Le RGPD en SSIAD/SAAD : quelles solutions pour la Direction ?

Le Règlement Général sur la Protection des Données dit "RGPD", a instauré un changement important en matière de protection des données personnelles, et notamment celles des usagers, personnes vulnérables et salariés. Il impose notamment aux acteurs du médico-social et social (et à leurs sous-traitants) de garantir une protection élevée des informations relatives aux personnes et d'être en mesure de prouver leur conformité à chaque instant (c'est qu'on appelle le principe d'accountability).

Impacts du RGPD sur votre SSIAD ou SAAD ?

Comme vous le savez, l'obligation d'être en règle avec le RGPD concerne votre SSIAD/SAAD. L'entrée en vigueur de cette règlementation européenne a plusieurs effets :

1. Responsabilisation accrue des Directions d'ESSMS en matière de garanties juridiques et de sécurité des données collectées (informations papiers et numériques)
2. Renforcement des droits des usagers à domicile (et par extension, donnant également un pouvoir d'agir aux tuteurs et currateurs)
3. Complexification des évaluations externes
4. Alourdissement des sanctions, notamment financière

Les établissements médico-sociaux comme les SSIAD ou SAAD sont particulièrement concernés, avec notamment l'obligation de nommer un DPO (Délégué à la Protection des Données).

La mise en place du RGPD en SSIAD/SAAD est un sujet complexe

Les problématiques sur le terrain

• Je prends des photos et documents d'un usager à son domicile avec mon téléphone, mais qu'ai-je droit d'en faire ?
• Le fils d'un résident me demande tout le dossier de son père, que dois-je faire ?
• Un partenaire me demande des données de santé sur un usager, puis-je les transférer ?
• J'ai perdu des mon ordinateur professionnel avec des documents de résidents, que dois-je faire ?

Les problématiques de la Direction

• C'est bien beau le RGPD, mais je n'ai le temps de m'en charger et mes équipes non plus !
• Quel SSIAD ou SAAD a un Juriste en interne spécialisé en protection des données aujourd'hui ? Aucun.
• Je n'ai pas 40 000 € à mettre dans le RGPD tous les ans
• Même si on s'en occupait en interne, comment savoir si mon SSIAD ou est conforme au RGPD ?

Les 3 options de la Direction de SSIAD ou SAAD pour éviter les sanctions

Option 1 : réaliser sa conformité en DPO interne sans accompagnement

Votre DPO interne rédige par soi-même les documents essentiels de la conformité pour sécuriser votre établissement et réussir vos évaluations. La désignation d'un DPO au sein d'un SSIAD ou SAAD est obligatoire et ne peut pas être membre de la Direction.

Votre DPO interne devra avoir le temps suffisant (environ 50% d'un ETP) et les compétences nécessaires pour s'occuper du RGPD de manière continue.

Option 2 : votre DPO interne est accompagné par un spécialiste RGPD

Pour faire face à l'insécurité juridique, votre DPO interne a peut-être besoin d'un accompagnement : formation + vérification du travail et outil RGPD.

Ce type d'accompagnement est généralement proposé par des cabinet de conseil RGPD 360, tels que Blockproof.

Option 3 : Réaliser sa conformité grâce à un DPO externe

Vous n'avez pas le temps, les ressources internes et l'énergie de vous en occuper ? Optez pour le DPO externe qui réalisera la mise en place, la formation interne et le suivi de la conformité de votre SSIAD ou SAAD.

ll peut s'agir :

• d'un spécialiste RGPD des établissements médico-sociaux tel que Blockproof
• d'un avocat
• ou d'un consultant RGPD

Nous préciserons maintenant la notion de DPO (ou DPD en français).

Le DPO en SSIAD-SAAD : définition

Le DPO est le Délégué à la protection des données personnelles de votre SSIAD ou SAAD en charge de conseiller la Direction ("Responsable de traitement") sur la politique à suivre en matière de protection des données personnelles. Attention, la fonction de DPO est "juridique", incarné par des Juristes car le RGPD c'est avant tout des questions de droit (avant d'être "informatique").

Le DPO vous représente auprès de la CNIL (= autorité en matière de protection des données).

Le DPO gère avec vous les demandes RGPD (des usagers, des familles et des salariés) et vous accompagne en cas de violation de données ou de contrôle des autorités.

Dans la majorité des cas, le DPO est aussi en charge de réaliser la mise en place et le suivi de la conformité du SSIAD et du SAAD dans le temps. Pour aller plus loin : DPO interne ou externe : comment choisir ?