Beaucoup de bonnes pratiques, encore peu d'écrit
Dans un établissement médico-social, une large part de ce que demande le RGPD est déjà là. Les dossiers de soins sont rangés, les armoires fermées, les accès informatiques limités aux soignants, les dossiers de résidents sortis archivés puis détruits. Ces réflexes viennent du métier : le secret professionnel et la culture du soin les ont installés bien avant le règlement.
Le point sur lequel porte l'attention de la CNIL est ailleurs. L'article 5.2 du RGPD pose le principe d'accountability : le responsable de traitement doit être en mesure de démontrer sa conformité. Une pratique excellente mais non documentée reste, du point de vue du contrôle, une pratique invérifiable. C'est l'écrit qui fait la preuve.
L'enjeu clé
Transformer un savoir-faire installé dans les habitudes de l'équipe en documentation opposable, sans réinventer des pratiques qui fonctionnent déjà.
Ce que l'inventaire initial met généralement en évidence dans un EHPAD :
- Des règles d'accès réelles mais orales : chacun sait qui consulte quoi dans le dossier de soins, sans que cela soit formalisé dans une matrice d'habilitations.
- Des durées de conservation appliquées par usage : les dossiers sont conservés puis éliminés selon une coutume d'établissement, pas selon une grille écrite par catégorie.
- Des traitements peu visibles : registre des visiteurs, listes d'animation, photographies des temps collectifs, tableaux de suivi tenus en interne.
- Des procédures implicites : l'équipe sait à qui s'adresser en cas de difficulté, mais la chaîne n'est décrite nulle part.
Partir de l'existant plutôt que d'un modèle théorique
Nous avons commencé par un inventaire exhaustif des traitements effectivement en place à l'EHPAD La Barre et Le Grand, y compris les plus modestes. Chaque pratique observée a été décrite telle qu'elle est, puis rattachée à une finalité, une base légale et une durée de conservation. La conformité s'est ainsi construite sur le réel, pas sur un registre type téléchargé et rempli approximativement.
La méthode d'inventaire appliquée :
- Le recensement large : tous les traitements identifiés, du dossier de soins aux outils annexes tenus sur tableur ou sur papier.
- La description avant la correction : chaque pratique écrite telle qu'elle existe, avant de juger s'il faut l'ajuster.
- La qualification juridique : finalité, base légale, catégories de données, destinataires et durée posés traitement par traitement.
- Les ajustements ciblés : seuls les écarts réellement identifiés ont donné lieu à une recommandation, sans remise en cause de ce qui fonctionne.
Le point de méthode
Un registre construit à partir d'un modèle générique décrit un établissement qui n'existe pas. Un registre construit à partir de l'inventaire décrit celui-ci, et c'est ce que le contrôle vient vérifier.
De l'inventaire terrain au document de preuve
Inventaire des traitements
Nous avons parcouru les services pour recenser toutes les données traitées : dossier de soins, admission, facturation, ressources humaines, animation, visiteurs.
Description de l'existant
Chaque pratique a été consignée telle qu'elle est menée, avec les supports et les personnes qui y accèdent réellement.
Qualification et mise en forme
L'inventaire a été transformé en registre des activités de traitement structuré, avec les mentions exigées par l'article 30 du RGPD.
Identification des écarts résiduels
Les rares points nécessitant un ajustement ont été isolés et priorisés, avec une recommandation par sujet.
Un savoir-faire devenu démontrable
L'établissement peut désormais présenter par écrit ce que son équipe faisait déjà correctement. Le registre décrit les traitements réels, avec leurs finalités et leurs durées, et l'inventaire de départ reste disponible comme trace de la démarche.
Ce qui a changé concrètement :
- La preuve est constituée : l'accountability de l'article 5.2 repose sur des documents et non sur une pratique orale.
- Les traitements discrets sont sortis de l'ombre : listes annexes, registre des visiteurs et tableaux internes figurent désormais au registre.
- Les priorités sont claires : les quelques points à ajuster sont identifiés et hiérarchisés, sans chantier tous azimuts.
Livrables remis :
- Inventaire détaillé des traitements observés, service par service
- Registre des activités de traitement conforme à l'article 30 du RGPD
- Grille des durées de conservation par catégorie de document
- Matrice d'habilitations formalisant les accès déjà pratiqués
- Liste priorisée des ajustements recommandés
Pourquoi l'écrit est le cœur de l'obligation
Le RGPD n'impose pas seulement de bien faire, il impose de pouvoir le prouver. En cas de contrôle, de plainte ou de violation de données, c'est la documentation qui est examinée en premier. Un établissement qui protège bien les données de ses résidents mais ne le documente pas se retrouve à devoir reconstituer dans l'urgence ce qu'il aurait pu écrire sereinement.
Documenter l'existant permet de :
- Satisfaire l'accountability : l'article 5.2 exige une conformité démontrable, pas seulement effective.
- Sécuriser la transmission : un départ ou un remplacement ne fait plus disparaître les règles avec la personne qui les connaissait.
- Gagner du temps en contrôle : les documents attendus sont prêts, ce qui évite l'improvisation.
À retenir
Dans beaucoup d'EHPAD, la conformité n'est pas à créer mais à écrire. L'inventaire initial révèle ce qui tient déjà, et le registre le rend opposable.
Envie du même accompagnement ?
Faites le point avec une juriste dédiée : 30 minutes pour identifier vos écarts et bâtir votre plan d'action.
