RGPD, secret professionnel, cybersécurité et hébergement des données de santé : audit, conseil, formation et réalisation pour le médico-social

Protection des données personnelles dans le social et le médico-social

Le RGPD et les référentiels de la CNIL

Le règlement (UE) 2016/679, dit RGPD, est applicable depuis le 25 mai 2018 et s'articule en France avec la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés. Il pose des principes que toute direction doit pouvoir démontrer : finalité déterminée, minimisation, durée de conservation limitée, sécurité, information des personnes et respect de leurs droits. Texte sur EUR-Lex. Dans le social et le médico-social, beaucoup de données entrent dans les catégories particulières de l'article 9, et la CNIL rattache le handicap aux données de santé.

La CNIL a publié un référentiel (délibération n° 2021-028 du 11 mars 2021) pour les organismes qui accueillent, hébergent ou accompagnent des personnes âgées, en situation de handicap ou en difficulté. Il précise les bases légales, les données collectables, les durées de conservation, les destinataires et les droits des personnes. Il exclut la protection de l'enfance, pour laquelle la CNIL annonce un référentiel distinct, et les mandataires judiciaires à la protection des majeurs.

Registre, analyse d'impact et délégué à la protection des données

Le responsable de traitement, c'est-à-dire l'organisme représenté par sa direction, tient un registre des traitements (article 30), prévoit la protection des données dès la conception et par défaut (article 25) et met en œuvre des mesures de sécurité adaptées au risque (article 32). Lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes, il réalise une analyse d'impact (article 35). Selon la CNIL, elle est requise si le traitement figure sur sa liste ou s'il remplit au moins deux des neuf critères du groupe des autorités européennes, parmi lesquels les données sensibles, la grande échelle et les personnes vulnérables. Un dossier usager informatisé réunit souvent ces critères. Si le risque résiduel reste élevé, la CNIL est consultée.

L'article 37 impose de désigner un délégué à la protection des données (DPO) pour les autorités et organismes publics, pour les organismes dont l'activité principale suppose un suivi régulier et systématique de personnes à grande échelle, et pour ceux qui traitent à grande échelle des catégories particulières de données. La désignation se déclare par le téléservice de la CNIL. Le DPO informe, conseille et contrôle ; il ne décide pas à la place de la direction. La certification de ses compétences est volontaire, ce que précise l'encadré de la page du thème correspondant.

Violations de données et contrôles

Toute violation de données doit être inscrite dans un registre interne, même sans risque. Si elle est susceptible d'engendrer un risque pour les personnes, la notification à la CNIL intervient, selon la page de la CNIL, « au plus tôt et dans un délai maximal de 72h » après un degré de certitude raisonnable que des données ont été touchées. En cas de risque élevé, les personnes concernées sont informées dans les meilleurs délais (articles 33 et 34).

La CNIL contrôle sur place, sur pièces ou en ligne, et peut prononcer des mesures correctrices et des amendes (article 83). Une direction doit pouvoir présenter des documents à jour : registre, analyses d'impact, contrats, procédures, revues des accès.

Secret professionnel, partage d'informations et hébergement des données de santé

Le secret et le partage entre professionnels

L'article 226-13 du code pénal punit d'un an d'emprisonnement et de 15 000 euros d'amende la révélation d'une information secrète par une personne qui en est dépositaire, par état, par profession ou en raison d'une fonction ou d'une mission temporaire. Les dérogations figurent à l'article 226-14. Le texte est lisible sur Légifrance. L'article L. 1110-4 du code de la santé publique étend le secret aux secteurs sanitaire, social et médico-social.

Le même article organise le partage : les professionnels d'une même équipe de soins peuvent partager les informations strictement nécessaires à la coordination, à la continuité ou au suivi médico-social et social ; hors équipe, le consentement préalable de la personne est requis, et celle-ci peut s'opposer au partage. Il serait donc inexact d'écrire que l'échange entre travailleurs sociaux est libre : le périmètre dépend de l'appartenance à l'équipe, de la catégorie professionnelle et du consentement. Ces règles se traduisent en droits d'accès au dossier usager et en consignes de messagerie que la direction doit rendre lisibles.

