RGPD dans l’accompagnement médico-social : obligations et bonnes pratiques

Le RGPD accompagnement médico-social constitue aujourd’hui un enjeu majeur pour les établissements et services sociaux et médico-sociaux (ESSMS). EHPAD (Établissement d’Hébergement pour Personnes Âgées Dépendantes), IME (Institut Médico‑Éducatif), ESAT (Établissement ou Service d’Accompagnement par le Travail), SAVS (Service d’Accompagnement à la Vie Sociale), SAMSAH (Service d’Accompagnement Médico‑Social pour Adultes Handicapés), SSIAD (Service de Soins Infirmiers À Domicile), SAAD (Service d’aide et d’accompagnement à domicile), foyers de vie, associations ou services d’aide à domicile manipulent quotidiennement des données parmi les plus sensibles qui existent : données de santé, informations sociales, données familiales, fragilités psychologiques ou situations de précarité.

Dans ce contexte, le respect du RGPD accompagnement médico-social ne relève pas uniquement d’une obligation réglementaire. Il participe directement à la protection de la dignité des personnes accompagnées et à la relation de confiance entre usagers, familles et professionnels.

Les recommandations publiées par la CNIL¹ permettent aux acteurs du secteur de disposer d’un cadre clair pour sécuriser leurs pratiques et se mettre en conformité avec le RGPD et les autres textes en vigueur en France.

Pourquoi le RGPD est-il si important dans le secteur médico-social ?

L’accompagnement médico-social repose sur une connaissance fine de la situation de chaque personne.

Pour répondre aux besoins des usagers, les établissements collectent notamment :

• des données d’identification ;
• des informations administratives ;
• des données relatives à la santé ;
• des éléments concernant l’environnement familial ;
• des informations relatives à la situation sociale ;
• des données relatives aux mesures d’accompagnement.

Ces informations permettent un accompagnement adapté, personnalisé et de garantir la continuité des prises en charge. Cependant, leur sensibilité impose des garanties renforcées.

Une violation de données dans un ESSMS peut avoir des conséquences importantes :

• atteinte à la vie privée ;
• discrimination ;
• préjudice moral ;
• perte de confiance des usagers ;
• mauvaise prise en charge, pouvant aboutir à une dégradation de leur état de santé physique ou psychique ;
• risques juridiques et réputationnels pour la structure.

La protection de ces données est donc une exigence majeure.

Quels organismes d’accompagnement médico-social sont concernés par le RGPD ?

Le RGPD couvre tous ces organismes, notamment :

Les établissements d’hébergement

• EHPAD ;
• résidences autonomie ;
• foyers d’accueil médicalisés ;
• maisons d’accueil spécialisées.

Les services d’aide et d’accompagnement

• SAAD ;
• SSIAD ;
• SPASAD ;
• plateformes d’accompagnement.

Les structures pour personnes en situation de handicap

• IME ;
• ITEP ;
• ESAT ;
• SAMSAH ;
• SAVS.

Les acteurs de l’action sociale

• CCAS ;
• associations ;
• services sociaux départementaux ;
• organismes d’insertion.

Les principes du RGPD appliqués au médico-social

Principe de minimisation : collecter uniquement les données nécessaires

Le principe de minimisation impose de ne collecter que les données strictement nécessaires à l’objectif poursuivi.

Une donnée ne doit jamais être collectée « au cas où ». Une structure médico-sociale ne doit pas recueillir des informations qui ne présentent aucun lien avec l’accompagnement de la personne.

Définir des finalités précises

Chaque traitement doit répondre à un objectif clairement identifié.

Par exemple :

• admission ;
• suivi médico-social ;
• coordination des intervenants ;
• gestion administrative ;
• orientation des usagers.

Les données ne doivent pas être réutilisées pour une finalité incompatible avec celle annoncée initialement.

Informer les personnes accompagnées

Les usagers doivent comprendre :

• quelles données sont collectées ;
• pourquoi elles sont utilisées ;
• qui peut y accéder ;
• combien de temps elles sont conservées ;
• comment exercer leurs droits.

Cette transparence contribue à instaurer un climat de confiance avec les usagers, c’est-à-dire les personnes accompagnées et leur famille.

Sécurité des données : un enjeu majeur du RGPD en accompagnement médico-social

Dans le secteur médico-social, l’erreur humaine demeure l’une des principales causes de violation de données.

