EHPAD maîtriser vos accès : Les EHPAD traitent chaque jour des données particulièrement sensibles relatives aux résidents : identité, santé, autonomie, habitudes de vie, situation familiale, données administratives, informations sociales, images ou données issues d’outils numériques.
Ces données ne restent pas toujours dans le dossier usager informatisé. Elles circulent aussi dans des fichiers de travail, des impressions, des exports, des messageries, des espaces partagés, des archives, des accès prestataires ou des solutions SaaS.
La conformité RGPD réelle se joue dans cette circulation quotidienne. Un établissement doit pouvoir démontrer que les données des résidents sont accessibles aux seules personnes habilitées, pour des finalités justifiées, pendant une durée maîtrisée, avec des garanties de sécurité et des traces exploitables.
Cet article s’adresse aux directions d’EHPAD, responsables qualité, cadres de santé, médecins coordonnateurs, référents RGPD et organismes gestionnaires qui souhaitent identifier les risques concrets liés aux données des résidents dans le fonctionnement quotidien de leur établissement.
Dans un EHPAD, la protection des données ne se limite pas à un registre des traitements, à une mention d’information remise lors de l’admission ou à une procédure conservée dans un dossier qualité. Elle se vérifie dans des situations très concrètes : un soignant qui consulte le dossier d’un résident, un agent administratif qui accède à une information, un prestataire qui intervient sur le logiciel métier, une famille qui demande des éléments, un fichier Excel créé pour organiser le travail des équipes ou encore un compte utilisateur qui reste actif après le départ d’un salarié.
Cette réalité est d’autant plus sensible que les données des résidents peuvent sortir du dossier usager informatisé. Elles se retrouvent parfois dans des tableaux de suivi, des transmissions, des impressions, des courriels, des sauvegardes, des espaces partagés, des accès prestataires ou des outils numériques intégrant de nouvelles fonctionnalités, y compris d’intelligence artificielle. Ces usages peuvent répondre à des besoins réels d’organisation, mais ils deviennent fragiles lorsqu’ils ne sont pas encadrés, tracés et révisés.
Le décret n° 2025-1395 du 29 décembre 2025 renforce cette actualité pour les établissements sociaux et médico-sociaux. Il prévoit que le contrat de séjour ou le document individuel de prise en charge comporte une annexe mentionnant l’accord de principe ou le refus de la personne accueillie, accompagnée ou de son représentant légal, notamment pour la collecte, la conservation et le traitement des données personnelles recueillies au cours de la prise en charge. Cette formalisation est importante, mais elle ne suffit pas à démontrer la conformité réelle de l’établissement.
Pour une direction d’EHPAD, l’enjeu n’est donc pas seulement de disposer de documents conformes. Il est de pouvoir prouver que les accès sont justifiés, que les fichiers parallèles sont maîtrisés, que les prestataires sont encadrés, que les durées de conservation sont appliquées, que les usages sensibles sont documentés et que les traces disponibles permettent de réagir en cas d’incident, de réclamation, d’évaluation HAS ou de contrôle.
L’objectif de cet article est de proposer une lecture terrain du RGPD en EHPAD : partir des pratiques réelles, identifier les angles morts les plus fréquents et montrer comment construire une conformité utile, pilotable et démontrable.
Les données des résidents ne restent pas toujours dans le DUI
Dans un EHPAD, le dossier usager informatisé constitue souvent le point d’entrée principal lorsqu’il s’agit de parler des données des résidents. Il centralise une partie importante des informations nécessaires à l’accompagnement, au suivi médical, à la coordination des équipes et à la continuité de la prise en charge. Mais il ne permet pas, à lui seul, de comprendre tous les lieux où les données circulent réellement.
Le fonctionnement quotidien d’un établissement repose rarement sur un seul outil. Les équipes utilisent le DUI, mais elles s’appuient aussi sur des tableaux de suivi, des fichiers Excel, des impressions temporaires, des transmissions entre professionnels, des courriels, des dossiers papier, des espaces partagés, des logiciels de planning, des outils de facturation, des solutions de téléassistance, des accès de maintenance ou des sauvegardes.
Ces supports peuvent répondre à un besoin opérationnel légitime. Un tableau facilite l’organisation d’un service. Une impression permet une transmission rapide. Un export aide la direction à piloter l’activité. Un dossier partagé fluidifie la coordination entre plusieurs professionnels. Le risque apparaît lorsque ces pratiques échappent au pilotage de l’établissement, lorsque les accès sont trop larges, lorsque les fichiers restent conservés sans durée définie ou lorsque personne ne sait précisément qui peut consulter quoi.
