Règles applicables aux sites web de cliniques esthétiques aux États-Unis : publicité, HIPAA et vie privée

‍Vérifié le 30 septembre 2026

Aux États-Unis, le site d’une clinique esthétique ou d’un med spa peut présenter des traitements, expliquer ses tarifs et permettre aux patients de demander une consultation. Mais ses obligations juridiques ne dépendent pas uniquement de son lieu d’établissement. Les professionnels concernés, les services promus, les informations collectées ainsi que les États dans lesquels l’entreprise exerce ou cible des consommateurs ont tous leur importance.

Une galerie avant/après, un widget d’avis Google et un formulaire de prise de rendez-vous soulèvent des questions différentes. L’autorisation d’un patient pour publier sa photo ne suffit pas à démontrer que l’image constitue une publicité véridique. Une politique de confidentialité n’autorise pas toute transmission de données à une plateforme publicitaire. Et le respect du droit fédéral n’écarte pas une règle professionnelle plus stricte adoptée par un État.

Ce guide présente les principales exigences fédérales et certaines dispositions étatiques applicables aux sites de cliniques esthétiques et de med spas. Il fournit des informations générales : il ne constitue ni un avis juridique ni une étude exhaustive des 50 États. Les références renvoient à des textes législatifs et réglementaires, une décision de justice et des documents officiels. Les recommandations pratiques et les lignes directrices sont distinguées des règles contraignantes.

Vérification rapide du site

Avant de publier ou de modifier le site d’une clinique américaine, vérifiez :

• Qui fournit les soins médicaux : l’entité juridique, les professionnels traitants, leurs licences, leurs titres professionnels et les modalités de supervision.
• Où la clinique exerce et fait sa publicité : les règles professionnelles et de confidentialité varient selon les États, et certaines lois peuvent s’appliquer lorsqu’une entreprise cible les consommateurs d’un État.
• Ce que promet chaque allégation : les affirmations objectives portant sur les résultats, leur durée, la sécurité ou une supériorité comparative doivent être étayées avant publication.
• Comment le statut FDA est présenté : les termes approved, cleared, authorized, registered et listed ne sont pas interchangeables.
• Si l’utilisation est hors indication : un professionnel peut, dans certaines circonstances, prescrire légalement un médicament hors indication, mais le site ne doit pas laisser entendre que cette utilisation est approuvée par la FDA.
• Comment les résultats des patients sont présentés : le consentement, l’exactitude publicitaire, la comparabilité des photographies et les informations sur les résultats attendus sont des questions distinctes.
• Si des avis peuvent être republiés : les règles de la FTC s’appliquent au niveau national, tandis que certaines règles professionnelles sont plus strictes ; à New York, la règle applicable aux médecins vise expressément les témoignages.
• Quelles données le site transmet à des prestataires : examinez les formulaires, outils de réservation, chats, pixels, solutions d’analyse et outils de relecture de session au niveau de chaque champ de données.
• Quel régime de confidentialité couvre chaque jeu de données : HIPAA, les lois étatiques sur la confidentialité médicale et les lois de protection des consommateurs n’ont pas le même champ d’application ni les mêmes exemptions.
• Si les patients peuvent utiliser le site : intégrez l’accessibilité aux formulaires, médias, menus et parcours de réservation fournis par des tiers.

Commencer par la structure de la clinique et ses professionnels

Avant d’examiner le site, identifiez l’entité juridique qui fournit les soins médicaux, les professionnels qui les réalisent et les États dans lesquels ils exercent. Une dénomination commerciale telle que « med spa » ne répond pas à ces questions.

Pour préparer le site, vérifiez :

• le nom légal et le titre professionnel de chaque praticien ;
• l’État d’émission et le statut de chaque licence pertinente ;
• le rôle réel et le champ d’exercice de chaque professionnel ;
• toute certification de spécialité revendiquée et le nom complet de l’organisme certificateur ;
• la manière dont la supervision ou la direction médicale est présentée.