L'hébergement de données de santé

Selon l'article L. 1111-8 du code de la santé publique, l'hébergeur de données de santé recueillies à l'occasion d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social doit détenir un certificat délivré par un organisme de certification accrédité. Le champ inclut donc le suivi social et médico-social. Le référentiel de certification résulte de l'arrêté du 26 avril 2024 modifiant l'arrêté du 11 juin 2018. L'état de la transition des hébergeurs vers ce référentiel, et d'une éventuelle version 2.1, se lit sur les pages de l'Agence du numérique en santé.

Le décret n° 2026-209 du 24 mars 2026 impose un stockage dans l'Union européenne ou l'Espace économique européen, encadre les transferts et accès à distance depuis un pays tiers et prévoit que le contrat d'hébergement mentionne les législations extra-européennes pouvant imposer un transfert ou un accès non autorisé. Pour une direction, l'enjeu est de contrôler le certificat de son hébergeur et de son infogéreur, de lire le contrat et de savoir où sont stockées les données. La certification HDS (hébergeur de données de santé) ne vaut ni RGPD ni ISO/IEC 27001.

Cybersécurité, référentiels et incidents

NIS 2, programme CaRE et PSSI-MCAS

La directive (UE) 2022/2555, dite NIS 2, renforce les obligations de cybersécurité d'entités de secteurs critiques, dont la santé. À la date de rédaction (octobre 2026), la France ne l'a pas transposée : le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité n'a pas été examiné en séance publique à l'Assemblée nationale, et la Commission européenne a saisi la Cour de justice de l'Union européenne en juillet 2026. L'ANSSI présente le dispositif. Elle ne nomme pas les établissements et services sociaux et médico-sociaux : ils pourraient être concernés selon leur taille et leur activité, et il serait imprudent d'affirmer qu'ils le sont ou non.

Le programme CaRE (cybersécurité, accélération et résilience des établissements), piloté par l'Agence du numérique en santé sur la période 2023 à 2027, comporte selon l'agence un appel à projets pour les structures sociales et médico-sociales. La PSSI-MCAS, politique de sécurité des systèmes d'information des ministères chargés des affaires sociales (arrêté du 1er octobre 2015), vise d'abord ces ministères ; son applicabilité aux établissements n'est pas établie, et elle sert de repère.

ISO 27001, ISO 27005 et EBIOS Risk Manager

La norme ISO/IEC 27001 (édition de 2022) définit un système de management de la sécurité de l'information ; son annexe A compte 93 mesures réparties en quatre thèmes. La norme ISO/IEC 27005 (édition de 2022) traite de la gestion des risques liés à la sécurité de l'information. La certification ISO/IEC 27001 est volontaire ; elle n'équivaut pas à la certification des hébergeurs de données de santé.

La méthode EBIOS Risk Manager, publiée par l'ANSSI (Agence nationale de la sécurité des systèmes d'information) avec le Club EBIOS (Expression des besoins et identification des objectifs de sécurité) en 2018, part des missions de l'organisme pour étudier les scénarios d'attaque et décider du traitement des risques ; l'ANSSI la présente comme compatible avec la norme ISO/IEC 27005.

Incidents de sécurité et signalement

Au titre de la protection des données, les violations se notifient à la CNIL. S'y ajoute, pour le secteur de la santé, un signalement des incidents significatifs ou graves de sécurité des systèmes d'information. L'article L. 1111-8-2 du code de la santé publique en fait l'obligation des établissements de santé, des organismes de prévention, de diagnostic ou de soins et des établissements médico-sociaux, selon la page de l'ARS des Hauts-de-France, qui renvoie au décret n° 2016-1214 du 12 septembre 2016 et au portail national de signalement. Une direction gagne à prévoir en amont qui décide, qui prévient les autorités et comment l'activité continue sans le système d'information.

La vidéoprotection de lieux accueillant des personnes accompagnées relève aussi de ce domaine : finalité, information, durée de conservation et intimité des résidents appellent une analyse avant tout équipement.