Une donnée extraite du DUI ne perd pas son caractère sensible parce qu’elle se retrouve dans un fichier Excel, dans un courriel ou dans une impression. Elle continue de concerner une personne accompagnée, souvent vulnérable, et doit rester protégée avec le même niveau d’attention. Un fichier créé pour préparer une réunion, une extraction utilisée pour du reporting interne ou une liste transmise à un prestataire restent des traitements de données personnelles dès lors qu’ils permettent d’identifier un résident, directement ou indirectement.
La première étape d’une conformité RGPD réellement opérationnelle consiste donc à regarder au-delà du dossier usager informatisé. L’établissement doit identifier les lieux où les données des résidents sont créées, consultées, copiées, transmises, stockées, archivées ou supprimées. Cette cartographie ne doit pas seulement décrire les traitements officiels. Elle doit refléter les usages réels des équipes, les outils effectivement utilisés, les fichiers parallèles, les accès périphériques et les circuits informels qui se sont parfois installés dans l’organisation.
Cette démarche ne vise pas à bloquer le travail des professionnels ni à supprimer tous les outils de suivi. Elle vise à sécuriser les pratiques utiles, à limiter les accès aux personnes qui en ont réellement besoin, à fixer des durées de conservation adaptées et à conserver des preuves suffisantes en cas d’incident, de réclamation d’un résident ou d’une famille, d’évaluation HAS ou de contrôle.
Pour une direction d’EHPAD, la première question est donc simple : l’établissement sait-il précisément où circulent les données des résidents, au-delà du DUI officiel ?
Ce risque n’est pas théorique. Une décision européenne concernant des maisons de retraite à Oslo montre ce qui peut se produire lorsque des fichiers de suivi utiles au quotidien se développent en dehors du dossier officiel, sans règles d’accès suffisamment maîtrisées ni traçabilité exploitable.
L’affaire Oslo : ce que les maisons de retraite doivent retenir
L’affaire norvégienne visant la ville d’Oslo constitue un signal européen utile pour les EHPAD, même si elle ne concerne pas un établissement français. Elle portait sur des maisons de retraite et des centres de santé dans lesquels des données relatives aux résidents étaient stockées, pendant plusieurs années, en dehors du système officiel de dossier médical électronique.
Les fiches de suivi en cause avaient été utilisées de 2007 à 2018. Elles contenaient des informations sur les besoins quotidiens des résidents et leurs protocoles de soins. Les personnes concernées pouvaient être identifiées par leur nom, leur numéro d’identification, leurs initiales ou leur numéro de chambre. Le sujet ne portait donc pas sur de simples documents administratifs, mais sur des informations directement liées à la prise en charge de personnes vulnérables.
Dans le fonctionnement quotidien d’un établissement, il peut être nécessaire de créer des supports complémentaires pour organiser les soins, fluidifier les transmissions ou suivre les besoins des résidents. Ces outils ne sont pas problématiques par nature. Ils le deviennent lorsqu’ils contiennent des données sensibles, qu’ils sont accessibles à un trop grand nombre de personnes et qu’il n’est pas possible de savoir précisément qui les a consultés.
C’est précisément ce qui fragilisait l’organisation dans l’affaire Oslo. Les documents étaient stockés dans des espaces internes accessibles aux salariés des unités concernées, mais aussi à certains agents de l’agence gestionnaire. Des personnels qui n’étaient pas directement impliqués dans l’accompagnement quotidien pouvaient donc, en théorie, accéder à des informations qui ne relevaient pas de leurs missions. L’accès aux données ne doit pourtant jamais dépendre de la simple facilité technique. Il doit correspondre à un besoin réel lié à la fonction exercée.
L’affaire montre aussi l’importance de la traçabilité. Lorsque des données sensibles sont stockées dans un espace mal contrôlé, l’établissement peut se retrouver dans l’incapacité de démontrer qui a eu accès aux informations, à quel moment et pour quelle raison. Cette absence de visibilité fragilise la sécurité du traitement, mais aussi la capacité de l’organisation à réagir en cas d’incident, de réclamation ou de contrôle.