Présentez ces informations sans utiliser les qualifications d’un médecin pour laisser entendre que tous les membres de l’équipe possèdent les mêmes compétences.

La Californie montre pourquoi le choix des mots est important. Son Medical Board explique que les médecins ne peuvent faire état d’une certification de spécialité que si elle provient d’un organisme admissible au regard du Business and Professions Code § 651(h)(5). Un certificat obtenu à l’issue d’une courte formation ne constitue pas automatiquement une certification de spécialité reconnue.[1]

La loi impose également aux titulaires d’une licence du Medical Board of California qui utilisent l’expression « board certified » d’accorder une importance comparable au nom complet de l’organisme certificateur. Indiquer la spécialité et l’organisme aide les patients à comprendre ce que couvre réellement la qualification.[2]

Ces dispositions concernent certaines catégories de titulaires de licences en Californie. Les règles des autres États et organismes professionnels doivent être examinées séparément. Le contenu d’un site ne peut pas rendre licite une structure de propriété, une délégation ou une organisation du champ d’exercice qui ne le serait pas.

Les allégations relatives aux traitements doivent être étayées avant publication

La section 5 du Federal Trade Commission Act interdit, dans le champ de compétence de la FTC, les pratiques déloyales ou trompeuses. Les règles étatiques relatives à la publicité des professionnels s’appliquent parallèlement à ce cadre fédéral.[3]

Le document de la FTC intitulé Health Products Compliance Guidance indique que les annonceurs doivent disposer d’éléments probants pour étayer leurs allégations objectives avant de les publier. La FTC tient compte de l’impression d’ensemble créée par les mots, les images et les omissions, y compris les bénéfices suggérés indirectement. Pour les produits de santé, les affirmations relatives à la sécurité et à l’efficacité exigent généralement des preuves scientifiques compétentes et fiables. Ce document expose l’approche de la FTC ; il s’agit de lignes directrices, et non d’une loi distincte.[4]

Sur une page de traitement esthétique, examinez notamment les affirmations suivantes :

• « élimination définitive de la graisse » ;
• « raffermissement cutané cliniquement prouvé » ;
• « sans douleur » ou « sans éviction sociale » ;
• « convient à tout le monde en toute sécurité » ;
• « aucun risque de complication ».

Les preuves doivent correspondre au produit ou dispositif réellement utilisé, au protocole de traitement, à la population concernée et au résultat annoncé.

Conservez un dossier justificatif pour chaque allégation importante concernant les résultats. Notez :

• le produit, le dispositif ou le protocole étudié ;
• la population étudiée et le nombre de participants ;
• le calendrier des séances et les éventuelles interventions combinées ;
• le critère de résultat mesuré ;
• la durée du suivi.

Une brochure commerciale du fournisseur ou une étude portant sur un autre appareil ne doit pas devenir une promesse non étayée concernant le service de la clinique.

Présentez les bénéfices probables, les limites, l’adéquation du traitement et les risques importants dans un langage compréhensible pour les patients. Évitez de compter sur une petite mention en bas de page pour nuancer une promesse beaucoup plus forte affichée en tête de page.

Publicité du Botox : distinguer le service des règles de promotion des médicaments

Le droit américain encadre la publicité destinée au public pour les médicaments sur ordonnance ; il n’interdit pas de manière générale de citer publiquement le nom d’un médicament soumis à prescription. Les dispositions pertinentes comprennent notamment 21 U.S.C. § 352(n) et 21 CFR § 202.1.[5,6]

Toutefois, une publicité de produit diffusée par un laboratoire pharmaceutique et la description, par une clinique indépendante, de ses services de traitement ne doivent pas être considérées automatiquement comme juridiquement identiques. La section 202.1 vise expressément les publicités diffusées, ou dont la diffusion est provoquée, par le fabricant, le conditionneur ou le distributeur d’un médicament. L’application de ce cadre à une communication particulière d’une clinique dépend des faits.[6]

Lorsqu’il s’applique, le règlement traite notamment des allégations trompeuses, de la présentation des bénéfices et des risques et des informations requises sur le médicament. Ses dispositions spécifiques à la télévision et à la radio ne doivent pas être transformées sans précaution en liste universelle applicable à chaque page web d’une clinique.[6]

Pour le contenu d’une clinique :

• utilisez le nom exact du produit ;
• décrivez correctement le service et le professionnel qui réalise le traitement ;
• vérifiez toute mention d’approbation par la FDA au regard de l’étiquetage en vigueur du produit ;
• distinguez une indication approuvée d’une utilisation hors indication ;
• vérifiez les règles professionnelles de l’État concerné en matière de publicité.

