Le réflexe WhatsApp : compréhensible, et très répandu
Dans le médico-social comme dans le paramédical, une grande partie des échanges avec les familles passe aujourd'hui par WhatsApp ou SMS. Confirmer un rendez-vous, donner des nouvelles après une séance, envoyer une photo d'une activité, transmettre un point d'étape : c'est rapide, gratuit, et les familles y sont déjà.
Ce réflexe est parfaitement compréhensible. Il pose pourtant de vraies questions juridiques dès que les échanges dépassent la simple logistique. Et dans l'accompagnement, ils la dépassent presque toujours.
Ce que vous échangez avec les familles n'est pas anodin
Un message qui décrit le comportement d'un enfant en séance, ses progrès, ses difficultés, son traitement, son orientation scolaire ou sa situation familiale ne contient pas des données ordinaires.
Au sens du RGPD, les informations relatives à la santé, au handicap ou à la situation sociale d'une personne relèvent des catégories particulières de données (article 9). Leur traitement est par principe encadré beaucoup plus strictement : base légale adaptée, mesures de sécurité renforcées, et pour les données de santé hébergées numériquement en France, l'exigence d'un hébergeur certifié HDS (article L.1111-8 du Code de la santé publique).
Autrement dit : le compte rendu que vous envoyez à une famille n'est pas un message comme un autre. C'est un traitement de données sensibles, dont vous êtes responsable.
WhatsApp est chiffré, alors où est le problème ?
C'est l'objection classique, et elle mérite une réponse honnête : oui, WhatsApp chiffre les conversations de bout en bout. Le transport du message est protégé. Le problème n'est pas là. Il est partout ailleurs :
- Les sauvegardes automatiques (Google Drive, iCloud) ne sont pas couvertes par ce chiffrement selon la configuration du téléphone, le vôtre comme celui de la famille
- Les messages restent stockés sans limite de durée sur des appareils personnels que vous ne maîtrisez pas
- Vous utilisez le plus souvent un compte personnel, qui mélange vie privée et exercice professionnel
- Aucun contrat de sous-traitance adapté ne vous lie à Meta pour cet usage professionnel de données sensibles
- Impossible d'exercer correctement les droits RGPD : comment garantir l'effacement d'une donnée dupliquée sur deux téléphones et deux sauvegardes cloud ?
- Aucune traçabilité professionnelle : les échanges ne constituent pas un dossier structuré et exploitable
Le SMS pose des problèmes équivalents, sans même le chiffrement. L'email dépend entièrement du fournisseur et de sa configuration, et reste rarement adapté aux données de santé.
Le secret professionnel et le devoir de discrétion
Au-delà du RGPD, la plupart des professionnels du secteur sont soumis au secret professionnel ou à une obligation de discrétion, selon leur statut et leurs missions. Le partage d'informations à caractère secret est strictement encadré : il doit être limité à ce qui est nécessaire, entre personnes habilitées, dans l'intérêt de la personne accompagnée.
Un groupe WhatsApp où se croisent parents, beaux-parents et parfois d'autres intervenants ne permet aucun contrôle de ce périmètre. Qui lit réellement les messages ? Qui les transfère ? Vous n'en savez rien, et vous en restez pourtant responsable.
Les risques concrets pour vous
Au quotidien, rien ne se passe, jusqu'au jour où quelque chose se passe :
- Un téléphone perdu ou volé, sans code, avec des années d'échanges sur des enfants suivis
- Un message transféré hors de son contexte dans un conflit parental ou une procédure
- Une famille qui exerce son droit d'accès et demande l'ensemble des données que vous détenez sur son enfant
- Un contrôle ou un litige où votre documentation se résume à des fils de discussion privés
Dans chacun de ces cas, l'utilisation d'une messagerie grand public pour des données sensibles fragilise le professionnel, y compris quand il a fait son travail d'accompagnement de façon irréprochable.
À quoi ressemble une communication conforme
Pas besoin d'être juriste pour retenir les critères qui comptent. Un canal adapté aux échanges avec les familles, c'est :
- Un espace dédié à l'exercice professionnel, séparé de votre vie privée
- Un hébergement adapté à la sensibilité des données, certifié HDS pour les données de santé, idéalement en France
- Des accès authentifiés : chaque personne voit ce qui la concerne, rien d'autre
- Une traçabilité : ce qui a été partagé, quand, à qui
- La possibilité d'exercer les droits RGPD : accès, rectification, suppression
Les bonnes pratiques immédiates, sans changer d'outil
Si vous utilisez WhatsApp ou les SMS aujourd'hui, quelques réflexes réduisent déjà l'exposition :
- Réservez ces canaux à la pure logistique : horaires, absences, confirmations de rendez-vous
- Ne transmettez jamais un compte rendu, un bilan ou une observation détaillée par messagerie
- Pas de photos des personnes accompagnées
- Verrouillez votre téléphone et désactivez les aperçus de messages sur l'écran
- Si possible, utilisez une ligne ou un appareil professionnel distinct
Le portail sécurisé : la réponse structurelle
Ces bonnes pratiques limitent les risques, mais elles ne règlent pas le fond : les familles ont besoin d'une information réelle et continue sur l'accompagnement. C'est même un droit que leur reconnaît la loi 2002-2. Le supprimer des messageries sans le remplacer par autre chose serait un recul.
C'est exactement le rôle d'un portail famille sécurisé comme celui d'Edunotia : le professionnel rédige son compte rendu (dicté en note vocale, structuré automatiquement, validé avant toute publication), et la famille y accède dans un espace authentifié, hébergé en France sur une infrastructure certifiée HDS.
Le résultat, c'est une communication qui coche toutes les cases à la fois : les familles sont mieux informées qu'avec des messages éparpillés, le professionnel dispose d'une documentation structurée et traçable, et les données sensibles sont là où elles doivent être.
Essai gratuit 14 jours, sans carte bancaire requise.