet doit recueillir les informations pertinentes pour la prise en charge et éviter les champs « au cas où » sans finalité définie.

La même logique s’applique aux photographies. Une séquence d’angles utile est préférable à une accumulation d’images redondantes. Une capture ratée ou inutile ne devrait pas rester indéfiniment dans le dossier. Les images doivent être classées rapidement pour éviter les copies temporaires.

La minimisation concerne aussi les transmissions à une IA. Seules les informations nécessaires à la fonction doivent être envoyées. Un nom ou une coordonnée n’a pas à accompagner une image si l’analyse n’en a pas besoin.

Attribuer les droits selon les fonctions

La CNIL rappelle que les données d’un dossier patient ne doivent être accessibles qu’aux personnes qui ont besoin d’en connaître le contenu. Une personne chargée de l’accueil n’a pas nécessairement besoin d’accéder aux photographies ou aux observations cliniques. Un prestataire technique n’a pas besoin d’un accès permanent et général.

Les comptes doivent être individuels. Les droits sont attribués par rôle et revus périodiquement. Lorsqu’une personne change de fonction ou quitte le cabinet, l’accès est modifié sans attendre. Une authentification robuste et, lorsque cela est approprié, un second facteur renforcent la protection.

Les journaux d’accès permettent d’identifier les consultations inhabituelles et d’enquêter en cas d’incident. Leur utilisation doit elle-même être encadrée.

Éviter la dispersion sur les appareils

Le smartphone est pratique pour photographier, mais sa galerie personnelle n’est pas un dossier patient. Les sauvegardes automatiques, applications de retouche et messageries peuvent multiplier les copies hors du contrôle du cabinet. Un appareil perdu ou partagé augmente encore le risque.

Un parcours de capture sécurisé peut transférer directement l’image vers la bonne session. Le lien utilisé doit être temporaire et associé à une action précise. Après le transfert, le cabinet doit savoir si une copie locale subsiste et comment elle est supprimée.

Les postes de travail doivent se verrouiller automatiquement, recevoir leurs mises à jour et être protégés contre l’installation d’outils non autorisés. Les écrans visibles depuis une zone d’attente doivent être positionnés avec attention.

Choisir des canaux de partage appropriés

Envoyer un document sensible par une pièce jointe classique crée des copies durables dans plusieurs boîtes. Un espace authentifié ou un lien signé et temporaire permet de mieux limiter l’accès. Le destinataire doit être vérifié avant l’envoi.

Le contenu d’un SMS ou d’une notification doit rester discret. Afficher le nom d’un acte sur un écran verrouillé peut révéler une information à un tiers. Une formulation neutre suffit pour rappeler un rendez-vous ou signaler qu’un document est disponible.

Les professionnels doivent disposer d’une règle claire sur les messageries. Lorsqu’un patient envoie spontanément une photographie sur un canal non prévu, l’équipe doit savoir comment la traiter, la transférer et répondre sans entretenir une pratique non sécurisée.

Encadrer les fournisseurs et l’IA

Un fournisseur peut héberger le dossier, transmettre des emails, générer un document ou analyser une image. Le cabinet doit comprendre son rôle, ses engagements, ses sous-traitants, les régions de traitement et les modalités de restitution ou de suppression des données.

Pour une fonction d’IA, plusieurs questions sont essentielles : les entrées sont-elles conservées ? Servent-elles à entraîner le modèle ? Peut-on désactiver cette réutilisation ? Quels utilisateurs déclenchent l’analyse ? Le résultat est-il automatiquement enregistré ?

Le contrat ne remplace pas la configuration. Un service peut offrir des options de protection qui restent inactives si le cabinet ne les paramètre pas. La revue doit associer aspects juridiques, techniques et pratiques.

Définir des durées de conservation

Conserver indéfiniment semble parfois plus simple, mais contredit le principe d’une durée liée à la finalité et aux obligations applicables. Le cabinet doit définir des règles selon les catégories : dossier, documents, photographies, demandes de contact, journaux et sauvegardes.

La suppression doit couvrir les copies actives et suivre un processus pour les sauvegardes. Elle doit être suspendue lorsqu’une obligation ou un litige impose une conservation. Ces règles méritent d’être documentées et appliquées automatiquement lorsque cela est possible.

Le patient doit recevoir une information cohérente avec les pratiques réelles. Une politique affichant une durée théorique non appliquée n’apporte aucune protection.

Préparer la réponse à un incident

Même avec de bonnes mesures, un incident reste possible : mauvais destinataire, compte compromis, appareil perdu ou lien trop largement partagé. L’équipe doit savoir qui prévenir, comment limiter l’accès, conserver les éléments utiles et évaluer les obligations de notification.

Un exercice simple peut tester la réaction. Qui peut révoquer un lien ? Comment déconnecter un compte ? Où se trouve la liste des prestataires ? Qui contacte la personne concernée ? Une réponse préparée limite l’improvisation.

Les incidents et presque-incidents doivent conduire à une amélioration : modification d’un droit, formation, changement de canal ou ajout d’un contrôle avant envoi.

Une checklist quotidienne

• Utiliser un compte individuel et verrouiller sa session.
• Vérifier l’identité du dossier avant une capture ou un envoi.
• Ne pas conserver d’images cliniques dans une galerie personnelle.
• Contrôler le destinataire et le niveau de sensibilité du document.
• Employer les liens temporaires et espaces prévus par le cabinet.
• Ne transmettre à une IA que les données nécessaires.
• Signaler immédiatement toute erreur d’envoi ou accès suspect.

La confiance se construit dans les détails

La protection des données ne doit pas empêcher une consultation fluide. Une plateforme cohérente peut au contraire réduire les copies, automatiser les droits, organiser les liens temporaires et rapprocher les documents du bon dossier. La simplicité devient un facteur de sécurité lorsqu’elle évite les contournements.

La confiance vient de l’alignement entre ce qui est annoncé et ce qui est pratiqué. Le patient comprend les usages, l’équipe connaît les règles et le cabinet peut expliquer ses choix. Chaque photographie et chaque document restent ainsi au service du parcours pour lequel ils ont été recueillis.

Sources de référence

• CNIL — Traitement de données de santé : informer les personnes
• CNIL — Sécurité et confidentialité du dossier patient informatisé
• CNIL — Licéité et consentement pour les traitements d’IA

Ce contenu présente des repères généraux. Chaque cabinet doit analyser ses obligations et ses risques avec les compétences appropriées.