Le secteur médico-social — EHPAD, foyers, SSIAD, SAAD, établissements de santé — cumule plusieurs sensibilités RGPD à la fois : données de santé, personnes vulnérables, salariés intervenant à domicile. Plusieurs actualités de juillet 2026 méritent une attention particulière dans ce secteur.
Un nouveau téléservice pour les demandes d’autorisation santé et recherche
La CNIL a mis en ligne un nouveau téléservice qui modifie les modalités de dépôt des demandes d’autorisation pour les traitements de données de santé (article 9 du RGPD), avec un webinaire de présentation organisé le 10 juillet. La demande d’autorisation via le nouveau téléservice de la CNIL n’est requise que par exception, lorsque le projet de recherche ou d’évaluation n’est pas conforme à une Méthodologie de Référence (MR) de la CNIL (comme la MR-001, MR-003 ou MR-004). Si le projet entre dans le cadre d’une MR, l’établissement n’a besoin que d’une simple déclaration de conformité.
Des professionnels de santé parmi les sanctionnés
Le bilan des 23 sanctions simplifiées de la CNIL contient un signal fort pour le secteur : des médecins ont été sanctionnés pour absence de réponse aux demandes de droits de leurs patients, aggravée par un défaut de coopération avec la CNIL. Le rappel est simple mais essentiel : toute demande d’accès à un dossier — qu’elle émane de l’usager lui-même, de sa famille ou de son tuteur ou curateur — doit être traitée dans le délai légal d’un mois, sans exception. Attention, la famille n’a aucun droit d’accès automatique, sauf si le patient est décédé (sous conditions strictes) ou s’il a donné un mandat exprès. Pour le tuteur, le droit d’accès dépend de la teneur de l’ordonnance du juge des tutelles (représentation relative à la personne ou aux biens).Vidéosurveillance en établissement : où sont les limites
Le principe rappelé par la CNIL sur la vidéosurveillance des salariés s’applique directement aux établissements médico-sociaux : le filmage permanent d’un poste de travail est sanctionnable. En EHPAD ou en foyer, la vigilance doit porter sur deux zones sensibles en particulier : les postes de travail des salariés, qui ne doivent pas être filmés en continu, et les espaces de vie privée des résidents, qui ne doivent pas être couverts par des caméras, sauf consentement explicite du résident.
Géolocalisation des équipes à domicile
Les règles rappelées par la CNIL le 7 juillet sur la géolocalisation concernent directement les structures de type SSIAD ou SAAD, dont les équipes interviennent au domicile des usagers avec des applications mobiles de gestion des tournées. Géolocaliser un salarié via son smartphone professionnel n’est pas interdit, mais suppose une justification claire, une proportionnalité du dispositif (pouvant être désactivé par le salarié en dehors de ses heures de service) et une information préalable du salarié concerné.
Points de vigilance pour votre établissement
- Un projet de recherche ou d’évaluation impliquant vos usagers est-il en cours ou prévu ? Le nouveau téléservice CNIL change la procédure de dépôt.
- Votre circuit de réponse aux demandes d’accès aux dossiers (usagers, familles, tuteurs) respecte-t-il le délai d’un mois ?
- Vos caméras couvrent-elles des espaces de vie privée des résidents ou un poste de travail en continu ?
- Vos applications de gestion de tournées géolocalisent-elles vos salariés dans des conditions justifiées et communiquées ?
L’Agence RGPD accompagne les établissements médico-sociaux dans leurs démarches d’autorisation santé, la gestion des demandes de droits des usagers et la conformité de leurs dispositifs de contrôle.
