Cookies et RGPD pour un site médical : le guide 2026

Beaucoup de professionnels de santé pensent que leur petit site vitrine échappe au RGPD. C'est l'inverse. Le secteur médical est l'un des plus surveillés, parce qu'il manipule la catégorie de données la plus protégée du RGPD : les données de santé. Un médecin, un cabinet ou un centre de santé qui met en ligne un site, même modeste, se retrouve responsable d'un traitement soumis à des règles renforcées.

La bonne nouvelle, c'est que la plupart des obligations se ramènent à quelques réflexes concrets. Encore faut-il distinguer ce qui relève du simple site vitrine et ce qui relève d'un véritable outil de prise de rendez-vous, car les deux ne portent pas les mêmes risques.

Ce guide fait le tri. Il explique pourquoi les données de santé sont des données sensibles au sens de l'article 9 du RGPD, quand l'hébergement agréé HDS devient obligatoire, comment le secret médical s'articule avec le RGPD, quels traceurs équipent typiquement un site médical, et comment mettre votre site en conformité sur les cookies, la politique de confidentialité et le registre.

Vérifiez ce que votre site dépose vraiment avec notre scanner de cookies →

Un site médical est-il concerné par le RGPD ?

Oui, dès qu'il traite la moindre donnée personnelle. Un site médical entre dans le champ du RGPD à partir du moment où il collecte un nom, un e-mail, un motif de consultation ou une simple adresse IP via un traceur. Le professionnel de santé devient alors responsable du traitement, et cette responsabilité ne se délègue pas au prestataire qui a fabriqué le site.

Le professionnel de santé, responsable de traitement

Que vous soyez médecin libéral, gérant d'un cabinet de groupe ou dirigeant d'un centre de santé, vous êtes le responsable de traitement des données collectées via votre site. Vous décidez des finalités (informer les patients, permettre une prise de rendez-vous, recevoir des messages) et vous répondez de la conformité de l'ensemble, y compris des outils tiers que vous intégrez.

Deux cadres qui se superposent

Un site médical obéit à deux logiques distinctes. La première, le RGPD et la directive ePrivacy, encadre les cookies et l'usage des données personnelles. En France, le dépôt de traceurs non essentiels relève de l'article 82 de la loi Informatique et Libertés et exige un consentement préalable. La seconde, propre à la santé, ajoute le régime des données sensibles et le secret médical. Les deux s'appliquent en même temps, sans que l'un dispense de l'autre.

La spécificité du secteur

Le secteur médical se distingue par la nature de ce qu'il touche. Même une information anodine en apparence, le fait qu'une personne consulte tel spécialiste, peut révéler un état de santé. Cette sensibilité colore l'ensemble des obligations et explique la vigilance particulière de la CNIL sur les sites de santé.

Testez gratuitement la conformité de votre site → Scanner de cookies

L'essentiel à retenir

Lancez le scan gratuit de votre site → Scanner de cookies

Les traceurs typiques d'un site médical

Un site médical embarque le plus souvent quatre familles de traceurs : un widget de prise de rendez-vous (type Doctolib), une carte Google Maps, un outil de mesure d'audience et un formulaire de contact. Chacun a un statut différent au regard du consentement, et c'est cette diversité qui rend l'analyse nécessaire.

• Le widget de prise de rendez-vous : intégré depuis une plateforme comme Doctolib, il dépose ses propres cookies et transmet des informations à un tiers. Il touche potentiellement à des données de santé, ce qui en fait le point le plus sensible du site.
• La carte Google Maps : très courante pour indiquer l'adresse du cabinet. Chargée par défaut, elle dépose des cookies tiers Google avant tout consentement, ce qui constitue un manquement fréquent.
• La mesure d'audience : Google Analytics ou un équivalent, pour suivre la fréquentation. C'est un traceur non essentiel qui exige un consentement préalable, sauf configuration en mode exempté strictement encadré par la CNIL.
• Le formulaire de contact : il ne dépose pas toujours de cookie, mais il collecte des données personnelles, parfois un motif de consultation. Son traitement doit reposer sur une base légale claire et une information du patient.
• Les polices et scripts externes : polices Google Fonts chargées à distance, boutons de réseaux sociaux, lecteurs vidéo. Ils transmettent l'adresse IP du visiteur à des tiers, souvent sans que le professionnel en ait conscience.

La règle est simple à formuler : tout ce qui n'est pas strictement nécessaire au fonctionnement du site attend le consentement du visiteur avant de se charger.

Voyez la liste réelle de vos traceurs → Scanner de cookies

Exemple concret : le site d'un cabinet d'ophtalmologie

Prenons un cabinet d'ophtalmologie qui met en ligne un site WordPress classique. La page d'accueil présente l'équipe, une page décrit les actes proposés, une carte Google Maps localise le cabinet, un bouton renvoie vers Doctolib pour prendre rendez-vous, et Google Analytics mesure la fréquentation.

