RGPD et données de santé : les 5 erreurs des agences d'aide à domicile

Données de santé : de quoi parle-t-on dans une agence ?

Le RGPD en aide à domicile ne se limite pas aux adresses email et aux fiches de contact. Une agence traite quotidiennement des données de santé à caractère personnel au sens de l'article 4, point 15 du règlement général sur la protection des données :

• les grilles AGGIR et niveaux GIR, qui révèlent le degré de perte d'autonomie ;
• les plans d'aide APA et PCH, qui documentent une situation de dépendance ou de handicap ;
• les observations du cahier de liaison : alimentation, mobilité, humeur, prise de traitement ;
• les signalements : chutes, malaises, hospitalisations ;
• les pathologies et allergies mentionnées dans le dossier pour sécuriser les interventions.

Ces données relèvent de l'article 9 du RGPD : leur traitement est par principe interdit, sauf exceptions strictement encadrées — dont la prise en charge sociale et médico-sociale fait partie. Concrètement, votre agence a le droit de traiter ces données pour accomplir sa mission, mais dans un cadre exigeant : collecte minimale, accès restreints, sécurité renforcée, hébergement certifié, durées limitées.

Et l'enjeu n'est pas théorique. La CNIL contrôle aussi le secteur social et médico-social, et les sanctions peuvent atteindre des montants significatifs. Mais au-delà de la sanction, l'enjeu est celui de la confiance : les familles vous confient ce qu'elles ont de plus intime. La conformité RGPD en est la traduction juridique.

Passons aux cinq erreurs que l'on retrouve le plus souvent sur le terrain.

Erreur n° 1 — Collecter trop, par habitude

C'est l'erreur la plus répandue, parce qu'elle part d'une bonne intention : « plus on en sait, mieux on accompagne ». Le dossier client accumule alors le diagnostic complet du bénéficiaire, l'historique médical détaillé, des comptes-rendus hospitaliers entiers — parfois recopiés dans une fiche de liaison consultable par tous les intervenants.

Le RGPD pose le principe inverse : la minimisation (article 5). Vous ne collectez que les données nécessaires à la finalité du traitement. Pour organiser une intervention d'aide à la toilette en sécurité, l'intervenant a besoin de savoir que la personne a des troubles de l'équilibre et une prothèse de hanche — pas de connaître l'intégralité de son parcours oncologique.

Comment corriger

• Passez en revue vos formulaires de collecte (dossier d'admission, fiche d'évaluation) : pour chaque champ, posez la question « en quoi cette information est-elle nécessaire à la prestation ? ». Si la réponse est floue, supprimez le champ.
• Distinguez les niveaux d'information : ce que voit l'intervenant (consignes opérationnelles de sécurité), ce que voit le responsable de secteur (évaluation, plan d'aide), ce qui n'a pas sa place dans le dossier (diagnostics détaillés non nécessaires).
• Formez les équipes à la rédaction du cahier de liaison : des observations factuelles et utiles à la continuité de l'accompagnement, pas de commentaires médicaux ni de jugements.

La minimisation n'appauvrit pas l'accompagnement : elle le professionnalise. Une fiche de liaison qui va à l'essentiel est aussi une fiche que l'intervenant lit vraiment.

Erreur n° 2 — Partager avec la famille sans cadre

« C'est sa fille, évidemment qu'on lui dit tout. » Ce réflexe, humainement compréhensible, est juridiquement faux : le lien de parenté n'est pas une habilitation. Le bénéficiaire, même âgé, même dépendant, reste titulaire de ses droits sur ses données. Tout aidant n'a pas vocation à tout voir — et les configurations familiales complexes (fratries en désaccord, proches éloignés, conflits) rendent le sujet encore plus sensible.

Cela ne signifie pas exclure les familles — au contraire, les aidants sont des partenaires essentiels de l'accompagnement. Cela signifie cadrer le partage :

• Des droits d'accès explicites : qui, dans l'entourage, accède à quoi (planning, comptes-rendus, cahier de liaison, factures) ? La réponse doit être définie, avec l'accord du bénéficiaire ou de son représentant légal, et enregistrée.
• Des droits différenciés : la personne de confiance ou le tuteur n'a pas les mêmes prérogatives qu'un neveu qui appelle deux fois par an. Un tuteur ou curateur exerce des droits étendus, dans les limites de son mandat.
• Des accès traçables et révocables : on doit pouvoir dire qui a consulté quoi, et retirer un accès quand la situation change.
• Des canaux sécurisés : les nouvelles sur l'état de santé d'un bénéficiaire n'ont rien à faire dans un SMS ou un groupe WhatsApp. Un cahier de liaison numérique avec gestion des droits d'accès règle le problème à la racine.

Erreur n° 3 — Ignorer ses sous-traitants (DPA, HDS)

Votre agence est responsable de traitement au sens du RGPD. Votre éditeur de logiciel, votre hébergeur, votre prestataire de paie, votre outil d'emailing sont vos sous-traitants — et l'article 28 du RGPD vous impose de ne travailler qu'avec des sous-traitants présentant des « garanties suffisantes », formalisées dans un contrat de sous-traitance (le fameux DPA, Data Processing Agreement).

Pour les données de santé, une exigence supplémentaire s'ajoute : l'hébergement doit être assuré par un hébergeur certifié HDS (Hébergeur de Données de Santé), conformément au Code de la santé publique. Le référentiel HDS est passé en version 2, avec notamment l'obligation d'un hébergement physique dans l'Espace Économique Européen — nous y consacrons un guide complet sur la certification HDS pour les SAAD.