L’utilisation hors indication constitue une autre distinction importante. La FDA explique que les professionnels de santé peuvent généralement prescrire un médicament approuvé pour une utilisation non approuvée lorsqu’ils l’estiment médicalement approprié. Cela ne signifie pas que la FDA a établi la sécurité et l’efficacité de cette utilisation.[7] Lorsqu’une clinique présente un traitement hors indication, elle doit éviter de laisser entendre que cette utilisation particulière est approuvée par la FDA.

« FDA-approved », « FDA-cleared » et « FDA-registered » ne signifient pas la même chose

La FDA précise que l’enregistrement d’un établissement et l’inscription d’un dispositif ne démontrent ni l’approbation, ni l’autorisation de mise sur le marché, ni une autre autorisation du dispositif. Un certificat d’enregistrement ne constitue pas une approbation de la FDA.[8]

Vérifiez :

• le dispositif et le modèle exacts ;
• le fabricant indiqué dans le dossier de la FDA ;
• s’il s’agit d’une approbation, d’une autorisation, d’un enregistrement ou d’une inscription ;
• l’indication ou l’utilisation prévue qui y est mentionnée ;
• si l’allégation du site reste dans ce périmètre.

Une autorisation obtenue pour une utilisation donnée ne doit pas devenir une affirmation selon laquelle tous les services réalisés avec l’appareil sont autorisés par la FDA.

Le support de formation de la FDA consacré à la procédure 510(k) précise qu’une 510(k) clearance ne doit pas être présentée comme une approbation de la FDA.[9] L’approbation ou l’autorisation d’un produit ne signifie pas non plus que la FDA approuve la clinique ou ses professionnels.

Cette distinction est particulièrement importante sur les pages consacrées aux lasers, à la radiofréquence et au remodelage corporel, où un badge réglementaire peut autrement suggérer davantage que ce que démontre le dossier officiel.

Les pages consacrées aux GLP-1 préparés en pharmacie exigent une prudence particulière

Pour les cliniques proposant une prise en charge médicale du poids, 21 U.S.C. § 352(bb) prévoit qu’un médicament préparé en pharmacie est considéré comme mal étiqueté si sa publicité ou sa promotion est fausse ou trompeuse.[5]

Dans une lettre d’avertissement adressée le 20 février 2026 à Better Health Labs, exerçant sous le nom de Measured, la FDA a contesté des allégations publiées sur le site concernant du sémaglutide et du tirzépatide préparés en pharmacie. L’agence a estimé que la présentation laissait entendre une approbation par la FDA ou une évaluation de la sécurité et de l’efficacité. Elle a également contesté des affirmations suggérant que l’entreprise réalisait elle-même les préparations.[10]

Une lettre d’avertissement expose les constatations et la position de l’agence ; elle ne constitue pas une décision judiciaire définitive. Elle montre néanmoins comment la FDA applique la règle légale au contenu d’un site web.

La FDA confirme que les médicaments préparés en pharmacie ne sont pas approuvés par la FDA.[11] Une clinique doit identifier correctement le produit et éviter de présenter une préparation comme un médicament de marque approuvé ou de laisser entendre que l’approbation du médicament de marque s’étend à cette préparation. Les allégations du site et les conditions juridiques de fourniture d’un médicament préparé constituent deux questions distinctes qui doivent être examinées.