Quelques exemples rencontrés sur le terrain :

• envoi d’un document à un mauvais destinataire ;
• partage non maîtrisé d’informations par courriel ;
• mots de passe insuffisamment robustes ;
• accès excessifs aux logiciels métiers ;
• stockage de données sur des équipements non sécurisés.

Pour réduire les risques, chaque ESSMS devrait mettre en œuvre :

Une gestion rigoureuse des habilitations

Les professionnels doivent accéder uniquement aux données utiles à leurs missions. Les habilitations doivent être soigneusement gérées et actualisées en permanence (actualisation dès un départ ou un changement de fonction).

Une sécurisation des postes de travail

Les postes de travail doivent tous être correctement sécurisés (antivirus, mises à jour récentes, pare-feu, etc.)

Une politique de mots de passe adaptée

La sécurisation des comptes utilisateurs constitue un prérequis essentiel, et celui-ci nécessite des mots de passe robustes et différents selon les applications.
💡 Astuce DMOuvrard : utiliser un gestionnaire de mots de passe !

Une maîtrise des accès aux logiciels métiers

Comme pour les habilitations, l’accès aux logiciels métiers est nominatif (au nom d’une personne et non pas d’un service) et réservé aux personnes dont la fonction est appropriée.

Un chiffrement lorsque c’est pertinent

Des données de personnes vulnérables (patients, personnes âgées ou en situation de handicap, enfants, etc.) doivent être particulièrement protégées. Et toutes les données de santé doivent être hébergées sur des serveurs certifiés HDS (Hébergement de Données de Santé)

La sensibilisation régulière des équipes

Sans formation, même les meilleurs outils de sécurité perdent en efficacité. Actuellement, 80% des cyberattaques ont une origine humaine ! D’où la nécessité de sensibiliser pour réduire ce risque.

Quelles bases légales utiliser dans l’accompagnement médico-social ?

L’une des erreurs fréquentes consiste à utiliser systématiquement le consentement.

Or la CNIL recommande une grande prudence dans l’usage du consentement dans l’accompagnement social et médico-social. En raison de la situation de vulnérabilité de certaines personnes, le consentement n’est pas toujours la base légale la plus adaptée.

Selon le contexte, les traitements peuvent aussi reposer sur :

• une mission d’intérêt public ;
• l’exécution d’un contrat ;
• une obligation légale ;
• l’intérêt légitime pour certains organismes privés.

Chaque organisme doit adopter la base légale la plus adaptée au traitement dans son contexte et documenter son choix.

Combien de temps conserver les données des usagers ?

La maîtrise des durées de conservation constitue un sujet fréquemment contrôlé.

Le principe est simple : les données ne doivent pas être conservées plus longtemps que nécessaire.

Certaines données liées à l’accueil de personnes ou à l’accompagnement social et médico-social peuvent être conservées pendant deux ans après le dernier contact avec la personne accompagnée, sauf disposition particulière.

D’autres catégories de données répondent à des règles spécifiques prévues par les textes applicables. C’est le cas du dossier médical qui est conservé pendant le temps de la prise en charge puis, en règle générale, pendant 20 ans à compter du dernier séjour ou de la dernière consultation.

Certaines données peuvent être conservées plus longtemps afin de répondre à une obligation légale ou à un besoin probatoire justifié et documenté.

Chaque organisme doit formaliser sa politique d’archivage et être capable de justifier les durées retenues.

Pour en savoir plus, il convient de se référer aux publications de la CNIL de septembre 2023 qui proposent un référentiel² et une fiche pratique³ dédiés au secteur social et médico-social.

Accompagnement numérique des usagers et protection des données

La dématérialisation des services publics modifie profondément les pratiques professionnelles. Les professionnels du médico-social accompagnent en effet souvent les usagers dans leurs démarches numériques.

Cette assistance peut concerner :

• les demandes de prestations sociales ;
• les démarches administratives ;
• les demandes d’hébergement ;
• les procédures liées au handicap ou à la dépendance.

Concrètement, les travailleurs sociaux accompagnent régulièrement les usagers dans les demandes CAF, les démarches MDPH, les demandes de logement ou d’autres formalités administratives en ligne.

Cet accompagnement nécessite une vigilance particulière. Les recommandations de la CNIL mettent particulièrement l’accent sur ces bonnes pratiques.

Les professionnels doivent notamment :

• limiter la consultation des données aux stricts besoins de l’accompagnement et aux personnes qui en ont la charge ;
• éviter le partage non maîtrisé des identifiants ;
• sensibiliser les personnes accompagnées aux risques numériques ;
• privilégier des outils sécurisés.