L’enseignement est direct pour les EHPAD. Le risque ne se trouve pas uniquement dans le DUI ou dans le logiciel métier principal. Il se trouve aussi dans les fichiers créés autour du système officiel : tableaux de suivi, exports, impressions, dossiers partagés, listes internes ou documents transmis à un prestataire. Un fichier utile à l’organisation peut devenir un point de vulnérabilité s’il n’est pas intégré à la gouvernance des données de l’établissement.
Pour une direction d’EHPAD, la question opérationnelle est simple : les fichiers créés pour faciliter le suivi quotidien sont-ils connus, encadrés, sécurisés et traçables ? Si la réponse est incertaine, le risque ne porte pas seulement sur la documentation RGPD. Il concerne directement la confidentialité des données des résidents et la capacité de l’établissement à démontrer qu’il maîtrise réellement ses pratiques.
Accès, habilitations et logs : la maîtrise doit être démontrable
Après les fichiers de suivi et les données stockées hors du dossier officiel, le deuxième point de vigilance concerne les accès. Dans un EHPAD, il ne suffit pas que chaque professionnel dispose d’un compte utilisateur. L’établissement doit pouvoir démontrer que les droits accordés correspondent aux fonctions exercées, aux missions confiées et au besoin réel d’accéder aux informations du résident.
La CNIL l’a rappelé à propos du dossier patient informatisé : les données de santé ne doivent être accessibles qu’aux personnes justifiant d’un besoin d’en connaître. Même si cette position vise d’abord les établissements de santé, le raisonnement est directement utile pour les EHPAD. Le dossier usager informatisé contient lui aussi des informations sensibles relatives à la santé, à l’autonomie, aux habitudes de vie, à la situation familiale et aux besoins d’accompagnement. Ces données ne doivent pas être accessibles par défaut à tous les professionnels ou à tous les intervenants.
Aligner les droits sur les missions réelles
Tous les acteurs d’un EHPAD n’ont pas besoin du même niveau d’accès. Un agent administratif, un soignant, un médecin coordonnateur, un membre de la direction ou un prestataire informatique n’interviennent pas avec les mêmes finalités ni avec le même périmètre d’information. Accorder des droits larges peut sembler plus simple à court terme, surtout lorsque les équipes sont sous tension ou que les outils sont difficiles à paramétrer. Mais cette facilité expose l’établissement à des risques concrets : consultation injustifiée, accès non détecté, impossibilité d’identifier l’auteur d’une action, violation de données ou réclamation d’un résident ou d’une famille.
Une politique d’habilitation efficace doit donc être pensée par métier, par mission et par périmètre d’intervention. Elle doit distinguer les accès nécessaires à l’accompagnement quotidien, les accès administratifs, les accès de direction, les accès techniques, les accès temporaires et les accès exceptionnels. Elle doit aussi être revue régulièrement, car les fonctions évoluent, les professionnels changent d’équipe, certains salariés quittent l’établissement et des prestataires interviennent ponctuellement.
Surveiller les angles morts : comptes obsolètes, comptes génériques et prestataires
La désactivation des comptes obsolètes est un point souvent sous-estimé. Un compte qui reste actif après le départ d’un salarié ou la fin d’une intervention prestataire constitue une faille évitable. La sortie d’un collaborateur doit donc déclencher une vérification des accès numériques, et pas seulement une procédure RH.
Les comptes génériques doivent également être limités. Lorsqu’un même identifiant est utilisé par plusieurs personnes, l’établissement perd la capacité d’attribuer précisément une action à un utilisateur identifié. Cette pratique fragilise la traçabilité et complique l’analyse d’un incident. Si un compte partagé existe pour une contrainte opérationnelle spécifique, il doit être strictement encadré, limité et documenté.
Les accès prestataires méritent la même vigilance. Éditeurs de logiciels, mainteneurs, hébergeurs, intégrateurs ou supports techniques peuvent avoir besoin d’intervenir sur les systèmes. Ces accès doivent être limités à ce qui est nécessaire, activés pour une durée déterminée, associés à une intervention identifiée et tracés. Une intervention technique ne doit pas devenir un accès permanent et invisible aux données des résidents.
Les accès exceptionnels doivent aussi être anticipés. Dans certaines situations, un professionnel peut devoir accéder rapidement à des informations en dehors de son périmètre habituel, par exemple pour gérer une urgence ou assurer la continuité de l’accompagnement. Ces accès doivent être possibles lorsque la situation l’exige, mais ils doivent être justifiés, tracés et contrôlés a posteriori.