Les photographies avant/après soulèvent deux questions de conformité distinctes

Premièrement, la publication est-elle autorisée au regard de la vie privée du patient et des autres règles applicables ? Deuxièmement, la présentation respecte-t-elle les règles publicitaires ? Il faut répondre aux deux questions.

La section 651(b)(3) de Californie est particulièrement précise. Pour les professionnels de santé concernés, les images de résultats doivent indiquer, de manière visible et lisible, les procédures réalisées. Les vues avant/après doivent être comparables, sans pose, éclairage ou présentation avantageuse qui déformerait le résultat, et contenir une mention indiquant que les mêmes résultats ne sont pas garantis pour tous les patients. Les images doivent représenter fidèlement les résultats ; la disposition traite également des images retouchées. Les photos de modèles doivent clairement les identifier comme tels.[2]

Au niveau fédéral, les Endorsement Guides de la FTC expliquent que le résultat rapporté par un consommateur peut laisser entendre que d’autres obtiendront généralement le même résultat. Lorsque cette impression n’est pas étayée, les lignes directrices demandent une information claire sur les performances généralement attendues, appuyée par des preuves. Une mention générale du type « résultats non typiques » peut être insuffisante.[12]

Pour chaque image ou paire d’images, consignez :

• la ou les procédures réalisées ;
• la date ou l’intervalle entre le traitement et la photo « après » ;
• les éventuels traitements combinés ;
• s’il s’agit d’un patient réel ou d’un modèle ;
• l’autorisation de publication du patient lorsqu’elle est requise ;
• les fichiers originaux non retouchés.

Examinez l’impression générale produite par la galerie, notamment les légendes et les titres voisins. Une mention légale ne corrige pas automatiquement une présentation trompeuse.

L’autorisation du patient ne se confond pas avec son consentement au traitement

Pour une clinique soumise à HIPAA, l’utilisation promotionnelle publique d’informations permettant d’identifier un patient exige généralement une autorisation valide au titre de 45 CFR § 164.508. Le consentement ordinaire au traitement ne constitue pas cette autorisation.[13]

Le règlement exige notamment que l’autorisation valide indique :

• une description précise des informations qui seront utilisées ou divulguées ;
• qui peut effectuer la divulgation et qui peut recevoir les informations ;
• la finalité de l’utilisation ou de la divulgation ;
• une date ou un événement d’expiration ;
• la signature de la personne concernée et la date ;
• les mentions requises concernant la révocation et une éventuelle rediffusion ;
• un texte rédigé en langage clair ainsi que la remise d’une copie à la personne.[13]

En règle générale, une clinique ne peut pas subordonner un traitement à la signature d’une autorisation promotionnelle.[13]

Lors de la préparation du site, précisez clairement les canaux de publication envisagés. Une autorisation limitée à un seul usage ne doit pas être transformée silencieusement en consentement à une galerie sur le site, à des publicités payantes et à des publications sur les réseaux sociaux.

Témoignages : vérifier la règle de l’État avant d’ajouter un widget d’avis

Il n’existe pas d’autorisation unique permettant de publier des témoignages de patients dans tous les cabinets médicaux américains.

L’État de New York constitue un exemple important. Dans le cadre des règles relatives aux fautes professionnelles des médecins, l’Education Law § 6530(27)(a)(iii) classe expressément parmi les publicités contraires à l’intérêt public celles qui utilisent des témoignages. Les sous-paragraphes voisins du § 6530(27)(a) traitent notamment des pressions indues, des garanties et des allégations non étayées.[14]

Cette disposition ne doit pas être généralisée à toutes les professions ni à tout avis indépendant publié par un tiers. Un cabinet médical ne doit toutefois pas supposer qu’il peut sélectionner des avis de patients et les republier comme publicité sur son site simplement parce qu’ils figurent déjà sur Google. L’intégration d’un widget d’avis doit également être examinée au regard de la règle professionnelle applicable.

