Questions-réponses sur le référentiel pour le suivi médico-social des personnes âgées, en situation de handicap ou en difficulté

La liste d’exemples qui figure au sein du référentiel est non-exhaustive.

Autrement dit, si votre organisme n’est pas présent dans la liste mais accueille, héberge ou accompagne sur le plan social et/ou médico-social des personnes âgées, en situation de handicap ou en difficulté, vous êtes concerné par ce référentiel.

La mission d’intérêt public concerne les traitements mis en œuvre par les autorités publiques mais également par les organismes privés chargés d’une mission d’intérêt public ou dotés de prérogative de puissance publique.

Pour en savoir plus : la mission d’intérêt public : dans quels cas fonder un traitement sur cette base légale ?

Un consentement exprimé par une personne sans capacité de discernement (troubles psychiques, état de faiblesse avéré, situation de handicap mental, etc.) ne peut pas être considéré, à lui seul, comme un consentement valable. Le consentement de son représentant légal devra alors être recherché.

Vous devez donc chercher à vous assurer, d’une part, de la capacité de discernement de la personne concernée et, d’autre part, de la validité de son consentement. Celui-ci doit être :

• Libre : le consentement ne doit pas être contraint ni influencé. La personne doit se voir offrir un choix réel, sans avoir à subir de conséquences négatives en cas de refus (par exemple, un traitement ayant pour finalité la gestion et le versement d’une prestation sociale ne peut pas avoir pour base légale le consentement, dans la mesure où si la personne concernée refuse de communiquer ses informations, elle ne pourra pas bénéficier de l’aide demandée).
• Spécifique : le consentement doit correspondre à un seul traitement, pour une finalité déterminée.
• Éclairé : pour qu’il soit valide, le consentement doit être accompagné d’un certain nombre d’informations communiquées à la personne avant qu’elle ne consente (par exemple, si vous n’indiquez pas à la personne concernée les raisons pour lesquelles vous collectez ces informations, le consentement ne pourra pas être considéré comme éclairé).
• Univoque : le consentement doit être donné par une déclaration ou tout autre acte positif clairs. L’expression du consentement ne doit pas être ambigüe.

Pour en savoir plus : Conformité RGPD : comment recueillir le consentement des personnes ?

Oui, le recueil du consentement du représentant légal de la personne concernée est suffisant si cette dernière n’est pas en mesure de consentir elle-même au traitement de ses informations.

Attention : le seul fait pour une personne d’être placée sous une mesure de protection juridique (sauvegarde de justice, curatelle, tutelle) ne fait pas obstacle à ce qu’elle puisse exprimer valablement son consentement. Il appartient donc au responsable de traitement d’être en mesure d’identifier la capacité de discernement de la personne accompagnée pour rechercher autant que possible son accord (ex. : pour l’organisation des repas des résidents d’une structure sociale et médico-sociale, le consentement d’une personne faisant l’objet d’une mesure de protection juridique pourrait être recueilli si l’altération de ses facultés mentales est considérée comme limitée par le personnel soignant).

Le référentiel établit une liste des données personnelles susceptibles d’être collectées par le responsable de traitement dans le cadre de l’accueil, l’hébergement et l’accompagnement social et médico-social qu’il réalise.

Attention : le responsable de traitement ne doit collecter que les seules informations nécessaires à l’accompagnement social et médico-social qu’il réalise.

Par exemple, les informations relatives aux comptes bancaires existants (dates d’ouverture, moyens de paiement, montant du découvert autorisé, inscription au fichier national des incidents de remboursement des crédits aux particuliers et au fichier central des chèques) ne doivent être collectées que si le responsable de traitement réalise un véritable accompagnement budgétaire de la personne concernée.

Oui, si celles-ci sont nécessaires à  l’accompagnement social et médico-social que vous réalisez.

Ce référentiel constitue un cadre de référence qui permet à un organisme du secteur social et médico-social de mettre en conformité ses traitements relatifs à l’accueil, l’hébergement et l’accompagnement social et médico-social qu’il réalise. Il a vocation à remplacer les anciennes autorisations uniques n° 47 et 48.

Toutefois, contrairement à celles-ci, ce référentiel n’a pas de valeur contraignante  Il est donc possible de vous en écarter si vous êtes en mesure de justifier des raisons pour lesquelles vous avez besoin de collecter une information qui n’est pas mentionnée par le référentiel.

Les données relatives au handicap d’une personne sont considérées comme des données de santé. Ces données, sensibles, font l’objet d’une protection juridique toute particulière : elles ne peuvent pas, en principe, être collectées ni utilisées.

Leur utilisation doit nécessairement s’inscrire dans l’une des exceptions prévues par le RGPD, garantissant ainsi l’équilibre entre la volonté d’assurer la sécurité des personnes et le respect de leurs droits et libertés fondamentales.

