Introduction
Les structures d’action sociale sans hébergement accompagnent des publics souvent en situation de vulnérabilité : familles en difficulté, personnes en insertion, mineurs protégés, publics précaires. Leurs missions impliquent la collecte et le traitement de données personnelles sensibles au sens de l’article 9 du RGPD. Ce règlement encadre strictement ces traitements, avec des exigences renforcées compte tenu de la nature sensible des données et de la vulnérabilité des personnes concernées.
Respecter ces exigences est essentiel pour garantir la confidentialité et les droits des usagers tout en permettant aux professionnels d’exercer efficacement leurs missions d’accompagnement social.
Des données sensibles à forte responsabilité
Quelles données sont concernées ?
Les professionnels de l’action sociale traitent régulièrement des données de différentes natures :
Données d’identification :
- Données d’identité et de contact
- Informations administratives (situation familiale, logement, ressources)
- Pièces justificatives (titre de séjour, jugements, etc.)
Données sensibles au sens de l’article 9 du RGPD :
- Données concernant la santé (certificats médicaux, handicap, addictions)
- Données révélant l’origine raciale ou ethnique
- Données relatives aux condamnations pénales et aux infractions
- Données révélant les convictions religieuses ou philosophiques
Ces données, particulièrement protégées par le RGPD, exigent des précautions renforcées pour leur collecte, traitement, conservation et sécurisation.
Une base légale indispensable et des conditions spécifiques
Pour les données non sensibles :
La majorité des traitements repose sur :
- La mission d’intérêt public (article 6.1.e RGPD), à condition qu’elle soit prévue par un texte législatif ou réglementaire
- L’exécution d’une obligation légale (article 6.1.c RGPD) résultant du Code de l’action sociale et des familles ou d’autres textes spécifiques
- L’intérêt légitime (article 6.1.f RGPD) dans certains cas, après analyse de proportionnalité
Pour les données sensibles :
Des conditions supplémentaires s’appliquent (article 9.2 RGPD) :
- Motifs d’intérêt public important définis par le droit national
- Finalités de médecine préventive, de diagnostic médical ou de prise en charge sanitaire ou sociale
- Protection des intérêts vitaux de la personne concernée
Le consentement des personnes n’est donc pas toujours requis, mais la transparence reste obligatoire dans tous les cas.
Informer clairement les bénéficiaires
Des obligations d’information renforcées et adaptées
Les bénéficiaires doivent être informés de manière claire et accessible :
Informations obligatoires :
- Identité et coordonnées du responsable de traitement et du DPO le cas échéant
- Finalités des traitements et base légale correspondante
- Destinataires ou catégories de destinataires des données
- Durée de conservation ou critères de détermination
- Droits des personnes (accès, rectification, effacement, limitation, opposition, portabilité)
- Droit d’introduire une réclamation auprès de la CNIL
Modalités adaptées aux publics vulnérables :
- Langage simple et accessible, évitant le jargon juridique
- Supports adaptés (oral, écrit, langues étrangères si nécessaire)
- Information progressive selon les situations d’urgence
- Prise en compte des situations de handicap ou de difficultés de compréhension
Cas particuliers : mineurs et personnes protégées
Pour les mineurs :
- Information du mineur lui-même selon son âge et sa maturité
- Information des représentants légaux
- Exercice des droits par les représentants légaux, sauf exceptions prévues par la loi
Pour les personnes sous protection juridique :
- Information de la personne protégée et du tuteur/curateur selon les cas
- Exercice des droits selon les modalités de protection (tutelle, curatelle, sauvegarde de justice)
Sécuriser les données au quotidien
Mesures techniques et organisationnelles
Sécurité des accès :
- Cloisonnement des données par service, profil utilisateur ou mission
- Gestion rigoureuse des habilitations et des mots de passe
- Authentification forte pour les accès aux systèmes sensibles
- Traçabilité des accès et des modifications
Protection des données :
- Chiffrement des données sensibles en transit et au repos
- Pseudonymisation lorsque cela est techniquement possible
- Sauvegardes sécurisées et testées régulièrement
- Procédures de suppression sécurisée
Sécurisation des outils numériques :
- Choix de logiciels métiers conformes au RGPD
- Sécurisation des accès cloud et des messageries
- Mise à jour régulière des systèmes et des antivirus
- Formation du personnel aux bonnes pratiques de sécurité informatique
Gestion des durées de conservation
Les durées de conservation doivent être :
- Déterminées en fonction des finalités et des obligations légales
- Documentées dans un calendrier de conservation
- Respectées par la mise en place de procédures d’archivage et de suppression
- Révisées régulièrement selon l’évolution des missions et de la réglementation
Exemples de durées courantes :
- Dossiers d’accompagnement social : 5 ans après la fin de l’accompagnement
- Données financières : selon les obligations comptables (6 à 10 ans)
- Données de santé : selon les durées réglementaires médicales spécifiques
Le DPO : un rôle clé dans les établissements sociaux
