Un cabinet dentaire peut-il échanger avec ses patients sur WhatsApp ?

Que disent les autorités belges de WhatsApp ?

Rien qui nomme WhatsApp. L’Autorité de protection des données n’a pas d’avis sur les messageries dans les soins, la plateforme eHealth et l’INAMI non plus, et les associations de dentistes ne publient rien à ce sujet. La Belgique n’a pas non plus d’Ordre des dentistes : la VVT écrit elle-même que la dentisterie n’a aucun organe disciplinaire.

Le code de déontologie publié par la VVT ne parle pas de messageries, mais il dit deux choses utiles ici. Une copie du dossier part vers le patient par voie électronique sécurisée, pas par e-mail ordinaire. Et le secret professionnel vaut aussi pour le personnel administratif qui traite des données de patients, donc pour quiconque lit le WhatsApp du cabinet.

Les textes belges les plus proches viennent de l’Ordre des médecins, qui lient les médecins et pas les dentistes. Dans ses avis, l’Ordre limite les échanges électroniques avec le patient aux informations administratives et interdit d’envoyer des données médicales par e-mail non sécurisé, même avec l’accord du patient. C’est un bon repère, pas une règle pour votre cabinet.

Ordre des médecins, Lignes directrices pour les médecins concernant le RGPD, avis du 27 avril 2019

Un message de rendez-vous est-il une donnée de santé ?

Il peut l’être, et le plus sûr est de le traiter comme tel. La Cour de justice de l’Union européenne a jugé en 2024 que des données sont des données de santé dès qu’elles permettent de déduire quelque chose sur la santé d’une personne, en les recoupant ou en raisonnant. Savoir que quelqu’un a rendez-vous chez le dentiste jeudi à 14h30 en dit déjà un peu.

Cela n’interdit pas WhatsApp. Un dentiste peut traiter des données de santé pour dispenser des soins, sur la base de l’article 9, paragraphe 2, h, du RGPD, parce qu’il est tenu au secret professionnel. Le consentement du patient n’est donc pas la seule voie. Mais la sécurité, l’accès et le contenu de ces messages comptent.

Cour de justice, affaire C-21/23 Lindenapotheke, 4 octobre 2024, point 83

Quel WhatsApp : l’application normale, WhatsApp Business ou la plateforme ?

Il en existe trois, et elles ne promettent pas la même chose. L’application normale et WhatsApp Business chiffrent les conversations de bout en bout, mais pour WhatsApp Business, Meta ne signe un accord de sous-traitance que pour les coordonnées, pas pour les messages. Meta précise aussi qu’il ne garantit pas que l’application convienne aux secteurs réglementés comme la santé.

La WhatsApp Business Platform, l’API Cloud, fonctionne à l’inverse. Meta Platforms Ireland y traite les messages en sous-traitant du cabinet, les garde au maximum 30 jours et peut les stocker dans l’Union européenne. En contrepartie, ces conversations ne sont pas chiffrées de bout en bout jusqu’au cabinet : l’API Cloud déchiffre le message sur les serveurs de Meta, et WhatsApp l’indique au patient dans la conversation.

Meta, WhatsApp Cloud API : Data Privacy and Security (en anglais)

Qu’exige Meta d’un cabinet qui utilise WhatsApp ?

La politique professionnelle de WhatsApp pose quelques règles qui comptent tout de suite pour un cabinet dentaire :

• Vous n’écrivez qu’à une personne qui vous a donné son numéro et qui a accepté vos messages. Cet accord peut être recueilli sur papier ou au comptoir.
• Qui ne veut plus de messages n’en reçoit plus, même s’il le demande en dehors de WhatsApp.
• Sur la plateforme, le cabinet n’ouvre une conversation qu’avec un modèle approuvé à l’avance. Dans les 24 heures qui suivent le dernier message du patient, vous répondez librement.
• Une conversation automatisée doit offrir un accès rapide et clair à une personne.
• Vous ne demandez pas de numéro de carte d’identité ni d’autre identifiant sensible. Le NISS n’a donc pas sa place dans une conversation WhatsApp.
• Pas d’information de santé là où les règles locales exigent des systèmes renforcés. Un message de rendez-vous n’est pas interdit par la politique.