Au niveau fédéral, la règle contraignante de la FTC sur les avis et témoignages de consommateurs, 16 CFR Part 465, interdit certains comportements concernant :

• les faux avis de consommateurs et les témoignages de consommateurs ou de célébrités faux ou trompeurs ;
• les rémunérations ou avantages conditionnés à un avis positif ou négatif ;
• certains avis et témoignages de personnes liées à l’entreprise lorsque ce lien n’est pas divulgué ;
• les sites ou entités d’avis contrôlés par une entreprise et faussement présentés comme fournissant des avis ou opinions indépendants ;
• les menaces infondées ou intimidations destinées à supprimer des avis ;
• la présentation trompeuse d’une sélection d’avis comme représentant l’ensemble ou la majorité des avis reçus ;
• les faux indicateurs d’influence sur les réseaux sociaux.[15]

Offrir un avantage en échange d’un avis cinq étoiles soulève, par exemple, une question différente de celle d’une invitation à donner un avis honnête sans exiger une opinion positive. La FTC explique que les avantages qui ne sont pas conditionnés au sentiment exprimé ne sont pas interdits par le § 465.4 lui-même, même si des avantages non divulgués peuvent toujours enfreindre le FTC Act.[16]

Les recommandations d’influenceurs rémunérés ou ayant reçu un cadeau exigent également une attention particulière aux liens matériels au regard des lignes directrices de la FTC.[17] La divulgation de ce lien ne neutralise pas une interdiction étatique portant sur le témoignage lui-même.

Répondre à un avis peut divulguer des informations sur un patient

Le fait qu’un patient publie lui-même un avis ne donne pas à la clinique une autorisation générale de révéler d’autres informations sur sa prise en charge.

L’accord conclu par HHS avec New Vision Dental concernait la divulgation d’informations de santé protégées dans des réponses à des avis en ligne. Le cabinet a payé 23 000 dollars et accepté un plan de mesures correctives.[18]

Notre recommandation pratique consiste à garder les réponses publiques générales et à poursuivre toute discussion relative aux soins par un canal privé approprié. Pour défendre l’entreprise en ligne, le personnel doit éviter de confirmer des traitements, diagnostics, rendez-vous ou autres informations figurant dans le dossier médical.

Les prix et offres spéciales nécessitent une vérification propre à chaque État

La section 651(c) de Californie exige que le prix annoncé soit exact et interdit des expressions telles que « à partir de » ou « et plus ». Séparément, le § 651(b)(4) considère comme fausse, frauduleuse ou trompeuse une déclaration relative aux honoraires — autre qu’un tarif de consultation standard ou une fourchette de prix pour des catégories de services précises — qui ne divulgue pas intégralement et précisément toutes les variables et autres facteurs importants.[2]

Le Florida Statutes § 456.062 impose à certains professionnels de santé qui annoncent des services, examens ou traitements gratuits ou à prix réduit d’inclure une mention prescrite, en lettres capitales et clairement distincte. Cette mention porte sur le droit du patient de refuser ou d’annuler un paiement, ou d’en demander le remboursement, pour certains autres services réalisés à la suite de la publicité et dans les 72 heures suivant la réponse à celle-ci.[19]

La loi prévoit une exception limitée pour certaines annonces dans des annuaires. Un simple lien « conditions applicables » ne doit pas être considéré comme pouvant remplacer la mention imposée.

Avant de publier une offre, identifiez :

• le service exact inclus ;
• le professionnel ou la catégorie professionnelle qui le fournit ;
• ce que couvre le prix ;
• les frais supplémentaires prévisibles ;
• les conditions d’éligibilité et exclusions ;
• la durée de validité de l’offre ;
• toute mention imposée par l’État concerné.

Examinez les offres de consultation, promotions sur les produits injectables et forfaits de traitement avant de les intégrer dans des bannières réutilisables. Une campagne nationale peut nécessiter des versions différentes selon les États.