Au chargement de la page, avant tout clic, un scan révèle plusieurs traceurs déjà déposés : les cookies Google Maps, les cookies de mesure d'audience et les scripts liés au widget de rendez-vous. Le bandeau cookie, lui, s'affiche mais ne bloque rien en amont. Le cabinet se croit en règle parce qu'un bandeau existe, alors que les traceurs partent quand même.

Le problème se double d'une question propre à la santé. Le motif de consultation saisi lors de la prise de rendez-vous constitue une donnée de santé. Sa gestion relève de la plateforme choisie, qui doit elle-même présenter les garanties attendues, notamment un hébergement certifié HDS pour ces données.

La correction tient en quelques actions. Bloquer Google Maps, Analytics et le widget tant que le consentement n'est pas donné, à l'aide d'une CMP correctement configurée. Charger la carte seulement après acceptation, ou la remplacer par une image cliquable. Vérifier que la plateforme de rendez-vous héberge bien les données de santé chez un hébergeur agréé HDS. Publier une politique de confidentialité qui décrit ces traitements. Le même site aborde alors un contrôle bien plus sereinement.

Voyez ce qui se dépose sur votre site avant consentement → Scanner de cookies

Les enjeux RGPD propres au secteur de la santé

Les données de santé sont des données sensibles

Le RGPD range les données de santé parmi les données sensibles de son article 9. Le principe posé par ce texte est clair : le traitement de ces données est interdit, sauf dans des cas précis (le consentement explicite de la personne, la prise en charge médicale par un professionnel soumis au secret, certaines obligations légales). Autrement dit, une donnée de santé ne se traite jamais par défaut. Elle suppose une base juridique solide et documentée.

Concrètement, un motif de consultation, un antécédent, un rendez-vous rattaché à une spécialité révélatrice sont des données de santé. Leur présence sur un site ou dans un outil connecté au site déclenche le régime renforcé de l'article 9.

L'hébergement HDS pour les données de santé

Dès que des données de santé sont hébergées pour le compte d'un professionnel ou d'un établissement, la loi impose de recourir à un hébergeur certifié HDS (Hébergeur de Données de Santé). Cette certification atteste d'un niveau de sécurité et de traçabilité adapté à la sensibilité des données. Un site vitrine qui n'héberge aucune donnée de santé n'est pas concerné par cette obligation. En revanche, un outil qui stocke des rendez-vous avec motif, un espace patient ou une messagerie médicale l'est pleinement. Quand vous passez par une plateforme tierce, vérifiez qu'elle assure cet hébergement HDS pour les données concernées.

Le secret médical, en plus du RGPD

Le secret médical est une obligation ancienne, distincte du RGPD, et il ne disparaît pas avec lui. Les deux cadres se cumulent. Le RGPD encadre la manière dont les données personnelles sont traitées, le secret médical protège spécifiquement les informations couvertes par la relation de soin. Une pratique conforme au RGPD ne dispense donc jamais du respect du secret, et inversement. Sur un site, cela se traduit par une prudence particulière sur tout ce qui pourrait relier une personne identifiable à un soin (formulaires, avis de patients, témoignages).

Le consentement, renforcé pour les données sensibles

Pour les cookies non essentiels, le consentement doit déjà être libre, éclairé et univoque. Pour les données de santé, l'exigence monte d'un cran : le RGPD parle de consentement explicite. Cette notion de consentement éclairé suppose une information compréhensible sur ce qui est collecté et pourquoi, sans zone d'ombre. Un patient doit savoir exactement à quoi il consent.

Vérifiez votre exposition en un scan → Scanner de cookies

Comment mettre votre site médical en conformité, étape par étape

La mise en conformité d'un site médical suit une progression logique : cartographier les traceurs, bloquer ce qui n'est pas essentiel, installer un bandeau conforme, sécuriser la prise de rendez-vous, rédiger la politique de confidentialité et tenir un registre.

Étape 1 : cartographier vos traceurs

Lancez un scan de votre site pour lister tous les cookies et scripts déposés, leur origine et leur moment de dépôt. Vous saurez précisément ce que Google Maps, Analytics ou le widget de rendez-vous chargent, et à quel instant.

Étape 2 : bloquer les traceurs non essentiels avant consentement

Aucun traceur non essentiel ne doit se déposer avant le clic du visiteur. C'est le point le plus contrôlé. Une CMP (plateforme de gestion du consentement) bien réglée conditionne le chargement de Maps, Analytics et du widget à l'acceptation. Vous pouvez démarrer avec une CMP gratuite conforme.

Étape 3 : installer un bandeau cookie conforme

Le bandeau doit permettre d'accepter, de refuser et de paramétrer par finalité, refuser étant aussi simple qu'accepter. Sur WordPress, le CMS le plus répandu dans le secteur, l'installation se fait en quelques minutes. Notre guide dédié détaille la marche à suivre : bandeau cookie sur WordPress.

Étape 4 : sécuriser la prise de rendez-vous

Si votre site collecte ou transmet des données de santé (motif, espace patient), assurez-vous que l'outil utilisé les héberge chez un hébergeur certifié HDS et repose sur une base légale valable. Un simple bouton renvoyant vers une plateforme externe déplace une partie de la responsabilité, mais votre choix de prestataire reste le vôtre.