Exploiter les logs, pas seulement les conserver
La journalisation est un élément central de la conformité démontrable. Les logs permettent de savoir qui s’est connecté, à quel moment, depuis quel compte, sur quel dossier ou quelle information. Ils peuvent devenir indispensables en cas de suspicion d’accès injustifié, de réclamation d’une famille, de violation de données ou de contrôle.
Mais journaliser ne suffit pas. Un journal d’événements qui existe mais qui n’est jamais consulté reste un outil de preuve théorique. L’établissement doit savoir quelles traces sont disponibles, combien de temps elles sont conservées, qui peut les consulter, dans quelles situations elles sont analysées et comment les anomalies sont traitées.
Des contrôles réguliers doivent permettre d’identifier les connexions inhabituelles, les consultations massives, les accès depuis des comptes obsolètes, les interventions prestataires non justifiées ou les usages répétés d’un accès exceptionnel.
Pour une direction d’EHPAD, la question à poser n’est donc pas seulement : “Avons-nous une procédure d’habilitation ?” La question utile est plus concrète : “Pouvons-nous démontrer que chaque accès aux données des résidents est justifié, maîtrisé, tracé et régulièrement contrôlé ?”
Cette maîtrise des accès ne suffit toutefois pas si les données continuent à circuler dans des fichiers parallèles ou à rester accessibles au-delà de leur utilité. La question suivante est donc celle du cycle de vie des données : conservation, archivage, suppression et preuve.
Conservation et fichiers parallèles : gérer l’après-accompagnement
La maîtrise des accès ne suffit pas si les données restent accessibles au-delà de leur utilité. Dans un EHPAD, le cycle de vie des données doit être regardé avec précision, notamment lorsqu’un résident quitte l’établissement, décède, ou lorsque certaines informations ne sont plus nécessaires à l’accompagnement quotidien.
Les données ne disparaissent pas automatiquement à la fin de la prise en charge. Elles peuvent rester dans le dossier usager informatisé, dans des archives papier, des sauvegardes, des exports Excel, des courriels, des impressions, des espaces partagés ou chez certains prestataires. Elles peuvent aussi subsister dans des fichiers créés pour organiser le suivi quotidien, préparer une réunion, gérer une absence ou suivre une facturation.
La difficulté ne consiste donc pas seulement à inscrire une durée de conservation dans une politique interne. Elle consiste à vérifier que cette durée est réellement appliquée dans les outils, les supports et les pratiques. Une règle écrite perd une grande partie de sa valeur si l’établissement ne sait pas où se trouvent les copies, qui les détient, qui peut encore y accéder et comment elles sont supprimées ou archivées.
La CNIL distingue notamment les données en base active, les données relevant de l’archivage intermédiaire et celles qui doivent être supprimées, anonymisées ou archivées de manière définitive lorsque le cadre applicable le prévoit. Pour un EHPAD, cette distinction doit être traduite de façon compréhensible pour les équipes et applicable dans les outils utilisés.
Pendant l’accompagnement, certaines données doivent rester disponibles pour assurer la continuité de la prise en charge, la coordination des professionnels, le suivi administratif et la sécurité du résident. Une fois l’accompagnement terminé, elles ne devraient plus rester accessibles comme si le résident était encore présent dans l’établissement. Certaines informations doivent être conservées pour répondre à une obligation légale, à un besoin administratif ou à un intérêt probatoire. D’autres doivent être supprimées, anonymisées ou sorties des espaces actifs.
Les fichiers parallèles constituent ici un point de vigilance majeur. Le DUI peut prévoir certaines règles de conservation, mais un export, un tableau Excel, un courriel ou une impression ne suivent pas toujours automatiquement le même cycle de vie. Un fichier temporaire peut devenir une archive permanente non maîtrisée. Une donnée extraite du DUI ne perd pourtant pas son caractère sensible parce qu’elle a été copiée dans un autre support.
La question doit aussi être posée aux prestataires. Un éditeur de DUI, un hébergeur, un mainteneur, un prestataire SaaS ou un intégrateur peut conserver des données, des traces techniques, des tickets support, des sauvegardes, des copies temporaires ou des journaux d’intervention. L’établissement doit savoir quelles données sont conservées, dans quels environnements, pendant combien de temps, avec quelles garanties et selon quelles modalités de restitution ou de suppression en fin de contrat.