Il est ainsi possible de collecter des informations relatives à la santé si leur traitement est nécessaire à :

• L’administration de soins, de traitements, de diagnostics médicaux, de médecine préventive ou de gestion des services de santé. Les traitements au sein desquels ces données sont intégrées doivent être mis en œuvre par un membre d’une profession de santé ou par une autre personne à laquelle cela s’impose en raison de ses fonctions (attention : l’atteinte à l’obligation de secret professionnel est réprimée par l’article 226-13 du Code pénal) ;
• La délivrance d’une prestation sociale destinée aux personnes en situation de handicap ou de perte d’autonomie prévue par un texte législatif ou réglementaire, sous réserve que ces informations soient strictement nécessaires à la délivrance de cette prestation (ex. : le versement de l’allocation personnalisée d’autonomie est conditionné à la situation de handicap de la personne concernée).

Lorsque la collecte de données de santé est nécessaire à un accompagnement social en dehors des deux situations précédentes, elle peut être réalisée après recueil du consentement de la personne concernée ou de son représentant légal (ex. : une aide à domicile peut recevoir communication de l’état de santé d’une personne dès lors que ces informations sont nécessaires à l’accompagnement social réalisé à domicile).

Si un texte (loi, règlement, décret) énumère les données personnelles susceptibles d’être collectées dans le cadre de l’accompagnement social et médico-social que vous réalisez, vous ne devez alors collecter et enregistrer que les seules informations listées par cette disposition.

Par exemple, l’article R262-103 du Code de l’action sociale et des familles prévoit la collecte de la nationalité sous la forme « Français, ressortissant d’un État membre de l’Union européenne ou partie à l’Espace économique européen, ressortissant d’un État tiers » dans le cadre de l’attribution et la gestion du RSA.

Dans ce cas, l’information selon laquelle le demandeur est par exemple de nationalité allemande ou australienne ne devra pas être collectée par votre organisme : il devra être noté, dans le premier cas, « ressortissant d’un État membre de l’Union européenne ou partie à l’Espace économique européen » et, dans le second cas, « ressortissant d’un État tiers ».

Les associations de droit privé ne peuvent pas traiter de données relatives aux infractions (il s’agit d’une interdiction de principe qui ne peut pas être levée par le consentement de la personne concernée), sauf dans le cas de l’une des exceptions définies par l’article 46 de la loi Informatique et Libertés.

Une association de droit privé pourrait être ainsi autorisée à collecter des données relatives aux infractions dès lors qu’elle collabore au service public de la justice et appartient à l’une des catégories fixées par l’article 76 du décret d’application de la loi Informatique et Libertés. Sont concernées, par exemple, les associations d’aides aux victimes agréées par le ministère de la Justice ou encore les associations d’aide à la réinsertion des personnes placées sous main de justice mentionnées à l'article 2-1 de la loi pénitentiaire du 24 novembre 2009.

Le « décret-cadre NIR » liste les organismes autorisés à collecter le numéro de sécurité sociale ou NIR. Il recense toutes les utilisations possibles du numéro de sécurité sociale pour chaque secteur d’activité (protection sociale, santé, logement, travail, justice, financier, fiscal et douanier, statistique publique et recensement, éducation).

Ce décret prévoit notamment que les établissements et services sociaux et médico-sociaux mentionnés au I de l’article L312-1 du Code de l’action sociale et des familles sont autorisés à collecter le numéro de sécurité sociale pour les traitements nécessaires à la prise en charge des personnes à des fins sanitaires et médico-sociales et aux échanges avec les organismes chargés de la gestion de base d’un régime de la sécurité sociale.

Avant toute collecte de ce numéro, il vous appartient donc de vous assurer que vous remplissez bien ces conditions.

Pour en savoir plus : Tout savoir sur le « décret-cadre NIR » dans le champ de la protection sociale.

Dans le cadre de l’accompagnement social et médico-social des personnes âgées, des personnes en situation de handicap et des personnes en difficulté, la CNIL recommande une durée de deux ans après le dernier contact avec la personne accompagnée. Cette durée peut s’appliquer à l’ensemble des finalités visées par le référentiel.

Toutefois, dans certains cas, un texte législatif ou réglementaire (loi, décret, etc.) peut prévoir une durée de conservation différente de celle préconisée par la CNIL : l’organisme peut alors légitimement conserver les données pour cette durée.

Par exemple, l’article R. 232-46 du Code de l’action sociale et des familles prévoit que les conseils départementaux conservent les données relatives à un bénéficiaire de l’APA pendant six ans après la cessation de son droit à la prestation, ou après l'intervention d'une décision définitive en cas de contentieux.

Puis-je conserver les données personnelles pour une durée supérieure à deux ans après le dernier contact avec la personne concernée ?

Oui, mais vous devez être en mesure de justifier des raisons pour lesquelles vous souhaitez conserver les données personnelles des personnes accompagnées pour une durée supérieure à celle recommandée par la CNIL.

Oui, si vous êtes en mesure de justifier des raisons pour lesquelles vous souhaitez transmettre les informations à un autre organisme.

