TL;DR
- Le RGPD s’applique dans les 27 États membres de l’Union européenne et dans les pays de l’Espace économique européen.
- Sa portée est aussi extraterritoriale : il vise les organismes hors UE qui traitent des données de personnes situées dans l’UE.
- Le dossier usager informatisé des ESMS contient des données de santé, soumises aux règles les plus strictes du RGPD.
- Les obligations couvrent la base légale, la sécurité, la conservation limitée et le respect des droits des personnes.
- Un accompagnement DPO permet de relier portée géographique et obligations concrètes sur le terrain.
Comprendre où le RGPD s’applique est la première étape pour savoir quelles obligations pèsent sur un traitement de données. La question des pays couverts par le RGPD est particulièrement importante pour les structures qui, comme les ESMS, gèrent des données sensibles via un dossier usager informatisé.
Quels sont les pays couverts par le RGPD
Le RGPD s’applique directement dans les 27 États membres de l’Union européenne. Il s’étend également aux trois États de l’Espace économique européen qui ne sont pas membres de l’UE : l’Islande, le Liechtenstein et la Norvège. Dans ces pays, les organismes sont soumis aux mêmes principes fondamentaux de protection des données personnelles.
La particularité des pays couverts par le RGPD tient aussi à la portée extraterritoriale du texte. Un organisme établi hors de l’UE reste soumis au RGPD dès lors qu’il traite des données de personnes situées dans l’Union, par exemple pour leur proposer des biens ou services, ou pour suivre leur comportement. La localisation de l’entreprise ne suffit donc pas à échapper au règlement.
Le cas particulier du DUI dans les ESMS
Pour un établissement social ou médico-social situé en France, l’application du RGPD ne fait aucun doute, et elle prend un relief particulier avec le DUI. Le dossier usager informatisé centralise des données de santé, qui relèvent des catégories particulières de données. Leur traitement est en principe interdit, sauf lorsqu’une condition précise le permet, comme la prise en charge sociale ou médico-sociale de la personne.
Cette qualification a des conséquences directes. Le traitement des données du DUI doit reposer sur une base légale solide, s’accompagner de mesures de sécurité renforcées et respecter strictement le principe de minimisation. Un ESMS ne peut collecter que les données réellement nécessaires à l’accompagnement, et il doit les conserver seulement pendant la durée utile, puis les archiver ou les supprimer selon des règles définies à l’avance. Une politique de conservation écrite, connue des équipes, évite l’accumulation de données obsolètes qui augmentent le risque sans apporter de valeur.
Les obligations concrètes à respecter
Les obligations concrètes couvrent plusieurs volets. L’établissement doit définir une base légale pour chaque traitement, tenir un registre des activités, sécuriser les accès au dossier usager par une gestion fine des habilitations, et informer les personnes accompagnées de l’usage de leurs données. Les droits d’accès et de rectification doivent pouvoir être exercés facilement, et l’établissement doit indiquer clairement à qui l’usager peut s’adresser pour cela. Une procédure interne connue de tous permet de répondre dans les délais prévus par le règlement.
La sécurité occupe une place centrale. Le RGPD impose des mesures techniques et organisationnelles adaptées au risque, ce qui, pour des données de santé, se traduit par des exigences élevées. En cas de violation susceptible de porter atteinte aux personnes, l’établissement doit notifier la CNIL dans les 72 heures et, dans certains cas, informer directement les usagers concernés.
Lorsque le traitement présente un risque élevé pour les personnes, une analyse d’impact relative à la protection des données peut être obligatoire. C’est fréquemment le cas pour un dossier usager qui centralise des données de santé à grande échelle. Cette analyse documente les traitements, évalue les risques et définit les mesures pour les réduire. Elle constitue aussi une preuve de la démarche de conformité en cas de contrôle de la CNIL.
La question des transferts de données se pose dès qu’un prestataire ou un hébergeur se situe en dehors des pays couverts par le règlement. Tout transfert de données vers un pays tiers doit reposer sur un encadrement approprié, par exemple une décision d’adéquation ou des garanties contractuelles reconnues. Pour un ESMS, cela implique de vérifier où sont réellement stockées et traitées les données du dossier usager, y compris chez ses sous-traitants techniques.
Enfin, la responsabilité ne se limite pas à la mise en place initiale. Le RGPD repose sur le principe de responsabilité, qui impose de pouvoir démontrer sa conformité à tout moment. Un ESMS doit donc maintenir à jour son registre, ses analyses de risque et sa documentation, et réviser régulièrement ses pratiques à mesure que ses outils et ses partenaires évoluent.
Faire le lien entre portée et obligations
Savoir que le RGPD s’applique ne suffit pas : il faut traduire cette portée en actions opérationnelles. Pour un ESMS, cela signifie cartographier les traitements liés au dossier usager, documenter les bases légales et les conditions de traitement des données de santé, et vérifier que la sécurité est à la hauteur de la sensibilité des informations.
Pour les groupes ou réseaux d’établissements présents dans plusieurs pays, cette lecture géographique devient encore plus importante. Un même outil de dossier usager peut être déployé dans plusieurs États, chacun avec ses règles nationales complétant le RGPD. Identifier clairement quels traitements relèvent de quel cadre évite les angles morts et permet d’harmoniser les pratiques sans niveler la conformité vers le bas.
DPO Consulting accompagne les organismes soumis au RGPD, en France comme à l’international, avec des services de DPO externalisé, d’audit de conformité et de formation. Pour clarifier vos obligations et sécuriser votre dossier usager informatisé, demandez un audit RGPD auprès de DPO Consulting et obtenez un plan d’action adapté à votre établissement.