Le départ ou le décès d’un résident constitue donc un moment clé pour vérifier la maîtrise du cycle de vie des données. L’établissement doit pouvoir distinguer ce qui reste conservé dans un cadre défini, ce qui est archivé avec des accès restreints, ce qui doit être supprimé des espaces actifs et ce qui doit être traité dans les outils périphériques.
Cette maîtrise doit être reliée à la preuve. En cas de réclamation d’une famille, de demande d’accès, d’incident, d’évaluation HAS ou de contrôle, l’établissement peut être amené à expliquer pourquoi certaines données ont été conservées, pourquoi d’autres ont été supprimées, qui pouvait y accéder et quelles mesures de sécurité ont été appliquées.
Pour une direction d’EHPAD, la question utile est donc simple : savons-nous où se trouvent les données des résidents sortis, décédés ou non actifs, qui peut encore y accéder et comment nous appliquons concrètement l’archivage, la suppression ou l’anonymisation ?
Une durée de conservation écrite ne suffit pas si les données restent dispersées dans les outils, les fichiers, les espaces partagés, les sauvegardes ou les environnements prestataires. La maîtrise du cycle de vie suppose de relier les règles juridiques aux pratiques réelles, aux contrats conclus avec les fournisseurs et aux preuves que l’établissement est capable de produire.
Cette logique devient encore plus sensible lorsque l’établissement utilise des dispositifs plus intrusifs ou plus récents, comme la vidéosurveillance, les outils SaaS ou les solutions intégrant de l’intelligence artificielle.
Vidéosurveillance, IA et outils numériques : encadrer avant de déployer
La maîtrise des accès, des fichiers parallèles et des durées de conservation devient encore plus sensible lorsque l’établissement utilise des dispositifs intrusifs ou des outils numériques récents. Dans un EHPAD, ces technologies peuvent répondre à des besoins réels de sécurité, d’organisation ou de continuité de l’accompagnement. Elles peuvent aussi créer des risques importants lorsqu’elles sont déployées sans cadre clair, sans analyse préalable et sans preuve de maîtrise.
Vidéosurveillance en chambre : un dispositif exceptionnel
La vidéosurveillance en chambre illustre cette tension de manière directe. Un établissement peut être confronté à une situation complexe : suspicion de maltraitance, risque de chute, protection d’un résident vulnérable, inquiétude exprimée par une famille ou besoin de sécuriser une prise en charge. Ces préoccupations sont réelles. Elles ne suffisent toutefois pas à justifier automatiquement l’installation d’une caméra dans un espace aussi intime qu’une chambre.
La chambre d’un résident en EHPAD constitue un espace de vie privée. Installer un dispositif de vidéosurveillance dans cet espace implique de traiter des images susceptibles de révéler l’état de santé, le degré d’autonomie, les gestes de soin, les visites, les habitudes de vie ou des moments d’intimité. La CNIL rappelle que ce type de dispositif ne doit pas devenir une pratique ordinaire et ne peut être envisagé que dans des circonstances strictement encadrées.
Pour une direction d’EHPAD, la question n’est donc pas seulement de savoir si une caméra peut techniquement être installée. Il faut documenter la nécessité du dispositif, les alternatives moins intrusives envisagées, l’information des personnes concernées, les personnes habilitées à consulter les images, la durée de conservation, les mesures de sécurité et la traçabilité des consultations. Lorsque le risque pour les droits et libertés des personnes est élevé, une AIPD doit également être envisagée.
Le décret du 29 décembre 2025, qui prévoit une annexe au contrat de séjour ou au document individuel de prise en charge mentionnant notamment l’accord ou le refus concernant certains contrôles dans l’espace privatif, renforce cette exigence de formalisation. Mais cette formalisation ne remplace pas l’analyse de nécessité, de proportionnalité et de sécurité. Un dispositif mis en place pour protéger peut devenir problématique s’il n’est pas limité, justifié, contrôlé et réévalué.
IA et SaaS : des usages à cadrer sans attendre
L’intelligence artificielle appelle une vigilance différente, mais la logique de fond reste la même. L’IA n’est pas aujourd’hui le premier risque RGPD des EHPAD. Les priorités immédiates restent souvent les accès, les habilitations, les fichiers parallèles, les durées de conservation, les prestataires et la sécurité du DUI. En revanche, l’IA peut aggraver ces fragilités si elle s’installe sur un socle insuffisamment maîtrisé.