Rôles, responsabilités et prestataires

Direction, DPO et responsable de la sécurité

La responsabilité de la conformité aux textes et de la sécurité appartient à l'organisme, donc à sa direction, qui doit pouvoir arbitrer entre les besoins de l'accompagnement et les exigences de protection. Le DPO conseille et contrôle ; pour rester indépendant, il ne décide pas des finalités ni des moyens des traitements qu'il contrôle. Le responsable de la sécurité des systèmes d'information (RSSI) pilote la politique de sécurité : il n'existe pas de certification officielle de RSSI délivrée par l'ANSSI, ce que rappelle l'encadré de la page du thème. Ces fonctions, souvent mutualisées ou confiées à un prestataire, n'effacent pas la responsabilité de la direction.

Les référents métiers, qualiticiens, responsables des ressources humaines et directeurs des systèmes d'information fournissent la matière : cartographie des traitements, arrivées et départs de personnel, revue des droits d'accès, sauvegardes testées.

Sous-traitants et contrat de l'article 28

Un prestataire qui traite des données pour le compte de la structure, éditeur, hébergeur, infogéreur ou consultant intervenant sur des données réelles, est un sous-traitant au sens du RGPD. L'article 28 impose un contrat qui précise l'objet, la durée, la nature et la finalité du traitement, les types de données, les instructions documentées, la confidentialité, la sécurité, l'aide aux droits des personnes, la restitution ou la suppression et le régime de la sous-traitance ultérieure. La CNIL déconseille de commencer une prestation sans ce contrat. Un prestataire intervenant dans un établissement peut aussi entrer dans le champ du secret professionnel, d'où des clauses de confidentialité et un accès limité au strict nécessaire.

Ce que nous faisons, et ce que nous ne faisons pas

Ce que nous faisons

Nous auditons l'organisation de la protection des données et de la sécurité à partir de documents, d'entretiens et d'échantillons fictifs ou anonymisés. Nous conseillons les directions sur la gouvernance et le choix d'un hébergeur. Nous rédigeons avec vos équipes registres, analyses d'impact, procédures de gestion des violations et plans de continuité. Nous déployons, sur un périmètre pilote, des solutions d'identité, de sauvegarde et de sensibilisation. Nous réalisons des audits blancs de préparation. Nous formons aussi, mais la formation n'est qu'un moyen. Les prestations se font au forfait, avec des livrables définis, sous la responsabilité et l'encadrement d'Optédif.

Toute intervention touchant à des données réelles de personnes accompagnées suppose un contrat de sous-traitance au titre de l'article 28, un cadrage des accès (comptes nominatifs, périmètre minimal, journalisation) et, chaque fois que possible, un environnement de test avec des données fictives. Les intervenants peuvent justifier d'une attestation d'honorabilité lorsque la réglementation ou le client l'exige.

Ce que nous ne faisons pas

Optédif n'est pas hébergeur de données de santé et n'héberge aucune donnée de ses clients. Nous ne certifions ni un hébergeur, ni un logiciel, ni un système de management ; nous ne délivrons aucune attestation à valeur réglementaire et n'agissons pas comme organisme de certification. Nous ne rendons pas de consultation juridique : les points de droit se valident avec votre DPO ou votre conseil. Nous ne remplaçons ni le DPO, ni le RSSI, ni la direction, et nous n'exploitons aucune télésurveillance. Nous ne promettons ni l'issue d'un contrôle de la CNIL ou des autorités, ni l'absence d'incident.

Les outils cités comme thèmes

Le catalogue cite, comme thèmes de formation et de déploiement, Active Directory, Intune, Microsoft Defender for Cloud, Microsoft Purview et Azure Backup (produits de Microsoft), Fortinet, Okta, KnowBe4, Proofpoint, Veritas NetBackup et Keycloak (logiciel libre de gestion des identités). Ces noms sont des marques de leurs propriétaires. Optédif n'est ni partenaire, ni revendeur, ni intégrateur agréé de ces éditeurs ; la documentation de l'éditeur fait foi.

Pour les établissements de santé, hôpitaux et cliniques, consultez notre site Santé et hôpitaux (sante-hopitaux.optedif.fr). Pour les collectivités territoriales et l'administration générale, consultez notre site Secteur public (secteur-public.optedif.fr).