WhatsApp Business Messaging Policy, mise à jour du 23 septembre 2026 (en anglais)

Que mettre, et ne pas mettre, dans un message WhatsApp ?

Tenez-vous-en à la logistique : le nom du cabinet, le jour, l’heure et une façon de répondre ou de déplacer. Le traitement, un diagnostic ou une plainte n’y ont pas leur place. Des exemples écrits de cette façon se trouvent parmi les exemples de SMS de rappel de rendez-vous.

Si un patient envoie malgré tout quelque chose de clinique, comme la photo d’une joue gonflée ou la description d’une douleur, ce qui est pertinent va dans le dossier patient. La loi qualité demande que le dossier reflète les échanges avec le patient et que vous le conserviez 30 à 50 ans. Une conversation WhatsApp n’est pas ce dossier, et mieux vaut qu’elle ne le devienne pas.

Un patient qui a mal mérite une personne, pas un message. Dites dans vos réponses automatiques vers qui il peut se tourner.

Loi du 22 avril 2019 relative à la qualité de la pratique des soins de santé, articles 33 et 35

Que doit consigner le cabinet ?

Quatre choses, et la plupart existent déjà pour l’agenda et le logiciel :

• WhatsApp comme traitement dans le registre des activités de traitement. Un cabinet tient ce registre quelle que soit sa taille, parce qu’il traite des données de santé.
• La liste des personnes qui ont accès aux données de santé, avec leur obligation de confidentialité. La loi belge du 30 juillet 2018 exige cette liste, et quiconque lit le WhatsApp du cabinet y figure.
• Un accord de sous-traitance avec chaque prestataire qui traite les messages pour vous.
• Une réflexion sur l’analyse d’impact. Pour un cabinet qui écrit à ses propres patients, elle ne figure pas sur la liste obligatoire de l’APD, et le RGPD ne considère pas les données des patients d’un seul professionnel de santé comme un traitement à grande échelle.

Loi du 30 juillet 2018 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, article 9

Comment la France et les Pays-Bas voient-ils la question ?

Différemment, et ni l’un ni l’autre n’est du droit belge. En France, la CNIL retient l’intérêt légitime comme base légale pour la prise de rendez-vous dans un cabinet de santé, et demande que les messageries instantanées soient utilisées avec la plus grande précaution et de manière sécurisée.

Aux Pays-Bas, la KNMT, l’association des dentistes, cite un SMS ou un petit message WhatsApp comme rappel de rendez-vous ordinaire, tandis que le service d’aide RGPD du ministère de la Santé déconseille WhatsApp pour les informations de patients.

CNIL, référentiel relatif aux traitements de données personnelles des cabinets médicaux et paramédicaux, 2020

Comment Tilcao utilise-t-il WhatsApp ?

Tilcao fonctionne sur la WhatsApp Business Platform de Meta, sur le numéro du cabinet. Le cabinet est responsable du traitement, Tilcao est son sous-traitant, et Meta figure nommément comme sous-traitant ultérieur dans l’annexe de l’accord de sous-traitance. En dehors de la fenêtre de 24 heures, Tilcao utilise des modèles approuvés, et un patient qui demande une personne en obtient une.

Soyons clairs : sur la plateforme, les messages ne sont pas chiffrés de bout en bout jusqu’au cabinet, et WhatsApp l’indique au patient. Tilcao ne demande jamais non plus de numéro de carte d’identité : il reconnaît un patient à sa date de naissance et à son nom ou son numéro de téléphone. Le détail du traitement est sur la page sécurité et RGPD.