Un délégué à la protection des données qui connaît le dossier usager, les contrats de vos éditeurs et les attentes de la CNIL sur le médico-social.
*Pas pour la vitrine. Ce sont des établissements que nous accompagnons.
Sonia nous accompagne dans nos démarches RGPD avec professionnalisme, disponibilité et réactivité. Elle a également animé une sensibilisation auprès de nos collaborateurs et a relevé un véritable défi : rendre passionnant un sujet qui ne l'est pas forcément au premier abord ! (…) Les retours des participants ont été extrêmement positifs. Nous recommandons RGPD Start sans hésitation.
Oui, dans la grande majorité des cas : vous traitez des données de santé à grande échelle.
Oui, dans la grande majorité des cas : l'article 37.1.c rend la désignation obligatoire dès qu'un organisme traite à grande échelle des données de santé.
Un EHPAD qui suit l'état de santé et la dépendance de ses résidents est dans ce cas. La question n'est pas de savoir si vous êtes concerné, mais comment organiser la fonction sans y consacrer un poste.
Bien plus que le dossier de soins, et chaque flux a ses propres règles.
Un établissement médico-social traite bien plus que le dossier de soins. Chaque flux a ses propres règles de conservation et d'accès.
Logiciel de soins, télétransmission, paie : tous traitent pour votre compte, tous doivent être encadrés.
Logiciel de soins, télétransmission, gestion de paie : tous traitent des données pour votre compte. Ce sont des sous-traitants au sens de l'article 28.
Chacun doit être lié par un contrat précisant finalités, durées, sécurité et sort des données. En pratique, ces clauses manquent ou datent d'avant 2018.
La certification HDS (article L1111-8 du code de la santé publique) pèse sur qui héberge pour le compte de tiers : vérifier que votre éditeur est certifié suffit. Sauf si vous hébergez les données d'établissements juridiquement distincts : là, elle s'impose à vous.
Un cadre tout prêt pour le médico-social, non contraignant mais précieux en contrôle.
La délibération n° 2021-028 du 11 mars 2021 couvre le suivi des personnes âgées, en situation de handicap ou en difficulté : finalités admises, données pertinentes, durées et destinataires.
Il n'est pas contraignant et s'en écarter reste possible, à condition de le justifier. S'y conformer ne vaut pas quitus, mais la CNIL y voit une démarche sérieuse : en contrôle, c'est l'écart qu'il faut expliquer.
Un mois pour répondre. L'enjeu n'est pas juridique, il est organisationnel.
Le dossier d'une mère réclamé par sa fille, une information à corriger, un ancien salarié qui demande ses données : ces demandes arrivent à l'accueil, rarement au bon interlocuteur.
L'enjeu est organisationnel : qui répond, dans quel délai, et à qui. Un mois, prorogeable de deux si la demande est complexe. Passé ce délai, l'absence de réponse est un manquement et ouvre une réclamation devant la CNIL.
Le médico-social a ses référentiels, ses logiciels et ses demandes propres. Nous les connaissons.
L'article 37.1.c rend le DPO obligatoire dès qu'on traite des données de santé à grande échelle. Une juriste du secteur prend la fonction.
1 juriste
dédiée à votre établissement, désignée DPO auprès de la CNIL
« Nos logiciels sont agréés » vaut pour l'outil, pas pour l'usage. Chaque éditeur doit être encadré par un contrat article 28, que nous vérifions.
Art. 28
un contrat conforme par éditeur
La délibération n° 2021-028 fixe les finalités et durées admises dans le médico-social. Nous y alignons vos traitements et tenons le registre à jour.
2021-028
le référentiel de votre secteur
Une fille qui réclame le dossier de sa mère n'y a pas accès par principe. Nous écrivons la procédure que suivra votre accueil.
8 jours
pour communiquer les informations de santé
Le dossier usager, les contrats de vos éditeurs et les demandes des familles, traités par une juriste qui connaît le médico-social.
“J'ai particulièrement apprécié la qualité de nos échanges et de notre collaboration, ainsi que la disponibilité, la réactivité et le professionnalisme de Sonia. Ce fut un véritable plaisir de travailler à ses côtés tout au long de cette mission.”
Arnaud Barde
Directeur général d'Aloïs
Un DPO qui connaît le dossier usager, vos éditeurs et les attentes de la CNIL sur le secteur, sans créer le poste en interne.
Pour les entreprises de 15 à 49 employés
Pour les entreprises de 50 à 100 employés ou < 2 entités
Dans la grande majorité des cas, oui. L'article 37.1.c du RGPD impose la désignation lorsqu'un organisme traite à grande échelle des données de santé. Le règlement ne chiffre pas ce seuil, mais la CNIL retient que le suivi de l'état de santé et de la dépendance de l'ensemble des résidents constitue bien un traitement à grande échelle.
Non, si vos données sont hébergées chez un éditeur, ou par vous-même pour votre seul compte : la certification HDS pèse sur celui qui héberge pour le compte de tiers. Votre obligation est de vérifier que votre prestataire l'est, et de l'inscrire au contrat. En revanche, si vous hébergez aussi les données d'un autre établissement juridiquement distinct, vous devenez hébergeur de tiers et la certification s'impose.
Non. La délibération n° 2021-028 du 11 mars 2021 n'est pas contraignante : vous pouvez vous en écarter en le justifiant. La respecter ne vous couvre pas automatiquement, mais la CNIL y voit la marque d'une démarche sérieuse : en contrôle, c'est l'écart qu'il faut expliquer, pas la conformité.
Le résident lui-même, et les personnes qu'il a désignées. L'accès des proches n'est pas automatique : il dépend du mandat de protection, de la désignation d'une personne de confiance, ou de l'accord du résident. C'est une question à trancher avant qu'elle ne se pose à l'accueil.
Oui. Le RGPD admet un délégué externe, et c'est la voie la plus fréquente dans le secteur : la fonction demande une disponibilité réelle et une compétence juridique qu'un établissement mobilise rarement en interne à temps plein.
Rejoignez les entreprises qui nous font confiance pour sécuriser leurs données et gagner en sérénité.
