RGPD et données de santé dans le médico-social : vos obligations

Des données « sensibles » par nature

Le RGPD classe les données de santé parmi les catégories particulières de données (article 9), dont le traitement est en principe interdit, sauf exceptions — dont la prise en charge médico-sociale. Cela impose des garanties renforcées : base légale solide, minimisation, durées de conservation maîtrisées et sécurité élevée.

Dans un ESSMS, ces données sont omniprésentes : dossier de l’usager, traitements, comptes rendus, mais aussi données relatives au handicap ou à la dépendance.

La base légale du traitement des données de santé

Traiter des données de santé suppose de s’appuyer sur l’une des exceptions de l’article 9. Dans le médico-social, on mobilise généralement :

• La prise en charge sanitaire ou sociale de la personne.
• Le respect d’une obligation légale de l’établissement.
• L’intérêt vital de la personne dans certaines situations.

Identifier et documenter la bonne base légale pour chaque traitement est une étape fondatrice de la conformité.

Vos obligations concrètes

• Un registre des activités de traitement à jour.
• Des analyses d’impact (AIPD) sur les traitements à risque — voir notre article dédié.
• Des contrats de sous-traitance conformes avec vos prestataires.
• Une information claire des usagers et de leurs représentants.
• Une procédure de violation avec notification sous 72 h.
• La gestion des demandes d’exercice de droits (accès, rectification…).

La sécurité et l’hébergement des données de santé (HDS)

Les données de santé hébergées par un tiers doivent l’être chez un Hébergeur de Données de Santé (HDS) certifié. Au-delà de l’hébergement, des mesures de sécurité techniques et organisationnelles s’imposent (article 32) :

• Gestion stricte des habilitations et traçabilité des accès.
• Chiffrement des données et des échanges.
• Sauvegardes régulières et plan de continuité.
• Sensibilisation des équipes aux bonnes pratiques.

Logiciels métier et hébergeurs : la sous-traitance

Les ESSMS s’appuient sur de nombreux prestataires : logiciels de dossier usager, télégestion, hébergeurs. Chacun qui traite des données pour votre compte est un sous-traitant au sens de l’article 28, ce qui impose un contrat de sous-traitance conforme et un hébergement HDS lorsque des données de santé sont concernées.

Vérifier les engagements de vos prestataires est un point de contrôle régulier de la CNIL.

Que faire en cas de violation de données ?

Une perte, un vol ou un accès non autorisé à des données de santé constitue une violation de données. La procédure est encadrée :

1. Qualifier et documenter l’incident dans un registre des violations.
2. Notifier la CNIL sous 72 heures si un risque existe pour les personnes.
3. Informer les personnes concernées en cas de risque élevé.

Un DPO externalisé pilote l’ensemble de ces obligations et les maintient dans le temps.

Questions fréquentes

Un e-mail envoyé au mauvais destinataire est-il une violation ? Oui, s’il contient des données personnelles : il doit être qualifié et tracé.

Faut-il toujours notifier la CNIL ? Non, uniquement en cas de risque pour les personnes — mais l’incident doit toujours être documenté.