HIPAA ne s’applique pas automatiquement à tous les med spas

La qualification de prestataire de soins couvert dépend de la transmission électronique d’informations de santé dans le cadre d’une transaction visée par les règles HIPAA. Le seul fait d’exercer une activité de santé, de posséder un site web ou d’accepter des paiements électroniques ne suffit pas à trancher cette question.[20,21]

Un cabinet dont les patients paient directement doit examiner ses activités réelles au lieu de supposer soit que HIPAA s’applique à tout, soit qu’il en est automatiquement exempté. Lorsque HIPAA s’applique, les informations identifiables contenues dans des demandes relatives aux soins peuvent devoir être protégées avant même que la personne ne devienne un patient établi.[20]

Le statut HIPAA a également des conséquences pour les prestataires. Un fournisseur qui traite des informations de santé protégées pour le compte d’une clinique couverte peut être un business associate. Les définitions juridiques et les exigences organisationnelles déterminent l’existence de cette relation.[20,22]

Même lorsque HIPAA ne s’applique pas, les règles étatiques relatives à la confidentialité et à la protection des consommateurs peuvent rester applicables. Les engagements pris dans la politique de confidentialité du site doivent également être exacts.

Une politique de confidentialité et un avis HIPAA n’ont pas la même fonction

Selon 45 CFR § 164.520(c)(3)(i), une entité couverte qui exploite un site fournissant des informations sur ses services ou avantages destinés aux clients doit y publier de manière visible son Notice of Privacy Practices et le rendre disponible électroniquement.[23]

La politique de confidentialité du site décrit les pratiques relatives aux données en ligne. Le HIPAA Notice of Privacy Practices explique comment l’entité couverte utilise et divulgue les informations de santé protégées et expose les droits des personnes. Il ne faut pas supposer qu’un document générique satisfait ces deux catégories d’obligations.

Formulaires, outils de réservation, chat et assistants IA

Une simple zone de contact peut recevoir des listes de médicaments, des symptômes ou des photos de patients, même si la clinique ne l’avait prévue que pour des questions de réservation.

Pour les informations régies par HIPAA, 45 CFR § 164.306 exige de protéger la confidentialité, l’intégrité et la disponibilité des informations de santé protégées sous forme électronique, en appliquant les garanties administratives, physiques et techniques pertinentes.[24]

Lorsqu’un prestataire fournit pour le compte de la clinique des services impliquant des informations de santé protégées, examinez les obligations liées au statut de business associate et le contrat requis par le § 164.504. Un Business Associate Agreement n’autorise pas des utilisations qui enfreindraient par ailleurs la Privacy Rule.[22]

Les lignes directrices actuelles de HHS sur les business associates donnent expressément l’exemple d’un chatbot IA tiers intégré au portail patient d’un prestataire et fournissant des services impliquant des informations relatives au patient, comme l’évaluation de symptômes ou la prise de rendez-vous.[25] Un assistant public limité à des informations générales nécessite sa propre analyse factuelle ; le seul mot « IA » ne détermine pas l’application de HIPAA.

Pour chaque formulaire, outil de réservation, chat ou assistant IA, cartographiez :

• les champs collectés et les informations qu’un patient peut saisir ou téléverser ;
• le lieu de stockage des envois et transcriptions ;
• les personnes qui reçoivent les notifications par e-mail ou accèdent au tableau de bord ;
• les fournisseurs et sous-traitants qui reçoivent les données ;
• les paramètres de conservation et de suppression ;
• toute réutilisation des données à des fins d’analyse, de publicité ou d’entraînement de modèles ;
• le contrat et le fondement juridique qui autorisent chaque divulgation.

Limitez les demandes générales aux informations nécessaires et prévoyez un canal correctement évalué pour les informations cliniques. Un avertissement demandant aux visiteurs de ne pas saisir de données médicales ne remplace pas cette analyse.

Pixels et outils d’analyse : comprendre ce que le tribunal a réellement décidé

Dans l’affaire American Hospital Association v. Becerra, le tribunal fédéral du Northern District of Texas a annulé une partie des lignes directrices de HHS sur les technologies de suivi le 20 juin 2024. La position contestée associait l’adresse IP d’une personne à sa visite d’une page publique non authentifiée portant sur des pathologies ou des prestataires de soins. L’ordonnance a expressément maintenu l’applicabilité juridique des autres parties des lignes directrices.[26]

Il serait donc inexact d’affirmer que toute visite identifiable d’une page publique constitue automatiquement une information de santé protégée sur ce seul fondement. Il serait tout aussi inexact d’affirmer que la décision autorise tous les dispositifs de suivi sur les sites de santé.