Vidéosurveillance en EHPAD : une pratique strictement encadrée

En 2024, la CNIL a publié une recommandation spécifique sur la vidéosurveillance dans les chambres d’EHPAD⁴.

Cette recommandation rappelle que la chambre constitue un espace de vie privée. Une caméra dans une chambre porte atteinte à l’intimité de la personne hébergée et ne peut être envisagée que dans des situations exceptionnelles et sous conditions strictes. La CNIL indique notamment que ce type de dispositif ne peut être justifié pour améliorer le confort des résidents.

La recommandation vise principalement les situations de suspicion forte de maltraitance, après l’échec de mesures alternatives et d’enquêtes internes.

Chaque projet doit faire l’objet d’une AIPD afin d’analyser les risques pour les droits et libertés des personnes concernées.

Les erreurs les plus fréquentes observées dans les ESSMS

Au cours des missions de mise en conformité, certaines difficultés reviennent régulièrement :

• registre des traitements incomplet ;
• mentions d’information obsolètes ;
• contrats de sous-traitance insuffisants ;
• durées de conservation non définies ;
• absence de procédure de gestion des violations de données ;
• sensibilisation insuffisante des professionnels ;
• absence d’analyse d’impact alors qu’elle est nécessaire.

Ces situations ne traduisent pas forcément un manque de bonne volonté. Elles résultent souvent d’un manque de temps ou de ressources spécialisées.

Comment réussir sa conformité RGPD dans le médico-social ?

La conformité ne repose pas sur un document unique. Elle s’inscrit dans une démarche continue.

Les priorités sont généralement :

1. cartographier les traitements ;
2. sécuriser les données ;
3. définir les durées de conservation ;
4. encadrer les sous-traitants ;
5. former les équipes ;
6. documenter les mesures mises en œuvre ;
7. réaliser les analyses d’impact lorsque c’est nécessaire.

Concrètement, cinq actions doivent être mise en œuvre dès que possible.

Tenir un registre des traitements

Chaque organisme doit recenser les traitements réalisés dans le cadre de ses activités.

Définir des durées de conservation

Les règles doivent être documentées et appliquées de manière opérationnelle.

Contrôler les accès

Seuls les professionnels ayant besoin d’une information pour exercer leur mission doivent pouvoir y accéder.

Sensibiliser les équipes

La conformité repose autant sur les procédures que sur les comportements quotidiens.

Réaliser les AIPD nécessaires

Certains traitements présentent un risque élevé pour les personnes concernées et nécessitent une analyse d’impact relative à la protection des données (AIPD).

Conclusion

Le RGPD pour l’accompagnement médico-social ne doit pas être perçu comme une contrainte administrative supplémentaire. Il constitue un cadre de confiance qui protège les personnes les plus vulnérables tout en sécurisant les pratiques des professionnels. Il constitue avant tout une démarche de protection des personnes.

En effet, les établissements et services sociaux et médico-sociaux manipulent des informations particulièrement sensibles. Ils doivent donc mettre en place une gouvernance adaptée, des mesures de sécurité efficaces et des pratiques respectueuses des droits des usagers.

Au-delà de la conformité réglementaire, le RGPD contribue à renforcer la confiance, la qualité de l’accompagnement et la protection des publics les plus vulnérables.

Vous êtes dans l’accompagnement médico-social, n’hésitez pas à contactez DMOuvrard ou prenez rendez-vous sur https://meet.brevo.com/mickael-ouvrard/diagnostic-flash pour échanger.

Découvrez également ici l’ensemble de nos services.

DMOuvrard, l’atout des petites structures !

L’avis de DMOuvrard

Les établissements médico-sociaux sont confrontés à un double défi : protéger des données extrêmement sensibles tout en maintenant la qualité de l’accompagnement humain. Une démarche RGPD pragmatique permet de répondre à ces deux exigences sans complexifier le travail des équipes. C’est généralement l’approche que nous privilégions lors de nos missions d’accompagnement auprès des ESSMS, associations et structures d’aide à la personne.

1. Ces recommandations concernent notamment la gestion des dossiers des usagers, les durées de conservation, la sécurité des systèmes d’information, l’accompagnement numérique ou encore la vidéosurveillance en EHPAD. ↩︎
2. Référentiel : les durées de conservation dans le secteur social et médico-social ↩︎
3. Secteur social et médico-social : comment gérer les durées de conservation ? | CNIL ↩︎
4. Vidéosurveillance dans les chambres d’Ehpad : la CNIL publie sa recommandation | CNIL ↩︎