Comment corriger

• Cartographiez vos sous-traitants : listez tous les outils et prestataires qui touchent des données de bénéficiaires ou de salariés.
• Réclamez les DPA : chaque sous-traitant doit avoir signé un contrat conforme à l'article 28. Sans DPA, vous êtes en défaut, même si le prestataire est irréprochable techniquement.
• Vérifiez la chaîne HDS : demandez à votre éditeur où sont hébergées les données et si le certificat HDS couvre les activités concernées. Un éditeur sérieux répond en une ligne, preuve à l'appui.
• Documentez tout dans votre registre des traitements (article 30 du RGPD) : c'est la première pièce demandée en cas de contrôle.

Erreur n° 4 — Conserver sans limite

Le dossier d'un client parti il y a huit ans, avec sa grille AGGIR, son plan d'aide et trois ans de cahier de liaison, dort encore dans le logiciel ou dans une armoire. « On ne sait jamais, au cas où. » C'est une infraction au principe de limitation de la conservation (article 5 du RGPD) : les données ne peuvent être conservées, sous une forme permettant l'identification, que le temps nécessaire à la finalité du traitement.

Il n'existe pas de durée unique : chaque catégorie de données a la sienne, déterminée par la finalité et par les obligations légales — les documents contractuels et comptables obéissent à leurs propres règles de prescription, les données de santé à des exigences spécifiques. La CNIL publie des guides et référentiels sur les durées de conservation qui servent de base pour construire votre propre grille.

Comment corriger

• Établissez un référentiel de durées par catégorie : données du dossier client actif, dossier clôturé, données de facturation, données RH, candidatures.
• Organisez le cycle de vie : base active pendant la prestation, archivage intermédiaire sécurisé et à accès restreint après la clôture, puis suppression ou anonymisation à l'échéance.
• Planifiez des purges régulières : une revue annuelle des dossiers clôturés suffit souvent, à condition qu'elle ait lieu vraiment. Un logiciel capable d'anonymiser un dossier à la demande rend l'exercice indolore.

Conserver moins, c'est aussi risquer moins : chaque dossier obsolète encore en base est une donnée de plus exposée en cas de violation de données.

Erreur n° 5 — Oublier les droits des personnes

Un bénéficiaire — ou son représentant légal — peut à tout moment exercer ses droits : accès à ses données (article 15), rectification (article 16), effacement (article 17), limitation, opposition. Beaucoup d'agences n'ont tout simplement aucune procédure pour y répondre. Or le RGPD impose de répondre dans un délai d'un mois (prolongeable dans certains cas complexes) — un délai vite dépassé quand la demande arrive pendant les congés et que personne ne sait qui doit la traiter.

Comment corriger

• Désignez un référent : une personne (ou un DPO externe) reçoit et pilote les demandes d'exercice de droits.
• Écrivez la procédure : comment vérifier l'identité du demandeur, quelles données rassembler, sous quel format répondre, dans quel délai. Un modèle de réponse préparé à l'avance fait gagner des jours.
• Outillez l'export et l'effacement : si votre logiciel sait produire l'export des données d'une personne et anonymiser un dossier, la demande se traite en heures, pas en semaines.
• Informez en amont : la notice d'information remise avec le DIPC doit mentionner les traitements réalisés, leurs finalités et les droits de la personne. Une personne bien informée exerce ses droits sereinement — et vous les traitez de même.

Comment Alma intègre le RGPD dès la conception

La conformité ne peut pas reposer uniquement sur des procédures : l'outil doit la porter. Alma a été conçu selon le principe de protection des données dès la conception (« privacy by design »), avec des fonctionnalités disponibles dès aujourd'hui :

• Hébergement certifié HDS : les données sont hébergées sur AWS région Paris (eu-west-3), physiquement dans l'Espace Économique Européen, chez un hébergeur certifié HDS.
• Chiffrement : chiffrement en transit (HTTPS/TLS) et au repos, avec chiffrement applicatif des champs sensibles.
• Contrôle d'accès par rôle : 9 rôles et 6 périmètres d'accès déterminent qui voit quoi — un intervenant n'accède pas aux mêmes informations qu'un responsable de secteur, et le portail famille applique des droits d'accès propres à chaque proche.
• Traçabilité : les actions sensibles sur les données sont journalisées (qui, quoi, quand) dans une piste d'audit.
• Droits des personnes outillés : l'export des données personnelles (droit d'accès, article 15) et l'anonymisation d'un dossier (droit à l'effacement, article 17) sont des fonctions intégrées à la plateforme.
• Authentification renforcée : double authentification TOTP pour les comptes administrateurs.

Ces fonctions ne remplacent pas votre registre des traitements ni vos procédures internes — mais elles transforment des obligations théoriques en gestes simples du quotidien.

Checklist : votre plan d'action conformité

1. Cartographier les traitements et tenir le registre de l'article 30 à jour.
2. Minimiser : revoir formulaires et fiches de liaison, supprimer les champs non nécessaires.
3. Cadrer les accès famille : droits explicites, différenciés, tracés, révocables.
4. Sécuriser la sous-traitance : DPA signés, chaîne d'hébergement HDS vérifiée et documentée.
5. Définir les durées de conservation et planifier les purges annuelles.
6. Écrire la procédure d'exercice des droits et désigner un référent.
7. Informer bénéficiaires et familles (notice d'information, DIPC).
8. Former les équipes : rédaction du cahier de liaison, mots de passe, signalement des incidents.

La conformité RGPD n'est pas une contrainte administrative de plus : c'est la traduction juridique de la confiance que les familles accordent à votre agence. Et dans un secteur où la réputation se construit par le bouche-à-oreille, cette confiance est votre premier actif.

Consulter nos tarifs · Découvrir les fonctionnalités