Les prestataires qui touchent aux données des résidents
Un EHPAD ne traite presque aucune donnée seul. Le logiciel de soins qui héberge le dossier du résident appartient à un éditeur. La télétransmission vers l'assurance maladie passe par un concentrateur. La paie est confiée à un cabinet ou à un prestataire spécialisé. Le serveur qui contient les données de santé est hébergé chez un tiers, qui doit être certifié hébergeur de données de santé.
Chacun de ces acteurs est un sous-traitant au sens de l'article 28 du RGPD : il traite des données pour le compte de l'établissement, qui reste responsable de traitement. L'article impose un contrat écrit fixant l'objet, la durée, les instructions, les obligations de sécurité, le sort des données en fin de contrat et le régime de la sous-traitance ultérieure.
L'enjeu clé
Savoir exactement qui accède aux données des résidents en dehors de l'établissement, et disposer pour chacun d'un contrat qui répond aux exigences de l'article 28.
Les catégories de sous-traitants présentes dans un établissement médico-social :
- L'éditeur du logiciel de soins : il accède au dossier du résident pour la maintenance et le support, ce qui suppose un encadrement strict des interventions à distance.
- Le circuit de télétransmission : les flux vers l'assurance maladie et les organismes financeurs transitent par des intermédiaires techniques.
- Le prestataire de paie et de RH : il traite les données des salariés, avec ses propres sous-traitants éventuels.
- L'hébergeur de données de santé : dès lors que des données de santé sont hébergées pour le compte de l'établissement, la certification HDS est requise.
Un contrat par prestataire, une garantie vérifiée par prestataire
Nous avons cartographié l'ensemble des prestataires qui accèdent aux données de l'EHPAD Bellefontaine, puis vérifié pour chacun le contenu du cadre contractuel. Là où le contrat du prestataire pouvait être complété au regard de l'article 28, un avenant ou une annexe de protection des données a été préparé.
Le travail mené prestataire par prestataire :
- Recensement et rattachement : chaque prestataire relié aux traitements qu'il sert, avec la nature des données auxquelles il accède.
- Revue des clauses existantes : contrats et conditions générales examinés au regard des mentions obligatoires de l'article 28.
- Vérification de la certification HDS : contrôle de la certification de l'hébergeur et du périmètre effectivement couvert par celle-ci.
- Encadrement des accès distants : conditions d'intervention de la maintenance sur le logiciel de soins, traçabilité et limitation des droits d'accès.
Le point de méthode
Une clause RGPD dans un contrat ne suffit pas si elle ne dit rien du sort des données en fin de contrat ni de la sous-traitance ultérieure. Ce sont précisément les deux points les plus souvent absents.
Du recensement des flux à la mise à jour contractuelle
Cartographie des flux sortants
Nous avons suivi les données hors de l'établissement : logiciel de soins, télétransmission, paie, hébergement, outils annexes.
Collecte des pièces contractuelles
Contrats, conditions générales, annexes de protection des données et attestations de certification ont été rassemblés.
Analyse au regard de l'article 28
Chaque contrat de prestataire a été confronté aux mentions obligatoires, pour repérer celles qui restaient à compléter.
Préparation des compléments
Avenants, annexes de protection des données et demandes de justificatifs ont été rédigés pour les prestataires concernés.
Une chaîne de sous-traitance lisible
L'établissement connaît la liste de ses sous-traitants, sait quelles données chacun traite et dispose pour chacun d'un cadre contractuel identifié. Le statut de l'hébergement des données de santé est documenté, attestation de certification à l'appui.
Ce que la direction a gagné :
- Une visibilité complète : plus de prestataire accédant aux données sans être rattaché à un traitement du registre.
- Des clauses alignées : les contrats comportent les mentions exigées par l'article 28, y compris la restitution ou la suppression en fin de contrat.
- Un hébergement documenté : la certification HDS et son périmètre sont vérifiés et conservés au dossier.
Livrables remis :
- Cartographie des sous-traitants et des flux de données sortants
- Grille d'analyse des clauses au regard de l'article 28 du RGPD
- Modèle d'annexe de protection des données pour les nouveaux prestataires
- Avenants et demandes de complément préparés pour les contrats concernés
- Dossier de vérification de la certification HDS de l'hébergement
Pourquoi la responsabilité ne se délègue pas avec la donnée
Confier ses données à un prestataire ne transfère pas la responsabilité du traitement. En cas de violation chez un sous-traitant, l'établissement reste responsable devant ses résidents et devant la CNIL, et doit pouvoir démontrer qu'il avait choisi un prestataire présentant des garanties suffisantes et encadré son intervention par contrat.
Encadrer les sous-traitants permet de :
- Répartir clairement les rôles : en cas d'incident, le contrat dit qui alerte qui et dans quel délai, ce qui conditionne la notification.
- Maîtriser la sortie de contrat : le devenir des données à la fin de la relation est réglé à l'avance, pas négocié dans l'urgence d'un changement d'outil.
- Sécuriser l'hébergement de santé : la certification HDS est une obligation propre au secteur, indépendante du RGPD mais indissociable de lui.
À retenir
Le dossier du résident est souvent hébergé ailleurs que dans l'établissement. C'est le contrat qui fait alors la protection, autant que le logiciel.
Envie du même accompagnement ?
Faites le point avec une juriste dédiée : 30 minutes pour identifier vos écarts et bâtir votre plan d'action.
