DPO externalisé pour les établissements et services sociaux et médico-sociaux (ESSMS)
L'Agence RGPD France accompagne les EHPAD, IME, ESAT, FAM, MAS et SSIAD dans la protection du dossier usager, la maîtrise du référentiel CNIL sectoriel et la mise en conformité durable au RGPD — audit, DPO externalisé, registre des traitements, AIPD et formation des équipes, préparation aux audits HAS.
Ce que le RGPD impose concrètement à votre activité
Dossier usager et données de santé
Les données de santé (Art. 9 RGPD) exigent une base légale renforcée, une minimisation stricte et des mesures de sécurité adaptées à des publics vulnérables.
Référentiel CNIL secteur social et médico-social
Depuis la délibération n°2021-028 du 11 mars 2021, la CNIL encadre précisément les bases légales, finalités et durées de conservation propres aux ESSMS.
Personnes vulnérables et représentants légaux
Information adaptée des usagers sous tutelle ou curatelle, recueil du consentement, association des représentants légaux aux traitements qui les concernent.
Hébergement des données de santé (HDS)
Dès qu'un logiciel métier traite des données de santé, l'hébergeur doit être certifié HDS.
Contrôle des accès et authentification
Comptes dormants d'anciens salariés ou stagiaires, comptes partagés « pour dépanner » qui rendent toute traçabilité impossible, MFA encore trop souvent traité comme une option de confort alors qu'il constitue une mesure attendue au titre de l'article 32 du RGPD dès qu'il y a accès distant à des données de santé.
Identités professionnelles de santé (RPPS+, e-CPS)
Ces référentiels structurent l'accès aux données de santé (Art. 9) ; encore faut-il que la matrice des habilitations internes soit alignée sur ces identités, et régulièrement revue à chaque arrivée, départ ou changement de poste.
Usages non déclarés de l'IA générative (Shadow AI)
Résumer un compte rendu médical ou reformuler une réponse à une famille dans un outil d'IA grand public fait sortir des données d'usager de votre périmètre de maîtrise ; ces usages doivent être cadrés, déclarés au registre (Art. 30) et parfois soumis à une AIPD.
Flux vers vos partenaires et sous-traitants
Logiciel métier, hébergeur, laboratoire, transporteur sanitaire, prestataire de paie : chaque destinataire de données d'usager doit être identifié dans le registre, encadré par un contrat de sous-traitance (Art. 28 ou DPA) et évalué sur ses propres garanties de sécurité.
Ce que fait l'Agence RGPD pour vous
- Audit de conformité RGPD adapté aux ESSMS ; à l'issue de la revue de conformité, un plan d'action hiérarchisé dont nous fixons d'abord les priorités réglementaires puis ajustons avec vous selon vos priorités métiers et le contexte de votre établissement
- DPO externalisé, dédié ou mutualisé selon la taille de l'établissement
- Registre des traitements (Art. 30) et AIPD (Art. 35) sur le dossier usager
- Cartographie, analyse et sécurisation juridique des flux vers vos partenaires et sous-traitants, avec modèles de DPA (Art. 28) prêts à signer
- Formation des équipes par métier et par niveau (de la sensibilisation à la certification DPO, catalogue de 40 formations, l'Agence RGPD est certifiée Qualiopi et éligible OPCO)
- Fiches pédagogiques : mots de passe, vidéoprotection, réflexes du quotidien
- Accompagnement dans la durée (24 à 36 mois minimum)
Un seul DPO externalisé, trois périmètres d'intervention
Désigné auprès de la CNIL (Art. 37), engagement initial de 36 mois — le périmètre pris en charge varie selon le niveau de délégation souhaité.
Votre conformité 100 % prise en charge. De A à Z : toute question RGPD traitée par le DPO externalisé, revue de conformité complète, registre, AIPD, DPA et introspection informatique incluse, sensibilisation des équipes incluse. Pour les établissements qui souhaitent déléguer intégralement le sujet RGPD.
Nous sommes votre DPO, en appui de votre conformité. Mise à jour du registre, plan d'action semestriel, une vingtaine de documents types livrés au fil du contrat. Pour les établissements qui souhaitent déléguer partiellement le sujet.
DPO désigné et support. Désignation DPO, conseil et point de contact CNIL, une dizaine de documents types. Pour un appui DPO au périmètre plus restreint, le reste facturé à l'acte sur devis.
Voir le détail complet des trois offres sur la page Nos offres →
Le RGPD dans votre secteur, en quelques chiffres
Vos questions sur le RGPD dans ce secteur
Un EHPAD est-il obligé de désigner un DPO ?
Oui : obligatoirement s'il s'agit d'un organisme public, et très recommandé pour une structure privée.
Que couvre le référentiel CNIL secteur social et médico-social ?
Il précise les bases légales, les finalités courantes et les durées de conservation applicables à l'accueil, l'hébergement et l'accompagnement social et médico-social.
Quelles sont les durées de conservation du dossier usager ?
Elles varient selon la nature du document et le cadre légal applicable (code de l'action sociale et des familles, code de la santé publique) ; un audit permet de les fixer précisément par type de document.
Le logiciel métier de mon ESSMS doit-il être hébergé en HDS ?
Dès qu'il traite des données de santé, oui : l'hébergeur doit être certifié Hébergeur de Données de Santé conformément à l'article L. 1111-8 du Code de la santé publique.
Comment informer un usager sous tutelle ou curatelle ?
L'information doit être adaptée à ses capacités et, selon la mesure de protection, le représentant légal doit être associé aux traitements le concernant.
Le MFA est-il obligatoire dans un ESSMS ?
Oui, c'est désormais une obligation de fait. Si le RGPD utilise le concept neutre de « sécurité adaptée au risque » (Art. 32), la CNIL a rendu le MFA obligatoire dans ses lignes directrices de 2024 pour tout accès distant (VPN, télétravail, connexions extérieures des professionnels) à un système d'information contenant des données de santé. L'absence de MFA lors d'un accès distant est systématiquement sanctionnée par la CNIL en cas de contrôle ou de violation.
Que faire des comptes des anciens salariés ou stagiaires ?
Ils doivent être désactivés dès le départ de la personne ; un compte dormant resté ouvert est l'un des angles morts les plus fréquents constatés en audit.
La formation RGPD des équipes ESSMS est-elle finançable ?
Oui : l'Agence RGPD France est certifiée Qualiopi, ses formations sont éligibles à une prise en charge par l'OPCO de l'établissement.
Une réunion de sensibilisation suffit-elle à faire adopter les bons réflexes ?
Non : une consigne comprise en réunion mais jamais rappelée s'oublie en quelques semaines. Nous privilégions des fiches pédagogiques affichées sur les lieux de passage et un accompagnement dans la durée pour ancrer une véritable culture de la protection des données.
Nos équipes utilisent des outils d'IA comme ChatGPT, est-ce un problème ?
Pas en soi, mais cela doit être cadré : outils autorisés, ce qu'on peut y déposer ou non, vérification des paramétrages, charte d'usage, et inscription au registre des traitements dès que des données d'usager ou de santé sont concernées.
Faut-il un contrat avec chaque prestataire qui accède aux données de nos usagers ?
Oui : éditeur du logiciel métier, hébergeur, laboratoire, prestataire de transport sanitaire… chaque sous-traitant doit être couvert par un contrat conforme à l'article 28 (DPA), et apparaître dans le registre des traitements.
Pré-diagnostic RGPD pour votre établissement
Un premier échange avec un DPO certifié pour situer votre établissement face aux exigences du référentiel CNIL secteur social et médico-social.