DPO obligatoire en EHPAD et ESSMS ? Ce que dit la loi

Une obligation quasi systématique dans le médico-social

L’article 37 du RGPD impose la désignation d’un Délégué à la Protection des Données (DPO) dès qu’une organisation traite, à grande échelle, des catégories particulières de données — dont les données de santé. Or c’est le quotidien des établissements et services sociaux et médico-sociaux (ESSMS) : dossiers de soins, traitements médicamenteux, données administratives d’usagers souvent vulnérables.

En pratique, la quasi-totalité des ESSMS sont concernés. L’absence de DPO désigné place l’établissement en infraction, avant même tout incident, et fragilise sa démarche qualité.

Ce que dit précisément l’article 37 du RGPD

La désignation d’un DPO est obligatoire dans trois cas. Deux concernent directement le médico-social :

• Le suivi régulier et systématique des personnes à grande échelle : c’est le cas du suivi continu des usagers accompagnés.
• Le traitement à grande échelle de données sensibles (article 9), dont les données de santé : c’est l’activité même d’un ESSMS.

La CNIL recommande d’ailleurs de désigner un DPO dès que l’analyse n’est pas évidente. Dans le médico-social, le doute est rarement permis : l’obligation s’applique presque toujours.

Quels ESSMS sont concernés ?

Le terme ESSMS recouvre l’ensemble des structures du champ social et médico-social. Sont notamment concernés :

• EHPAD et résidences autonomie.
• SSIAD et services d’aide et de soins à domicile.
• IME, ITEP, MAS, FAM (handicap).
• Foyers de vie, ESAT, CHRS.
• Sièges et associations gestionnaires.

Quelle que soit la taille de la structure, c’est la nature des données traitées (la santé d’usagers) qui déclenche l’obligation.

Le cas des GTSMS : un DPO mutualisé

Le RGPD autorise un DPO mutualisé entre plusieurs ESSMS d’un même organisme. C’est particulièrement pertinent dans le cadre d’un GTSMS (Groupement Territorial Social et Médico-Social) : un DPO unique, expert du secteur, peut piloter la conformité de l’ensemble des structures membres.

L’intérêt est double : homogénéité des pratiques sur le territoire et économie d’échelle sur le coût de la fonction. C’est l’un des atouts d’un DPO externalisé : il s’adapte aussi bien à un établissement isolé qu’à un groupement.

Ce que vous risquez sans DPO désigné

L’absence de conformité expose l’ESSMS à des conséquences lourdes, d’autant plus sensibles que les personnes accompagnées sont vulnérables.

• Sanctions financières : jusqu’à 4 % du budget annuel ou 20 M€.
• Mise en demeure publique de la CNIL.
• Impact sur l’évaluation HAS : la protection des données est un critère évalué (voir RGPD, évaluation HAS et Ségur numérique).
• Perte de confiance des usagers, des familles et des financeurs.

DPO interne ou externalisé ?

Le RGPD autorise expressément un DPO externe, lié par contrat de service, qui peut être mutualisé entre plusieurs établissements. C’est souvent la solution la plus adaptée : expertise immédiate, pas de recrutement, indépendance garantie et fonction déclarée pour vous auprès de la CNIL.

C’est l’objet de notre DPO externalisé pour le secteur médico-social. Pour comprendre le traitement des données de santé, lisez aussi RGPD et données de santé dans le médico-social.

Questions fréquentes

Un petit EHPAD est-il vraiment concerné ? Oui : c’est le traitement de données de santé qui compte, pas la taille de la structure.

Peut-on partager un DPO entre plusieurs établissements ? Oui, c’est même recommandé au sein d’un GTSMS ou d’un organisme gestionnaire.