Des données d'action sociale parmi les plus sensibles qu'une administration détienne
Le Département est le chef de file de l'action sociale. À ce titre, il détient par nature des informations sur les situations les plus fragiles d'un territoire : l'aide sociale à l'enfance suit des mineurs confiés et leur environnement familial, l'autonomie instruit l'allocation personnalisée d'autonomie et les dossiers de la maison départementale des personnes handicapées, l'insertion accompagne les allocataires du revenu de solidarité active.
Ces trois politiques mobilisent des données de santé, des évaluations sociales, des informations sur la vie familiale et des éléments de ressources. Elles relèvent pour l'essentiel des catégories particulières de l'article 9 du RGPD ou s'en approchent de très près. L'enjeu propre à une collectivité départementale est donc de faire tenir ensemble une exigence de protection élevée et un besoin réel de coordination entre professionnels.
L'enjeu clé
En action sociale, la question n'est pas seulement qui a le droit de savoir, mais quoi exactement. Le partage d'informations entre professionnels est nécessaire pour accompagner, et strictement borné par le secret professionnel.
Les exigences propres à l'action sociale départementale se superposent :
- La protection de l'enfance : les informations préoccupantes, les évaluations et les mesures de placement portent sur des mineurs et sur des tiers, ce qui appelle une rigueur particulière sur les accès et les durées.
- L'autonomie : APA et MDPH reposent sur des évaluations médicales et médico-sociales, donc sur des données de santé qui bénéficient d'une protection renforcée.
- L'insertion : l'accompagnement des allocataires du RSA croise ressources, situation familiale et parcours professionnel, avec des échanges nourris avec les organismes partenaires.
- Le partage entre services et partenaires : le secret professionnel et le cadre de l'information partagée déterminent ce qui peut circuler, entre qui, et pour quelle finalité.
- L'analyse d'impact : un traitement à grande échelle de données sensibles concernant des personnes vulnérables réunit plusieurs critères qui rendent l'AIPD obligatoire.
Cadrer les accès, borner le partage, documenter les risques
Nous avons abordé chaque politique sociale par son parcours d'accompagnement : qui reçoit la personne, qui évalue, qui décide, qui accompagne ensuite. Cette lecture par le parcours fait apparaître les points où une information change de main, et c'est précisément là que se joue la conformité.
L'accompagnement a porté sur :
- La qualification des traitements sensibles : chaque traitement d'action sociale rattaché à sa finalité, à sa base légale au titre de la mission d'intérêt public et, pour les données de santé, à la condition de levée d'interdiction de l'article 9.
- Les habilitations par métier : une matrice d'accès construite par service et par fonction, de manière qu'un dossier d'enfance ne soit pas consultable depuis un poste d'instruction de l'autonomie.
- Le cadre du partage d'informations : des règles écrites distinguant ce qui relève du secret professionnel, ce qui peut être partagé entre professionnels concourant à la même mission, et ce qui suppose l'information de la personne.
- Les analyses d'impact : des AIPD menées sur les traitements réunissant les critères de l'article 35, avec description des risques pour les personnes et mesures de réduction.
- Les durées et l'archivage : des durées de conservation établies par type de dossier, articulées avec les obligations d'archivage public propres aux départements.
Des parcours d'accompagnement aux analyses d'impact
Cartographie par politique sociale
Enfance, autonomie et insertion ont été traitées séparément, chacune avec ses services instructeurs, ses logiciels métiers et ses partenaires extérieurs.
Analyse des flux entre acteurs
Les échanges entre services départementaux, et avec les partenaires institutionnels et associatifs, ont été recensés pour identifier la finalité et le fondement de chaque transmission.
Cadrage des accès et du partage
Définition des habilitations par métier, formalisation des règles d'information partagée et des consignes de confidentialité applicables aux travailleurs sociaux.
Analyses d'impact et plan de réduction
AIPD conduites sur les traitements les plus exposés, avec un plan d'action hiérarchisé sur les mesures techniques et organisationnelles.
Appropriation par les équipes
Restitution auprès des directions concernées et sensibilisation des professionnels aux réflexes du quotidien sur la donnée sociale.
Un accompagnement social qui protège aussi les données
Les directions de l'action sociale disposent d'un cadre écrit qui dit, pour chaque politique, quelles données sont traitées, sur quel fondement, qui peut y accéder et ce qui peut être partagé. Les professionnels y trouvent une réponse aux questions qu'ils se posent réellement, en particulier sur ce qu'ils peuvent dire à un partenaire.
Les effets concrets :
- Des accès cloisonnés : les habilitations suivent le besoin de savoir de chaque métier, sans ouverture transversale sur les dossiers sensibles.
- Un partage sécurisé : les échanges avec les partenaires reposent sur une finalité identifiée et un cadre juridique explicite, plutôt que sur l'usage.
- Des risques documentés : les AIPD donnent à la collectivité une vision écrite des risques pour les personnes accompagnées et des mesures prises pour les réduire.
- Des durées maîtrisées : chaque type de dossier social a sa durée d'utilité administrative et son sort final d'archivage.
Livrables remis :
- Registre des traitements des directions de l'action sociale
- Analyses d'impact relatives à la protection des données sur les traitements les plus sensibles
- Matrice des habilitations par service et par fonction
- Doctrine de partage d'informations entre professionnels et avec les partenaires
- Politique de durées de conservation et de versement aux archives départementales
- Mentions d'information destinées aux personnes accompagnées et aux représentants légaux
- Procédure de réponse aux demandes d'exercice des droits en contexte social
Pourquoi la protection des données fait partie du travail social
Une famille suivie par l'aide sociale à l'enfance, une personne âgée qui demande l'APA, un allocataire accompagné vers l'emploi confient à la collectivité ce qu'ils ne diraient nulle part ailleurs. La rigueur sur les accès et sur le partage n'est pas une contrainte imposée au travail social : elle en conditionne la qualité, parce qu'un accompagnement repose d'abord sur la confiance.
Ce que le Département sécurise :
- Les personnes les plus vulnérables : mineurs confiés, personnes en perte d'autonomie et allocataires figurent parmi les publics que le RGPD protège le plus étroitement.
- Les professionnels eux-mêmes : des règles de partage écrites protègent le travailleur social qui doit décider, dans l'urgence, ce qu'il peut transmettre.
- La collectivité en cas de contrôle : les traitements sociaux de grande ampleur figurent parmi les priorités régulières de la CNIL, et l'AIPD est la pièce qui démontre la maîtrise des risques.
À retenir
En action sociale, le point sensible n'est presque jamais la collecte initiale, qui est justifiée par la mission. C'est la circulation de l'information ensuite : entre services, entre partenaires, dans la durée.
Envie du même accompagnement ?
Faites le point avec une juriste dédiée : 30 minutes pour identifier vos écarts et bâtir votre plan d'action.