Les usages peuvent arriver progressivement : fonctionnalité intégrée dans un logiciel métier, outil SaaS d’aide à la rédaction, assistant de synthèse, module de recommandation, outil de planification ou usage individuel d’un assistant conversationnel. Le risque apparaît lorsqu’un professionnel saisit des informations relatives à un résident dans un outil non validé, lorsqu’un fournisseur traite des données sans garanties suffisantes ou lorsqu’une solution conserve des informations dans des environnements que l’établissement ne maîtrise pas.
La difficulté tient aux flux de données : hébergement externe, sous-traitants, transferts, journaux techniques, usages secondaires, durées de conservation propres au fournisseur ou mécanismes d’amélioration du service. L’établissement doit donc savoir quelles données sont traitées, où elles sont hébergées, qui y accède, à quelles fins elles sont utilisées, quelles garanties contractuelles existent et quelles traces peuvent être produites en cas d’incident ou de contestation.
L’objectif n’est pas d’interdire toute innovation. Une solution bien choisie et correctement encadrée peut soutenir les équipes et améliorer l’organisation. Mais un usage non déclaré, non évalué ou non contractualisé peut exposer l’établissement à des risques sur la confidentialité, la sécurité, la qualité de l’information produite et la responsabilité des décisions prises à partir de ces outils.
Un EHPAD doit donc fixer un cadre minimal avant que les usages individuels ne deviennent des habitudes installées : outils autorisés, usages interdits, données à ne jamais saisir, personnes habilitées à valider une solution, vérifications contractuelles, règles d’hébergement, sous-traitants, logs et durées de conservation.
Vidéosurveillance, IA et outils numériques posent finalement la même question : lorsqu’un outil traite des données de résidents, l’établissement peut-il expliquer pourquoi il l’utilise, dans quelles limites, avec quelles garanties, sous quel contrôle et avec quelles preuves ?
Sans méthode, les EHPAD risquent d’empiler des outils, des accès, des fichiers et des pratiques sans pouvoir démontrer leur maîtrise. C’est pourquoi une feuille de route opérationnelle est nécessaire.
Votre feuille de route opérationnelle en 8 actions
Pour une direction d’EHPAD, traiter la conformité RGPD ne doit pas devenir un chantier documentaire supplémentaire. La démarche doit partir du terrain : les outils réellement utilisés, les fichiers créés par les équipes, les accès accordés aux professionnels, les prestataires qui interviennent, les durées de conservation appliquées et les preuves disponibles en cas d’incident, de réclamation, d’évaluation HAS ou de contrôle.
L’objectif n’est pas de tout traiter en même temps, mais de prioriser les actions à partir des risques les plus concrets. Une feuille de route utile doit permettre de reprendre la maîtrise des données des résidents, étape par étape.
Action 1. Cartographier les lieux réels de circulation des données
L’établissement doit identifier les endroits où les données des résidents circulent réellement : DUI, logiciels métiers, messageries, fichiers Excel, dossiers partagés, impressions, archives papier, sauvegardes, outils de facturation, logiciels de planning, solutions SaaS, accès prestataires et éventuels outils intégrant de l’IA.
Cette cartographie doit être menée avec les personnes qui connaissent le fonctionnement quotidien de l’établissement : direction, responsable qualité, cadres de santé, équipes administratives, référent RGPD ou DPO, prestataires informatiques et utilisateurs des outils métiers.
Action 2. Revoir les profils d’accès au DUI
Les droits d’accès doivent être rapprochés des fonctions réellement exercées. Un accès accordé par défaut, par habitude ou par facilité technique peut rapidement devenir disproportionné.
La revue doit permettre de distinguer les accès administratifs, soignants, médicaux, de direction, techniques ou prestataires. Les comptes inactifs, les anciens salariés, les intervenants ponctuels et les comptes génériques doivent faire l’objet d’une vérification régulière.
Action 3. Encadrer les accès prestataires
Les éditeurs de DUI, hébergeurs, mainteneurs, intégrateurs, prestataires SaaS ou supports informatiques peuvent accéder directement ou indirectement à des données de résidents. Ces accès doivent être limités, justifiés, tracés et retirés lorsqu’ils ne sont plus nécessaires.
