Les données personnelles dans le secteur social : les grandes notions

Une donnée personnelle représente toute information relative à une personne physique susceptible d’être identifiée, directement ou indirectement.

Exemples

Dans le secteur social, de nombreuses données personnelles peuvent être traitées, notamment :

• un nom, un prénom ;
• une photographie ;
• une adresse postale ou une adresse électronique ;
• un numéro de rattachement à un organisme (numéro d’adhérent ou d’allocataire), un numéro de sécurité sociale (NIR) ;
• des prestations et avantages sociaux perçus (nature, montant, quotient familial) ou une situation financière (ressources, dettes, crédits, charges) dès lors qu’elles sont rattachables à une personne physique etc.

Que ces informations soient confidentielles ou publiques, elles sont considérées comme étant des données personnelles.

L’anonymisation de données personnelles

Pour que ces données ne soient plus considérées comme personnelles, elles doivent être rendues anonymes de manière à ce que la personne concernée ne soit pas ou plus identifiable (noms masqués, visages floutés, etc.).

En savoir plus sur l’anonymisation de données personnelles

Un traitement de données personnelles est une opération, ou ensemble d’opérations, portant sur des données personnelles, quel que soit le procédé utilisé.

Exemples

Les traitements de données personnelles peuvent être aussi variés que les activités d’un organisme. Il peut s’agir, par exemple, de :

• l’installation d’un système de vidéosurveillance au sein d’une association/organisme ;
• un tableau de type « Excel » qui regroupe l’ensemble des actions effectuées à l’encontre des personnes accompagnées ;
• une base de données qui regroupe l’ensemble des personnes faisant l’objet d’un accompagnement et suivi social et médico-social ;
• etc.

La finalité, c'est le but poursuivi par le fichier créé : à quoi va-t-il servir ? Attention, cet objectif doit être défini précisément avant de mettre en place le traitement.

Exemples

• l’accompagnement et le suivi social et médico-social des personnes âgées, handicapées ou en difficulté afin de saisir les problématiques identifiées et offrir un accompagnement adapté ;
• l’instruction, la gestion et le versement des demandes de prestations sociales légales et facultatives (aides ménagères, aides au transport, prise en charge des frais d’obsèques, etc.) ;
• l’accompagnement et le suivi des personnes dans l’accès aux droits et notamment :
  • l’assistance dans les relations et les démarches à effectuer auprès des personnes ou services compétents (accès aux droits relatifs à la fin de vie) ;
  • l’assistance dans le cadre des démarches administratives numériques à effectuer auprès des plus fragiles ;
  • les démarches à effectuer pour obtenir une domiciliation pour les personnes sans domicile stable ;
• la fourniture des prestations définies dans le cadre du contrat conclu entre un organisme et la personne concernée ou son représentant légal, par exemple :
  • le contrat de séjour ou le document individuel de prise en charge prévu par l’article L. 311-4 du Code de l’action sociale et des familles entre un organisme tels que les EHPAD ou les foyers d’hébergement pour adultes handicapés et la personne concernée ou son représentant légal ;
  • le contrat d’engagement réciproque (CER) ou le projet personnalisé d’accès à l’emploi (PPAE) conclu entre le bénéficiaire du revenu de solidarité active (RSA) et le président du conseil départemental pour améliorer l’insertion professionnelle.

Les données sensibles sont celles qui concernent la prétendue origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale ; elles comprennent également les données génétiques, les données biométriques, les données concernant la santé et les données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique. 

Le traitement de ces données est par principe interdit sauf dans des cas limitatifs prévus par l’article 9.2. du RGPD (la personne concernée a donné son consentement explicite ; les informations ont manifestement été rendues publiques par la personne concernée ; leur utilisation est justifiée par l’intérêt public et autorisée par un texte législatif ou réglementaire etc.).

Exemples 

• les convictions religieuses peuvent être collectées dans le cadre de l’organisation des repas d’un résident d’un établissement social et/ou médico-social (par exemple un EHPAD) après recueil de son consentement explicite (sous réserve du respect des conditions de recueil du consentement prévues par le RGPD) ;
• l’information relative au handicap d’une personne peut être collectée dès lors que cette information est strictement nécessaire à la délivrance d’une prestation sociale prévue par un texte législatif ou réglementaire (ex. : l’allocation aux adultes handicapés).

Le responsable d’un traitement de données personnelles est la personne, l’autorité publique, la société ou l’organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement et qui décide de sa création.

En pratique, il s’agit généralement de la personne morale (association, collectivité, etc.) incarnée par son représentant légal (maire, président de l’association, directeur général d’une structure privée, etc.).

Les obligations du responsable de traitement

Le responsable de traitement doit être en mesure de garantir et de démontrer, à tout moment, la conformité du traitement aux exigences du RGPD en traçant toutes les démarches entreprises. À ce titre, il doit notamment :

• élaborer un registre des activités de traitement ;
• désigner un délégué à la protection des données (DPO ou DPD) lorsque cela est obligatoire ;
• mettre en place des mesures pour garantir la sécurité des données personnelles (mots de passe, gestion des habilitations, protection des locaux, etc.)  ;
• assurer l’effectivité de l’information à délivrer aux personnes et de leurs droits (droits d’accès, de rectification, d’opposition, etc.) ;
• mettre en place des procédures en cas de violations de données ;
• mener des analyses d’impact sur la protection des données (AIPD) dès lors que le traitement est susceptible de présenter un risque élevé pour les droits et libertés des personnes ;
• contractualiser les relations avec le ou les sous-traitant(s) (par exemple une société informatique en charge de la maintenance des systèmes).