Le bulletin de HHS distingue les pages publiques générales des situations dans lesquelles un outil de suivi reçoit des informations protégées par l’intermédiaire d’un portail, d’un système de prise de rendez-vous ou de données saisies par un visiteur. Il explique également que l’acceptation d’une bannière de cookies ne constitue pas une autorisation HIPAA et qu’un Business Associate Agreement ne rend pas licite une divulgation qui serait autrement interdite.[27]

Examinez les données réellement transmises par les pixels, outils d’analyse et outils de relecture de session, notamment :

• les URL des pages et noms de traitements ;
• les adresses IP et identifiants d’appareils ;
• les clics sur des boutons et choix de traitements ;
• les champs de formulaires et textes libres ;
• les détails de rendez-vous et pages de confirmation ;
• les informations utilisées pour créer ou recibler des audiences publicitaires.

Supprimez ou reconfigurez les outils lorsqu’aucun fondement licite à la divulgation ne peut être établi, et examinez les lois étatiques sur la vie privée indépendamment de HIPAA.

Les lois étatiques sur la vie privée peuvent couvrir des données situées hors du champ de HIPAA

Washington : données de santé des consommateurs

Le My Health My Data Act de l’État de Washington, chapitre 19.373 RCW, s’applique à certaines entreprises qui exercent dans l’État de Washington ou ciblent ses consommateurs. Ses définitions couvrent des informations raisonnablement rattachables à une personne et permettant d’identifier son état de santé, notamment certaines informations relatives à la recherche de soins.[28]

Pour les données couvertes et non exemptées, la loi exige :

• une politique de confidentialité des données de santé des consommateurs, accessible au moyen d’un lien bien visible depuis la page d’accueil ;
• un consentement à la collecte, sauf si celle-ci est nécessaire pour fournir un produit ou service demandé par le consommateur ;
• un consentement distinct au partage, sauf si celui-ci est nécessaire pour fournir le produit ou service demandé ;
• des mécanismes permettant d’exercer les droits prévus par la loi ;
• des accords appropriés avec les sous-traitants ;
• une autorisation valide pour la vente de données de santé des consommateurs.[28]

Les petites entreprises sont couvertes et ne sont pas automatiquement exclues. Les exemptions concernent des catégories définies d’informations protégées ; le fait qu’une organisation soit soumise à HIPAA ne signifie pas que toutes les données recueillies par son site sont exemptées.[28]

Californie : informations du site et protection des consommateurs

Le California Online Privacy Protection Act, Business and Professions Code § 22575, impose aux opérateurs relevant de son champ d’application de publier de manière visible une politique de confidentialité lorsqu’ils collectent en ligne des informations personnellement identifiables sur des consommateurs californiens. Les informations obligatoires comprennent notamment les catégories de données, les catégories de destinataires, la date d’entrée en vigueur de la politique et certaines pratiques de suivi.[29]

Le CCPA ajoute des obligations pour les entreprises qui remplissent ses critères d’application. Ses exemptions concernant les informations médicales sont limitées ; le Civil Code § 1798.145(c) ne doit pas être interprété comme une exemption générale de toutes les données collectées par une entreprise de santé.[30]

Le procureur général de Californie a publié un exemple d’application concernant une entreprise de télésanté dont le site public distinct était soumis au CCPA.[31] Pour les activités couvertes, examinez :

• l’avis fourni au moment de la collecte ;
• la politique de confidentialité et les informations obligatoires sur les droits ;
• les méthodes permettant de demander l’accès, la rectification et la suppression ;
• les mécanismes d’opposition à la vente ou au partage ;
• les règles applicables aux informations personnelles sensibles ;
• les exigences applicables au Global Privacy Control.[32]

Un site américain doit donc analyser les données concernées et les lois applicables avant de choisir entre des mécanismes de consentement ou d’opposition. Une bannière de cookies standard ne constitue pas une analyse complète de la vie privée.

