RGPD appliqué aux ESMS

1. Définition et enjeux

Qu'est-ce que le RGPD ?

Le Règlement Général sur la Protection des Données (RGPD) est un règlement européen entré en vigueur le 25 mai 2018. Il encadre le traitement des données personnelles sur le territoire de l'Union européenne et renforce les droits des personnes concernées.

Pour les ESMS, le RGPD s'applique à tous les traitements de données personnelles, avec une attention particulière portée aux données de santé, considérées comme des données sensibles nécessitant une protection renforcée.

Enjeux spécifiques pour les ESMS

Les établissements et services médico-sociaux manipulent quotidiennement :

• Données de santé : dossiers médicaux, projets personnalisés, bilans, prescriptions
• Données sensibles : handicap, données génétiques, origine ethnique ou raciale
• Données administratives : identité, situation familiale, ressources financières
• Données comportementales : habitudes de vie, relations sociales, incidents

Principes fondamentaux

Le RGPD repose sur 6 grands principes :

• Licéité et loyauté : traitement basé sur une base légale claire
• Finalité : objectifs déterminés, explicites et légitimes
• Minimisation : collecte limitée au strict nécessaire
• Exactitude : données à jour et rectifiables
• Conservation limitée : durées définies et proportionnées
• Sécurité et confidentialité : protection contre les accès non autorisés

2. Obligations et exigences

Désignation d'un DPO (Délégué à la Protection des Données)

La désignation d'un DPO (Data Protection Officer) est obligatoire pour les ESMS en application de l'article 37 du RGPD, car ils effectuent un traitement à grande échelle de données sensibles de santé.

Les missions du DPO incluent :

• Informer et conseiller l'organisme sur ses obligations RGPD
• Contrôler le respect du règlement et du droit national
• Conseiller sur les analyses d'impact (AIPD)
• Coopérer avec la CNIL et être le point de contact
• Sensibiliser et former les personnels

Registre des traitements

Tous les ESMS doivent tenir un registre des activités de traitement (article 30 du RGPD) qui documente l'ensemble des traitements de données personnelles effectués.

Pour chaque traitement, le registre doit préciser :

• Finalité du traitement (exemple : gestion du projet personnalisé)
• Catégories de données traitées (identité, santé, situation sociale)
• Catégories de personnes concernées (usagers, familles, salariés)
• Destinataires des données (ARS, MDPH, organismes payeurs)
• Durées de conservation
• Mesures de sécurité mises en place

AIPD (Analyse d'Impact relative à la Protection des Données)

Une AIPD (aussi appelée PIA - Privacy Impact Assessment) est obligatoire pour les traitements susceptibles d'engendrer un risque élevé pour les droits et libertés des personnes.

Les AIPD sont obligatoires pour :

• Le DUI (Dossier Usager Informatisé)
• Les dispositifs de vidéosurveillance
• Les applications de suivi géolocalisé
• Les systèmes de contrôle biométrique
• Tout nouveau traitement à grande échelle de données sensibles

Droits des personnes concernées

Le RGPD renforce les droits des usagers et de leurs représentants légaux :

• Droit d'accès : obtenir une copie des données personnelles
• Droit de rectification : corriger des données inexactes
• Droit à l'effacement : demander la suppression des données (sous conditions)
• Droit d'opposition : s'opposer à certains traitements
• Droit à la limitation : limiter temporairement le traitement
• Droit à la portabilité : récupérer ses données dans un format structuré

Durées de conservation

Les données ne peuvent être conservées indéfiniment. La CNIL et le Code de l'action sociale et des familles prévoient des durées maximales :

• Dossier usager (DUI) : 20 ans après la fin de l'accompagnement pour un majeur, jusqu'aux 28 ans de la personne pour un mineur
• Dossiers administratifs : 5 ans après la fin du contrat/accompagnement
• Documents comptables et financiers : 10 ans
• Données RH : 5 ans après le départ du salarié
• Vidéosurveillance : 1 mois maximum (sauf enquête judiciaire)

Sanctions en cas de non-conformité

La CNIL dispose de pouvoirs de sanction importants en cas de manquement au RGPD :

• Avertissement pour les manquements mineurs
• Mise en demeure avec délai de mise en conformité
• Limitation temporaire ou définitive du traitement
• Amendes administratives :
  • Jusqu'à 10 millions d'euros ou 2% du CA pour certaines violations
  • Jusqu'à 20 millions d'euros ou 4% du CA pour les violations graves
• Sanctions pénales en cas d'atteinte aux systèmes de traitement

3. Mise en conformité

Les 6 étapes de la conformité RGPD

La CNIL propose une méthodologie en 6 étapes pour accompagner les ESMS :

Mesures de sécurité techniques

Les ESMS doivent mettre en œuvre des mesures de sécurité appropriées :

• Contrôle des accès : authentification forte, gestion des habilitations
• Chiffrement : des données sensibles, des sauvegardes et des communications
• Traçabilité : logs des accès aux dossiers usagers
• Sauvegardes régulières : sécurisées et testées
• Mises à jour de sécurité : systèmes et logiciels à jour
• Antivirus et pare-feu : protection contre les cybermenaces
• Politique de mots de passe : complexité et renouvellement

Mesures organisationnelles

• Sensibilisation et formation des professionnels au RGPD
• Chartes informatiques définissant les bonnes pratiques
• Procédures d'exercice des droits des usagers
• Gestion des sous-traitants : clauses contractuelles RGPD
• Notification des violations : procédure de signalement à la CNIL sous 72h
• Archivage et destruction : respect des durées de conservation

4. Cadre réglementaire

Textes européens

• Règlement (UE) 2016/679 du 27 avril 2016 (RGPD) ↗
• Directive (UE) 2016/680 relative à la protection des données en matière pénale

Textes nationaux

• Loi n° 2018-493 du 20 juin 2018 ↗ - Loi relative à la protection des données personnelles (mise en conformité avec le RGPD)
• Loi n° 78-17 du 6 janvier 1978 modifiée ↗ - Loi Informatique et Libertés
• Articles L.1110-4 et suivants du Code de la santé publique ↗ - Secret médical et protection des données de santé

Référentiels et lignes directrices

• Référentiel CNIL pour le suivi social et médico-social ↗
• Référentiels CNIL pour le secteur de la santé ↗
• Lignes directrices du Comité Européen de la Protection des Données (CEPD)

5. Ressources utiles

Sites officiels

Guides et documentation

Outils pratiques

• RGPD : passer à l'action - Les 6 étapes de la conformité ↗
• Comment recueillir le consentement ? ↗
• Formalités pour les traitements de données de santé ↗
• Notifier une violation de données ↗

Contact CNIL

6. Services liés

Sécurité et conformité