Par ailleurs, la liste des destinataires des données mentionnés dans le référentiel n’est pas exhaustive. En effet, au regard de la diversité des organismes susceptibles d’être concernés par le référentiel, les destinataires ont été regroupés par grandes catégories.

De manière générale, avant de communiquer toute information à un organisme, assurez-vous :

• que celui-ci est habilité à recevoir communication des données enregistrées dans votre fichier ; et
• que sa demande est légitime au regard de ses missions.

Vous devez informer les personnes concernées de l’ensemble des mentions d’information prévues par l’article 13 du RGPD (finalités du traitement, durées de conservation, destinataires, etc.) au moment de la collecte de ses informations.

L’information peut être délivrée à la personne concernée ainsi que, si nécessaire, à son représentant légal, par tout moyen approprié (mentions d’information insérées au sein du livret d’accueil, du contrat de séjour, du contrat d’hébergement, des formulaires de demandes de prestations sociales, etc.).

Elle doit être adaptée à sa situation particulière (images ludiques, à l’oral, le recours à la méthode « facile à lire et à comprendre », des pictogrammes, etc.).

Il est recommandé d’avoir recours à une information orale en plus d’une information écrite afin de s’assurer de la bonne compréhension par la personne concernée des informations communiquées.

Pour en savoir plus :

• Les mentions d’information listées à l’article 13 du RGPD
• Conformité RGPD : comment informer les personnes et assurer la transparence ?

La finalité relative à l’instruction, la gestion et, si nécessaire, l’ouverture des droits et/ou le versement des demandes de prestations sociales légales a pour base légale la mission d’intérêt public.

Dans un tel cas, le RGPD prévoit que la personne concernée peut exercer son droit d’opposition au traitement de ses informations. La personne devra alors être informée des conséquences possibles de l’exercice de ce droit sur le traitement de sa demande de prestation sociale.

Par exemple, une personne qui refuserait de communiquer sa situation financière ne pourra pas bénéficier du RSA car cette information est essentielle pour s’assurer de la légitimité de cette personne à recevoir l’aide.

Le registre des activités de traitement permet de recenser vos traitements de données et de disposer d’une vue d’ensemble de ce que vous faites avec les données personnelles. Il doit comporter l’ensemble des informations prévues par l’article 30 du RGPD (nom et les coordonnées de votre organisme, nom de votre délégué à la protection des données si vous en avez désigné un, finalités du traitement, catégories de personnes concernées, etc.).

Pour faciliter la tenue de ce registre, la CNIL propose un modèle de registre de base.

Le RGPD prévoit qu’un organisme a l’obligation de désigner un délégué à la protection des données (DPO) dans les cas suivants :

• si vous êtes une autorité ou un organisme public (conseil départemental, organisme de sécurité sociale, etc.) ;
• si vos activités de base vous amènent à réaliser un suivi régulier et systématique des personnes à grande échelle ; 
• les organismes dont les activités de base les amènent à traiter à grande échelle des données dites « sensibles » ou relatives à des condamnations pénales et infractions (associations d’aide aux victimes si l’accompagnement réalisé prévoit la collecte de données relatives aux infractions, associations du secteur social et médico-social si l’accompagnement réalisé prévoit la collecte de données sensibles comme par exemple les données de santé ou les convictions religieuses).

De manière générale, la désignation d’un DPO est encouragée par la CNIL. Elle permet en effet de confier à un expert l’identification et la coordination des actions à mener en matière de protection des données personnelles.

Vous pouvez désigner un délégué interne (travailleur social, responsable informatique de votre structure, etc.) ou externe (par exemple un cabinet d’avocat) à votre structure. Vous pouvez également désigner un délégué pour plusieurs organismes sous certaines conditions (par exemple le délégué de la fédération à laquelle vous êtes adhérent).

Pour en savoir plus : le délégué à la protection des données (DPO)

L’analyse d’impact sur la protection des données est un outil qui permet de construire un traitement conforme au RGPD et respectueux de la vie privée, lorsqu’un traitement de données personnelles est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes concernées.

Pour réaliser une AIPD, les guides AIPD de la CNIL proposent la méthode suivante :

• délimiter et décrire le contexte du (des) traitement(s) que vous souhaitez mettre en œuvre ;
• analyser les mesures garantissant le respect des principes fondamentaux (la proportionnalité et la nécessité du traitement et la protection des droits des personnes concernées) ;
• apprécier les risques sur la vie privée liés à la sécurité des données et vérifier qu’ils sont convenablement traités ;
• formaliser la validation de l’AIPD au regard des éléments précédents ou bien décider de réviser les étapes précédentes.

La CNIL met également à votre disposition, l’outil PIA qui vous aidera dans l’élaboration de votre AIPD.

Vous pouvez également prendre connaissance d’une étude de cas qui illustre une AIPD ayant été menée par une société fictive sur un traitement fictif.