Dossier résident informatisé : les règles RGPD en EHPAD

Dans un EHPAD, un foyer d'hébergement ou un service d'aide à domicile, le dossier de la personne accompagnée a quitté l'armoire pour le logiciel. Le dossier résident informatisé rassemble admission, projet personnalisé, traitements et contacts. Cette concentration engage l'établissement, car une partie de ces informations relève des données de santé, que le RGPD range parmi les données sensibles.

Cet article suit le dossier de l'admission à l'archivage, à partir du référentiel CNIL du secteur social et médico-social et des travaux de l'Agence du numérique en santé sur le dossier usager informatisé (DUI), nom du même outil dans le programme national ESMS numérique.

Que contient le dossier d'un résident ?

Le dossier regroupe trois familles d'informations : administratives, d'accompagnement et de santé. L'Agence du numérique en santé décrit le DUI comme regroupant « des informations relatives à sa gestion administrative, à son accompagnement et sa santé ».

• Administratif : identité, coordonnées, situation familiale, mesure de protection juridique, couverture sociale, personne à prévenir.
• Accompagnement : projet personnalisé, évaluations, transmissions des équipes, habitudes de vie.
• Santé : traitements, ordonnances, comptes rendus, degré de dépendance, informations sur le handicap.

Le référentiel CNIL du 11 mars 2021 pose des limites : le NIR n'est enregistré que pour les échanges avec les professionnels de santé ou la sécurité sociale, les convictions religieuses qu'avec le consentement exprès de la personne. Pour les données de santé, l'article 9 du RGPD pose une interdiction, levée lorsque le traitement est nécessaire à la prise en charge sanitaire ou sociale et réalisé par un professionnel soumis au secret ou sous sa responsabilité. Un dossier résident informatisé ne repose donc pas sur le consentement du résident mais sur la mission de l'établissement.

Qui peut ouvrir le dossier ?

Seules les personnes habilitées, pour la partie du dossier dont elles ont besoin. Le secret professionnel s'impose à tous les intervenants, y compris sociaux et médico-sociaux, et leur partage d'informations est encadré par l'article L. 1110-4 du Code de la santé publique.

La CNIL demande que ces habilitations soient documentées et les accès tracés. Dans le logiciel, cela se traduit par des profils : l'accueil ne voit pas les ordonnances, l'aide-soignante consulte les transmissions, le médecin coordonnateur accède à tout le volet médical.

Au sein d'une même équipe de soins, les informations strictement nécessaires à la coordination, à la continuité des soins ou au suivi médico-social et social circulent, la personne étant informée. Avec un professionnel extérieur à l'équipe, le partage requiert son consentement préalable, et elle peut s'y opposer à tout moment.

Où héberger le dossier ?

Lorsque le logiciel est hébergé par un prestataire extérieur et contient des données de santé, cet hébergeur de données de santé doit être certifié, en application de l'article L. 1111-8 du Code de la santé publique. Le référentiel CNIL le rappelle pour le médico-social.

L'établissement vérifie le certificat HDS de l'éditeur ou de son hébergeur, son périmètre et sa validité. Le programme ESMS numérique, piloté par la CNSA, ajoute un repère : les solutions de dossier résident informatisé peuvent obtenir un référencement Ségur délivré par l'ANS, qui atteste d'exigences de sécurité et d'interopérabilité. Ce référencement complète la vérification HDS sans la remplacer.

Comment informer le résident et ses proches ?

L'information est due à la personne accompagnée et, le cas échéant, à son représentant légal, au moment de la collecte, par écrit et de préférence complétée à l'oral. Elle précise qui tient le dossier, pourquoi, qui y accède et combien de temps.

Le référentiel CNIL exige une information « dans un langage compréhensible », adaptée aux personnes âgées, en situation de handicap ou dont le discernement peut être altéré. Le livret d'accueil et le contrat de séjour en sont les supports naturels. Lorsqu'un consentement est sollicité, la CNIL appelle à la plus grande prudence.

Combien de temps conserver le dossier ?

La CNIL recommande de ne pas garder les données d'accompagnement en base active au-delà de deux ans après le dernier contact, tandis que le dossier médical se conserve vingt ans après le dernier séjour, selon l'article R. 1112-7 du Code de la santé publique.

Le référentiel des durées de conservation de novembre 2023 et sa fiche pratique donnent la méthode : ne garder en base active que ce qui sert encore à l'accompagnement, archiver le reste en accès restreint et prévoir une purge automatique quand le logiciel le permet. Un dossier résident informatisé bien paramétré distingue donc le volet médical, soumis à sa durée de conservation propre, du volet social, qui ne reste pas ouvert des années après le départ de la personne.

Comment le résident ou sa famille accèdent-ils au dossier ?

Le résident accède à son dossier à deux titres : le droit d'accès du RGPD et le droit, reconnu par la loi du 2 janvier 2002, à toute information ou document relatif à sa prise en charge. Un proche n'a pas d'accès automatique : il consulte le dossier comme représentant légal ou avec l'accord de la personne.

Le RGPD impose une réponse dans le mois, prolongeable de deux mois selon la complexité de la demande, et la remise d'une copie des données (articles 12 et 15). L'ANS distingue : pour un majeur sous tutelle, la demande est portée par le représentant légal ; sous curatelle ou sauvegarde de justice, la personne agit elle-même. La personne de confiance ou la personne à prévenir n'ont pas, par leur seule qualité, accès au dossier. La personne peut faire rectifier une information inexacte et s'opposer à un partage hors équipe de soins.

À retenir

• Le dossier mêle données administratives, d'accompagnement et de santé ; ces dernières relèvent de l'article 9 du RGPD et du secret professionnel.
• Les accès se définissent par profil ; le partage hors équipe de soins exige le consentement préalable de la personne.
• Un logiciel hébergé par un tiers avec des données de santé impose un hébergeur certifié HDS.
• Deux ans après le dernier contact en base active pour l'accompagnement, vingt ans après le dernier séjour pour le dossier médical.
• Le résident, ou son représentant légal, accède au dossier résident informatisé dans le mois ; la famille n'y accède pas de plein droit.