Les e-mails et SMS de suivi obéissent à leurs propres règles

La loi CAN-SPAM, notamment 15 U.S.C. § 7704, encadre les e-mails commerciaux. Elle exige notamment des informations exactes sur l’expéditeur, un objet non trompeur, l’identification publicitaire lorsqu’elle est requise, une adresse postale valide et un mécanisme de désinscription effectif. Les demandes de désinscription doivent généralement être honorées dans un délai de dix jours ouvrables.[33]

Les messages relatifs aux rendez-vous et les campagnes promotionnelles doivent être examinés séparément. La FTC explique que l’objectif principal d’un message mixte est déterminant ; l’ajout d’un contenu promotionnel important peut modifier sa qualification.[34]

Pour les appels et SMS, 47 CFR § 64.1200 contient des exigences relatives au consentement et aux listes d’opposition aux appels. Certaines communications de télémarketing automatisées ou utilisant une voix artificielle ou préenregistrée exigent un consentement écrit exprès préalable, sous réserve du champ d’application et des exceptions de la règle.[35]

Pour les messages promotionnels :

• distinguez les communications relatives aux rendez-vous ou aux soins de la publicité ;
• formulez clairement l’autorisation marketing demandée ;
• consignez la manière et la date auxquelles le consentement a été obtenu ;
• examinez la technologie d’envoi et la liste des destinataires ;
• proposez et respectez le mécanisme de désinscription requis ;
• vérifiez les règles de l’État concerné.

Le fait de communiquer un numéro de téléphone pour demander une consultation ne doit pas être interprété comme une autorisation universelle de recevoir de futures communications marketing. Les restrictions HIPAA relatives à l’utilisation d’informations protégées à des fins marketing nécessitent une analyse distincte.[36]

L’accessibilité doit faire partie de l’audit du site

Le titre III de l’ADA interdit la discrimination fondée sur le handicap par les établissements recevant du public concernés. Le Department of Justice inclut les cabinets médicaux parmi les entreprises couvertes et considère que leurs services en ligne doivent être accessibles.[37,38]

Les lignes directrices du DOJ sur les sites web renvoient aux WCAG comme référence technique utile. Sa règle spécifique relative aux services web du titre II, applicable aux autorités étatiques et locales, ne doit pas être présentée comme la règle régissant tous les med spas privés.[38]

Testez :

• la navigation au clavier et la visibilité du focus ;
• les titres, la fonction des liens et les libellés de formulaires ;
• les instructions et messages d’erreur ;
• le contraste du texte et son redimensionnement ;
• les alternatives aux images porteuses d’information ;
• les sous-titres et transcriptions des médias ;
• l’ensemble du parcours de réservation, y compris les outils tiers.

Les prestataires soumis à des exigences fédérales supplémentaires en raison de financements publics ou de règles de non-discrimination dans les soins doivent analyser séparément ces obligations.

L’approche d’iGlowly pour le site d’une clinique américaine

Nous relions les informations sur les traitements, les profils des professionnels et les parcours de réservation afin que les patients puissent comprendre les services proposés et trouver facilement l’étape suivante. Lors de la conception du contenu et du site, nous signalons pour vérification les allégations de résultats, les images avant/après, les témoignages, les qualifications, les offres et les outils de collecte de données.

La clinique et ses professionnels vérifient les informations cliniques et approuvent le contenu. Les questions juridiques propres à chaque État, les autorisations des patients et les accords avec les prestataires de données doivent être évalués pour la structure concernée. Un modèle de site ne peut garantir la conformité de toutes les cliniques américaines.

Découvrez le service iGlowly de création et gestion de sites web pour cliniques esthétiques, ou consultez nos guides consacrés aux règles applicables au Royaume-Uni, Belgique et aux règles applicables en France.