Étape 5 : rédiger la politique de confidentialité

Décrivez chaque traitement : les données collectées, leurs finalités, leur base légale, leur durée de conservation, les destinataires et les droits du patient. Sur un site de santé, mentionnez explicitement le sort des données de rendez-vous et l'hébergement HDS quand il s'applique.

Étape 6 : tenir votre registre des traitements

Le registre recense l'ensemble de vos traitements (site, rendez-vous, dossiers patients, comptabilité). Il est obligatoire pour la plupart des activités de santé, car elles portent sur des données sensibles à grande échelle. Notre article sur le registre des traitements vous guide.

Sautez les étapes manuelles, lancez le scan automatique → Scanner de cookies

Site vitrine ou outil de rendez-vous : le comparatif des obligations

Toutes les obligations ne pèsent pas de la même façon selon ce que fait réellement votre site. Un site strictement vitrine et un site doté d'un outil de prise de rendez-vous manipulant des données de santé se situent à deux niveaux de risque distincts. Le tableau ci-dessous fait le point.

Ce tableau reste une base de repérage. Chaque situation mérite une vérification au cas par cas, en fonction des outils réellement branchés à votre site.

Vérifiez quel profil correspond à votre site → Scanner de cookies

Les erreurs courantes des sites médicaux

Certaines erreurs reviennent presque systématiquement sur les sites de professionnels de santé. Les repérer permet de corriger vite.

• Croire qu'un site vitrine est hors RGPD : dès qu'un traceur se dépose ou qu'un formulaire collecte un e-mail, le RGPD s'applique.
• Charger Google Maps et Analytics avant consentement : la carte et la mesure d'audience partent au chargement, sans attendre le clic du visiteur. C'est le manquement le plus fréquent.
• Publier des témoignages de patients identifiables : un avis nominatif reliant une personne à un soin peut révéler une donnée de santé et heurter le secret médical.
• Ignorer l'hébergement HDS : confier des données de santé à un outil ou un prestataire qui n'est pas certifié HDS, faute d'avoir posé la question.
• Se reposer entièrement sur la plateforme de rendez-vous : la plateforme porte sa part de responsabilité, mais le choix du prestataire et l'information du patient restent de votre ressort.
• Confondre bandeau et conformité : afficher un bandeau qui ne bloque rien en amont donne une apparence de conformité sans la réalité.

Détectez ces erreurs sur votre site en un scan → Scanner de cookies

Questions fréquentes

Un site vitrine de médecin est-il vraiment soumis au RGPD ? Oui. Dès qu'un cookie non essentiel se dépose (carte, mesure d'audience) ou qu'un formulaire collecte un e-mail, le RGPD s'applique. Seul un site strictement statique, sans aucun traceur ni collecte, y échapperait, ce qui est rare en pratique. Le professionnel de santé reste responsable du traitement.

Pourquoi les données de santé sont-elles considérées comme sensibles ? Parce que l'article 9 du RGPD les classe parmi les catégories particulières de données, dont le traitement est interdit par principe sauf exceptions. Un motif de consultation, un antécédent ou un rendez-vous rattaché à une spécialité révélatrice sont des données de santé. Elles supposent une base juridique solide et une protection renforcée.

Mon site doit-il être hébergé chez un hébergeur HDS ? Cela dépend de ce qu'il héberge. Un site vitrine qui ne stocke aucune donnée de santé n'a pas besoin d'un hébergeur certifié HDS. En revanche, dès qu'un outil stocke des rendez-vous avec motif, un espace patient ou une messagerie médicale, l'hébergement HDS devient obligatoire pour ces données. Vérifiez ce point auprès de votre prestataire.

Le secret médical remplace-t-il le RGPD ? Non, les deux se cumulent. Le secret médical protège les informations liées au soin, le RGPD encadre le traitement de toutes les données personnelles. Respecter l'un ne dispense jamais de respecter l'autre. Sur un site, cela impose une prudence particulière sur tout ce qui relie une personne identifiable à un soin.

Le widget Doctolib me met-il en conformité automatiquement ? Pas automatiquement. La plateforme assure sa part, notamment l'hébergement des données de santé, mais l'intégration du widget dépose des traceurs sur votre site qui doivent attendre le consentement du visiteur. Vous restez responsable du choix du prestataire, du blocage des traceurs avant consentement et de l'information de vos patients.

Comment mettre mon site médical WordPress en conformité sur les cookies ? En bloquant les traceurs non essentiels avant consentement à l'aide d'une CMP, en installant un bandeau qui permet de refuser aussi facilement que d'accepter, puis en publiant une politique de confidentialité à jour. Notre guide bandeau cookie sur WordPress détaille l'installation pas à pas, et un scan de cookies confirme le résultat.

CTA final

Pour aller plus loin, consultez notre guide général pour savoir si votre site est conforme au RGPD, et si vous gérez aussi une activité de vente en ligne, notre guide RGPD pour un site e-commerce.