Ce que dit vraiment le RGPD
Le principe de limitation de la conservation (article 5.1.e) impose que les données soient conservées « pendant une durée n'excédant pas celle nécessaire au regard des finalités » du traitement. Aucun chiffre. C'est à vous de déterminer la durée, de l'écrire, et de la justifier si on vous la demande.
Beaucoup d'articles trouvés en ligne citent des durées de 3 ou 5 ans en s'appuyant sur le Code de commerce français ou sur des recommandations de la CNIL. Ces textes ne s'appliquent pas à un indépendant belge. Méfiez-vous des modèles recopiés d'un site français.
Trois horloges qui tournent en même temps
1. Vos pièces comptables : 10 ans
Factures, livres et justificatifs se conservent 10 ans depuis la loi du 20 novembre 2022, applicable à partir de l'exercice d'imposition 2023. C'est une obligation fiscale, indépendante du RGPD, et elle constitue une base légale de conservation parfaitement valable.
2. Le dossier patient : 30 à 50 ans, mais pas pour vous
L'article 35 de la loi du 22 avril 2019 relative à la qualité de la pratique des soins de santé impose de conserver le dossier patient au minimum 30 ans et au maximum 50 ans après le dernier contact.
Ce délai vise les professionnels des soins de santé au sens de la loi. Un naturopathe, un réflexologue ou un sophrologue non reconnu comme tel n'y est pas soumis — ce qui est logique, puisque sa profession n'est pas réglementée (voir notre guide sur le statut). Appliquer 30 ans « par précaution » n'est pas neutre : conserver trop longtemps est aussi un manquement au RGPD.
3. Les notes de séance : la durée que vous fixez
C'est ici que vous décidez. Deux repères utiles pour justifier votre choix : la durée pendant laquelle un client peut raisonnablement revenir vous voir et attendre que vous retrouviez son historique, et le délai pendant lequel votre responsabilité pourrait être mise en cause.
Une démarche en quatre points
- Fixez une durée par type de donnée. Par exemple : notes de séance, X ans après le dernier rendez-vous ; factures, 10 ans ; prospects qui n'ont jamais consulté, quelques mois.
- Écrivez-la. Dans votre registre des activités de traitement et dans la politique de confidentialité que vous remettez à vos clients. Une durée non écrite est indéfendable.
- Tenez-la. Une durée annoncée et jamais appliquée est pire que pas de durée du tout : elle documente votre manquement.
- Sachez extraire et effacer. Un client peut demander l'accès à ses données, leur rectification, et leur effacement quand aucune obligation légale ne s'y oppose.
Côté outil
Theradoo conserve l'historique complet dans la fiche du client et permet d'extraire ses données à la demande. Les données sensibles sont chiffrées et hébergées chez OVH en France, dans des centres certifiés ISO 27001, avec des sauvegardes quotidiennes.
Mais aucun logiciel ne décide de la durée à votre place : c'est vous le responsable de traitement.