Des procédures qu'une équipe applique sans juriste sur place
Dans un EHPAD, la personne qui reçoit une demande d'accès au dossier n'est pas juriste. C'est une secrétaire d'accueil, une infirmière coordinatrice, parfois une aide-soignante à qui un fils demande, un dimanche après-midi, de voir le dossier de sa mère. La même réalité vaut pour un incident de sécurité : un ordinateur oublié déverrouillé, un dossier papier égaré, un courriel envoyé au mauvais destinataire.
Le RGPD prévoit des délais fermes : un mois pour répondre à une demande d'exercice des droits, soixante-douze heures pour notifier une violation de données à la CNIL lorsqu'elle présente un risque. Ces délais courent à partir du moment où l'établissement a connaissance du fait, donc souvent à partir du moment où un membre de l'équipe se retrouve seul devant la situation.
L'enjeu clé
Écrire des procédures qu'une professionnelle du soin ou de l'accueil peut appliquer immédiatement, sans lecture juridique ni appel à un expert extérieur.
Les situations qui surviennent réellement en établissement :
- La demande d'accès au dossier : un résident ou un proche souhaite consulter le dossier de soins, et il faut savoir qui peut légitimement y accéder et selon quelles modalités.
- La demande d'une famille en désaccord : plusieurs enfants réclament des informations, sans que tous aient la même qualité juridique à l'égard du résident.
- L'incident de sécurité : perte d'un document, envoi erroné, session laissée ouverte, vol de matériel, chacun demandant une réaction graduée.
- La sollicitation extérieure : un appel qui demande des informations sur un résident, avec un doute sur l'identité et la légitimité du demandeur.
Une fiche réflexe par situation, pas un manuel de droit
Nous avons construit, pour l'EHPAD Villette, des fiches courtes organisées par situation vécue et non par article du règlement. Chaque fiche part de ce que la personne a sous les yeux, indique le premier geste à poser, ce qu'il ne faut surtout pas faire, qui alerter et dans quel délai. Le raisonnement juridique reste en arrière-plan, dans un document de référence distinct.
Le dispositif remis à l'équipe :
- Une fiche par situation : demande d'accès, demande de rectification, incident de sécurité, sollicitation extérieure, chacune tenant sur une page.
- Une règle de qualification simple : des repères pour savoir si le demandeur est le résident, un proche habilité, un tuteur ou un tiers sans droit d'accès.
- Des modèles de courrier prêts : accusé de réception, demande de justificatif d'identité, réponse type, à adapter sans rédaction à partir de zéro.
- Un circuit d'alerte visible : qui prévenir en premier, sous quel délai, et quel registre renseigner en cas d'incident.
Le point de méthode
Une procédure que l'équipe ne comprend pas en trente secondes ne sera pas appliquée. Nous avons testé chaque fiche sur des cas soumis par les professionnelles elles-mêmes avant de la valider.
Des cas réels vers des gestes écrits
Recueil des situations vécues
Nous avons demandé à l'équipe les cas qu'elle rencontre vraiment, et ceux devant lesquels elle hésite le plus.
Tri par type de réponse
Les situations ont été regroupées selon la réaction attendue : exercice de droits, incident de sécurité, demande extérieure.
Rédaction des fiches réflexes
Chaque famille de cas a donné lieu à une fiche courte, formulée dans les mots du métier, avec le geste immédiat et le délai applicable.
Mise à l'épreuve et ajustement
Les fiches ont été relues avec les professionnelles concernées, puis reformulées là où une hésitation subsistait.
Une équipe qui sait quoi faire dans l'instant
Le personnel d'accueil et de soin dispose d'un support consultable au moment où la situation se présente. Une demande d'accès au dossier ne reste plus en attente d'un avis, elle suit un circuit écrit dès sa réception, ce qui protège aussi le délai de réponse d'un mois.
Ce que l'établissement a gagné :
- De la réactivité : le premier geste est posé sans attendre, et l'horodatage de la demande est tracé dès l'arrivée.
- De la sécurité pour l'équipe : la professionnelle sait ce qu'elle peut dire, ce qu'elle doit refuser et à qui transmettre.
- Une trace systématique : chaque demande et chaque incident sont consignés, ce qui alimente le registre des violations.
Livrables remis :
- Fiches réflexes par situation, format une page, affichables et consultables au poste
- Procédure de réponse aux demandes d'exercice des droits avec modèles de courriers
- Procédure de gestion des violations de données et registre associé
- Repères de qualification du demandeur, du résident au tiers sans droit d'accès
- Circuit d'alerte interne avec interlocuteurs et délais
Pourquoi l'applicabilité compte autant que la règle
Un établissement médico-social fonctionne en continu, week-ends et nuits comprises, avec des équipes qui changent. Une conformité qui repose sur la présence d'une personne experte ne tient pas à cette réalité. Ce qui tient, c'est une procédure suffisamment simple pour être appliquée par la personne présente, quelle qu'elle soit.
Des procédures applicables permettent de :
- Respecter les délais : un mois pour les droits, soixante-douze heures pour notifier une violation, cela suppose une réaction immédiate sur le terrain.
- Éviter les réponses improvisées : communiquer une information à un proche qui n'y a pas droit crée un risque, refuser à tort en crée un autre.
- Intégrer les nouveaux arrivants : un remplacement ou un renfort dispose du même support que l'équipe en place.
À retenir
La meilleure procédure RGPD est celle qu'une aide-soignante applique correctement un dimanche soir sans appeler personne.
Envie du même accompagnement ?
Faites le point avec une juriste dédiée : 30 minutes pour identifier vos écarts et bâtir votre plan d'action.
