RGPD et prise de rendez-vous : ce que dit vraiment la loi

Un outil de prise de RDV collecte au minimum : nom, prénom, adresse email — données personnelles directement identifiantes au sens du RGPD (Art. 4). Très souvent aussi : numéro de téléphone, motif du rendez-vous, réponses à des questions de qualification (budget, type de besoin, source). Pour les pros tech : adresse IP, localisation approximative, cookies de session.

Pour certaines professions, ces données prennent une nature sensible : pour un médecin ou thérapeute, le simple fait qu'un patient ait pris RDV peut révéler une condition médicale. Pour un avocat, le motif de RDV peut révéler une situation juridique sensible. Pour un coach business, les réponses au formulaire peuvent contenir des données stratégiques sur l'entreprise du client. Toutes ces données sont protégées par le RGPD, et certaines (santé, opinions politiques, orientation sexuelle, religion) font partie des "catégories particulières" qui exigent un niveau de protection encore renforcé (Art. 9).

C'est LA question cruciale. Le RGPD interdit le transfert de données personnelles vers des pays "non adéquats" en termes de protection des données — incluant les États-Unis depuis l'invalidation du Privacy Shield en 2020 (arrêt Schrems II de la CJUE).

Si votre outil de prise de RDV héberge vos données aux USA (comme Calendly, Acuity, Cal.com Cloud, TidyCal, Zcal), vous êtes en infraction par défaut. Les Standard Contractual Clauses (SCC) que ces outils proposent depuis 2021 sont une rustine contractuelle, mais elles ne résolvent pas le problème structurel : les autorités américaines peuvent toujours accéder à ces données via le Cloud Act, indépendamment des SCC.

La solution simple et juridiquement nette : choisir un outil hébergé exclusivement en France (ou en UE, par une entreprise européenne). C'est le cas de Renkar (hébergement Scaleway France), Crénolib, et quelques autres acteurs français/européens.

Beaucoup d'utilisateurs croient à tort que "si l'entreprise américaine héberge en Europe, c'est OK pour le RGPD". Faux. Le Cloud Act (Clarifying Lawful Overseas Use of Data Act, voté en 2018) permet aux autorités américaines d'exiger l'accès aux données stockées par toute entreprise américaine, même si les serveurs physiques sont à Paris ou à Francfort. La nationalité de l'entreprise prime sur la localisation des serveurs.

Concrètement : si vous utilisez Calendly avec leur option "hébergement EU", vos données restent juridiquement accessibles par les autorités US sans votre consentement, sans notification, et sans recours possible côté français. C'est pourquoi la CNIL et le CEPD (Comité Européen de la Protection des Données) considèrent que le simple changement de localisation des serveurs ne résout pas le problème — il faut changer de fournisseur.

Pour les professions sensibles (santé, juridique, services aux entreprises grands comptes), c'est rédhibitoire. Pour les autres, c'est un risque juridique latent qui peut se matérialiser en cas de contrôle CNIL ou de plainte d'un client.

Quand vous utilisez un outil de prise de RDV, vous êtes le "responsable du traitement" au sens du RGPD (Art. 4). C'est vous qui décidez quelles données collecter, à quelles fins, et qui choisissez l'outil. L'outil lui-même est votre "sous-traitant" (Art. 28). Conséquences :

1. Information transparente : vous devez avoir une politique de confidentialité claire (généralement liée à votre site web) qui mentionne quelles données sont collectées, par qui, pourquoi, combien de temps, et comment le client peut exercer ses droits.

2. Base légale : la collecte doit avoir une base légale (consentement explicite, exécution d'un contrat, intérêt légitime). Pour un RDV professionnel, l'exécution du contrat ou l'intérêt légitime suffisent généralement.

3. Droits des personnes : vos clients peuvent demander accès, rectification, suppression de leurs données. Vous devez pouvoir répondre dans 1 mois maximum.

4. Choix d'un sous-traitant conforme : c'est VOTRE responsabilité de choisir un outil RGPD-compliant. Si l'outil est non-conforme, c'est VOUS qui êtes sanctionné, pas l'outil. D'où l'importance du DPA (Data Processing Agreement) signé avec votre fournisseur.

5. Notification des violations : en cas de fuite de données, notification CNIL sous 72h (Art. 33).

Les sanctions du RGPD sont graduées selon la gravité de l'infraction et le chiffre d'affaires de l'entreprise. Sanction maximale : jusqu'à 4% du CA annuel mondial OU 20 millions d'euros (le plus élevé des deux), pour les violations graves (non-respect des principes fondamentaux, transferts illégaux hors UE, non-respect des droits des personnes).

Sanctions observées en pratique : pour les TPE/PME, les sanctions sont généralement entre 1 000€ et 50 000€, accompagnées d'une mise en demeure de se mettre en conformité. Mais pour les grandes entreprises ou les violations massives, les chiffres explosent : Google a été sanctionné de 50 millions d'euros en 2019 par la CNIL française.

Pour un pro français qui utilise un outil non-conforme : peu probable d'être sanctionné spontanément (la CNIL n'audite pas chaque indépendant), mais en cas de plainte d'un client mécontent ou de contrôle ciblé sur votre profession, l'exposition existe. Pour les pros traitant des données sensibles (santé, juridique), c'est un risque opérationnel réel à ne pas sous-estimer.

Au-delà des amendes : risque réputationnel majeur (publicité négative), perte de clients sensibles à la conformité, blocage de contrats grands comptes ou secteur public qui exigent un fournisseur RGPD.

Pour vous assurer qu'un outil de prise de RDV est vraiment conforme au RGPD français, vérifiez ces 6 critères :

1. Hébergement : exigez une preuve écrite que les données sont hébergées exclusivement en France ou en UE par un hébergeur européen. Les mentions "hébergement multi-régions" ou "serveurs UE disponibles" ne suffisent pas — il faut du hard-coded.

2. Nationalité de l'éditeur : entreprise française ou européenne (pas une filiale d'une société américaine). Cela exclut le Cloud Act.

3. Chiffrement : données chiffrées au repos (AES-256 minimum) et en transit (TLS 1.3). Standard.

4. DPA disponible : Data Processing Agreement (Accord de Sous-Traitance) signé entre vous et le fournisseur, conforme à l'Art. 28 RGPD. Doit être disponible à la demande, idéalement public.

5. Sous-traitants : la liste des sous-traitants utilisés (par exemple : Stripe pour les paiements, Brevo pour les emails) doit être transparente et tous doivent être RGPD-compliant.

6. Politique de rétention : vos données doivent pouvoir être supprimées sur demande, et l'outil doit appliquer une politique de purge automatique (typiquement 3 ans après la dernière activité).

Renkar coche les 6 cases, par design. Calendly/Acuity/Cal.com cloud cochent au mieux 3 sur 6 (chiffrement, sous-traitants, rétention) mais pas les 3 critiques (hébergement, nationalité, DPA conforme).