Désignation obligatoire ou recommandée
Désignation obligatoire si :
- Traitement à grande échelle de données sensibles
- Suivi régulier et systématique des personnes à grande échelle
- Traitement à grande échelle de données relatives aux condamnations pénales
Critères d’appréciation :
- Nombre de personnes concernées (plusieurs milliers)
- Volume et variété des données traitées
- Étendue géographique du traitement
- Durée ou permanence de l’activité de traitement
Missions du DPO dans le secteur social
Conseil et accompagnement :
- Tenue et mise à jour du registre des traitements
- Conseil sur les analyses d’impact sur la protection des données (PIA)
- Accompagnement dans l’évaluation des bases légales
- Formation et sensibilisation des équipes
Interface avec l’autorité de contrôle :
- Point de contact avec la CNIL
- Notification des violations de données
- Coopération lors des contrôles
Gestion des droits des personnes :
- Traitement des demandes d’exercice des droits
- Conseil sur les réponses à apporter
- Gestion des réclamations
Encadrer les sous-traitants et partenaires
Responsabilité conjointe et contrats RGPD
Les services sociaux travaillent avec de nombreux partenaires qui nécessitent un encadrement spécifique :
Prestataires techniques :
- Éditeurs de logiciels métiers
- Hébergeurs de données (cloud, serveurs)
- Prestataires de maintenance informatique
- Sociétés de destruction de documents
Partenaires institutionnels :
- CAF, CPAM, Pôle emploi
- Préfectures et sous-préfectures
- Conseils départementaux
- Établissements scolaires et de santé
Acteurs médico-sociaux :
- Autres structures sociales
- Établissements de santé
- Professionnels libéraux (médecins, psychologues)
Obligations contractuelles
Contrats de sous-traitance (article 28 RGPD) :
- Définition précise des traitements autorisés
- Garanties de sécurité et de confidentialité
- Interdiction de sous-traiter sans autorisation
- Obligation d’assistance pour l’exercice des droits des personnes
- Retour ou destruction des données en fin de contrat
Accords de responsabilité conjointe (article 26 RGPD) :
- Définition des responsabilités respectives
- Point de contact unique pour les personnes concernées
- Répartition des obligations d’information et d’exercice des droits
Gestion des situations spécifiques / situations d’urgence sociale
Adaptations possibles :
- Information différée si la situation d’urgence l’exige
- Recueil d’informations strictement nécessaires dans un premier temps
- Régularisation a posteriori de l’information complète
- Documentation des mesures exceptionnelles prises
Signalements et informations préoccupantes
Articulation avec les obligations légales :
- Respect des procédures de signalement prévues par le CASF
- Information des personnes sur les obligations de signalement
- Protection des données dans les transmissions aux autorités compétentes
- Limitation des données transmises au strict nécessaire
Secret professionnel et partage d’informations
Principe de confidentialité renforcée :
- Respect du secret professionnel applicable aux travailleurs sociaux
- Partage d’informations limité aux professionnels habilités
- Documentation des autorisations de partage
- Formation des équipes aux règles de confidentialité
Mise en œuvre pratique de la conformité et analyse d’impact sur la protection des données (PIA)
Obligation de réaliser une PIA si :
- Traitement susceptible d’engendrer un risque élevé pour les droits et libertés
- Traitement à grande échelle de données sensibles
- Évaluation systématique et approfondie d’aspects personnels
Contenu de l’analyse :
- Description du traitement et de ses finalités
- Évaluation de la nécessité et de la proportionnalité
- Identification et évaluation des risques pour les personnes
- Mesures envisagées pour atténuer les risques
Gestion des violations de données
Procédure à mettre en place :
- Détection et investigation des incidents
- Évaluation des risques pour les personnes concernées
- Notification à la CNIL dans les 72 heures si nécessaire
- Communication aux personnes concernées si le risque est élevé
- Documentation de tous les incidents
Formation et sensibilisation
Actions recommandées :
- Formation initiale de tous les nouveaux collaborateurs
- Sessions de sensibilisation régulières
- Information sur les évolutions réglementaires
- Exercices pratiques de gestion d’incident
- Mise à disposition de guides et procédures
Points clés à retenir
- Les structures sociales manipulent des données particulièrement sensibles nécessitant une protection renforcée
- Les bases légales doivent être clairement identifiées, notamment pour les données sensibles
- L’information des usagers doit être adaptée aux publics vulnérables
- La sécurité technique et organisationnelle est essentielle compte tenu des risques
- Le DPO joue un rôle central dans la gouvernance des données
- Tous les partenaires et sous-traitants doivent être contractuellement encadrés
- La formation du personnel est indispensable pour maintenir la conformité
Conclusion
Les structures de l’action sociale sans hébergement jouent un rôle essentiel auprès des personnes les plus fragiles. Cette mission s’accompagne d’une responsabilité particulière en matière de données personnelles, compte tenu de la sensibilité des informations traitées et de la vulnérabilité des publics accompagnés.
