← Retour aux ressources

RGPD et services à domicile : ce que vous devez vraiment savoir

Les structures d'aide à domicile manipulent des données particulièrement sensibles — santé, vulnérabilité, vie privée — souvent sans mesurer l'étendue de leurs obligations.

Le RGPD s'applique à toute structure, quelle que soit sa taille, dès qu'elle traite des données personnelles. Dans le secteur de l'aide à domicile, deux caractéristiques aggravent les enjeux : la nature des données (état de santé, perte d'autonomie, situation de handicap) et la vulnérabilité des personnes concernées.

Un cadre spécifique pour le secteur social et médico-social

La CNIL a publié un référentiel dédié aux traitements de données à caractère personnel pour le suivi social et médico-social des personnes âgées, en situation de handicap ou en difficulté. Ce texte précise notamment que la collecte de données de santé par un intervenant à domicile est possible dès lors qu'elle est nécessaire à l'accompagnement réalisé, après recueil du consentement de la personne concernée ou de son représentant légal, lorsque cette collecte ne s'inscrit pas déjà dans une autre base légale (mission d'intérêt public, obligation légale).

Le secret partagé, pas le secret diffusé

Une information de santé transmise à un intervenant pour les besoins de la prise en charge ne devient pas pour autant une information librement partageable. Le principe du secret partagé limite l'accès aux seules personnes dont l'intervention est nécessaire à la continuité de l'accompagnement. Transmettre une information à un tiers non concerné — même un collègue qui n'intervient pas auprès de cette personne — constitue un manquement.

Des durées de conservation précises, pas approximatives

Le RGPD n'impose aucune durée chiffrée universelle : c'est à chaque structure de déterminer la durée adaptée à la finalité du traitement, en s'appuyant sur les référentiels CNIL. Pour le secteur social et médico-social, la CNIL recommande notamment une conservation des données en base active de 2 ans à compter de la dernière opération ou du dernier contact émanant de la personne accompagnée, avec une possibilité d'archivage intermédiaire plus long en cas de contentieux. Pour les données RH, le délai de référence est généralement aligné sur la prescription civile de 5 ans. Conserver des dossiers indéfiniment « par précaution » est précisément ce que la CNIL cible désormais en priorité dans ses contrôles.

Le registre des traitements n'est pas optionnel

Toute structure traitant des données, y compris une micro-entreprise, doit documenter ses traitements dans un registre (article 30 du RGPD) : finalité de chaque traitement, catégories de données, durée de conservation, mesures de sécurité. Ce registre est le document que la CNIL demande en premier lieu en cas de contrôle.

Ce qui doit figurer dans votre politique de confidentialité

• L'identité du responsable de traitement et, le cas échéant, du délégué à la protection des données
• Les finalités précises de chaque traitement (gestion du dossier usager, paie, facturation, etc.)
• Les durées de conservation appliquées, catégorie de données par catégorie de données
• Les droits des personnes (accès, rectification, effacement, limitation) et les modalités pour les exercer
• Les destinataires des données (organismes sociaux, professionnels de santé, prestataires techniques)

Cet article a une vocation informative générale et ne constitue pas un conseil juridique personnalisé. Pour une mise en conformité complète, faites auditer vos traitements de données par un professionnel.