Les contrats doivent aussi être vérifiés : confidentialité, sécurité, sous-traitance, notification d’incident, sous-traitants ultérieurs, restitution ou suppression des données en fin de contrat. Lorsque des données de santé sont hébergées, la question de l’hébergement HDS doit être traitée.
Action 4. Maîtriser les fichiers parallèles et les exports
Un tableau Excel, une extraction, une liste de suivi, une impression ou un document transmis à un prestataire restent des traitements de données personnelles lorsqu’ils permettent d’identifier un résident.
L’établissement doit donc fixer des règles simples : qui peut créer un fichier hors DUI, pour quel objectif, avec quelles données, dans quel espace, avec quels accès et pendant combien de temps. Cette clarification permet de sécuriser les pratiques sans bloquer les besoins opérationnels.
Action 5. Appliquer les durées de conservation
Les durées de conservation doivent être appliquées dans les outils et dans les pratiques. Il ne suffit pas de prévoir une durée dans un document interne si les données restent accessibles dans les dossiers partagés, les archives papier, les messageries, les exports, les sauvegardes ou les environnements prestataires.
Le départ ou le décès d’un résident doit déclencher une vérification du cycle de vie des données : ce qui reste en base active, ce qui relève de l’archivage intermédiaire, ce qui doit être supprimé, anonymisé ou conservé dans un cadre défini.
Action 6. Exploiter les logs
Les journaux d’accès permettent de vérifier qui a consulté quoi, à quel moment, depuis quel compte et dans quelles conditions. Ils peuvent être déterminants en cas de suspicion d’accès injustifié, de réclamation d’une famille, de violation de données ou de contrôle.
Mais les logs ne doivent pas rester une donnée technique inutilisée. L’établissement doit savoir quelles traces existent, combien de temps elles sont conservées, qui peut les consulter, dans quelles situations elles sont analysées et comment les anomalies sont traitées.
Action 7. Encadrer les usages sensibles
Certaines situations exigent une gouvernance renforcée : vidéosurveillance en chambre, accès exceptionnels, demandes des familles, transmissions externes, outils SaaS, fonctionnalités IA ou assistants de rédaction.
L’établissement doit définir ce qui est autorisé, ce qui est interdit, qui valide les usages, quelles données peuvent être traitées, quelles informations sont communiquées aux personnes concernées, quelles garanties contractuelles sont nécessaires et quelles traces doivent être conservées. Lorsque le risque est élevé, une AIPD doit être envisagée.
Action 8. Constituer un dossier de preuves
La conformité RGPD doit pouvoir être démontrée. Le dossier de preuves peut notamment réunir les traitements recensés, les règles d’accès, les revues d’habilitations, les contrats prestataires, les preuves d’information des résidents et des familles, les analyses de risques, les AIPD, les contrôles d’accès, les journaux d’intervention, les incidents traités, les actions de sensibilisation et les preuves de suppression ou d’archivage.
Ce dossier devient particulièrement utile en cas d’évaluation HAS, d’incident, de réclamation ou de contrôle. Il peut aussi alimenter le pilotage qualité et les plans d’amélioration continue, au-delà de la seule conformité RGPD.
Transformer le diagnostic en plan d’action
Tous les EHPAD ne disposent pas des mêmes ressources, des mêmes outils ni du même niveau de maturité. L’important est donc de partir des risques réels : données sensibles, accès trop larges, fichiers non maîtrisés, prestataires critiques, absence de logs exploitables, durées de conservation non appliquées ou usages numériques non encadrés.
Pour les établissements qui souhaitent objectiver leur point de départ, l’auto-diagnostic gratuit proposé par DPO FRANCE peut constituer un premier repère utile. Il permet d’identifier les principaux sujets de conformité et de faire émerger les premières zones de vigilance.
Mais un diagnostic ne suffit pas à sécuriser les pratiques. L’étape déterminante consiste à transformer ces constats en plan d’action concret, priorisé et documenté : accès au DUI, fichiers parallèles, prestataires, durées de conservation, HDS, AIPD, information des résidents, gestion des violations, usages numériques et dossier de preuves.
C’est précisément sur cette mise en conformité opérationnelle que La Minute Data accompagne les EHPAD et structures médico-sociales.
L’objectif est de permettre aux directions d’EHPAD de passer d’un premier état des lieux à une trajectoire de conformité concrète, adaptée à leurs moyens, à leurs outils et aux risques réellement présents dans leur établissement.
