Quel est l’impact du RGPD dans la vie quotidienne de la structure ?

Vous devez être en mesure de cartographier vos traitements et de savoir où et quand intervient le traitement des données, d’en assurer la conservation sécurisée, et de pouvoir rechercher, restaurer ou supprimer les données d’une personne sur demande. Cela suppose d’organiser votre système d’information, de désigner un pilote et de mettre en place des procédures de sécurité et de gestion des violations de données. La vigilance est de mise, car une négligence peut entraîner la suspension d’un traitement ou des sanctions administratives pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires.

Comment définir une donnée personnelle ?

Une donnée personnelle est toute information se rapportant à une personne physique identifiée ou identifiable, directement ou par recoupement avec d’autres données. Dans les services à la personne, cela recouvre la quasi-totalité des informations relatives aux clients et aux bénéficiaires. Les données de santé, omniprésentes dans le secteur, relèvent de la catégorie renforcée des données sensibles.

Quelles démarches réaliser auprès des sous-traitants ?

Vous demeurez responsable des données traitées par vos sous-traitants, qu’il s’agisse de l’éditeur de votre logiciel métier, de votre hébergeur de messagerie ou de votre prestataire de téléassistance. Vérifiez qu’ils disposent d’un registre, d’un délégué le cas échéant, de garanties de conformité et de procédures en cas de violation, et assurez-vous que vos contrats comportent les clauses de sous-traitance prévues par le règlement. Une simple confirmation par courriel ne suffit pas à vous dédouaner.

Quelle différence entre responsable de traitement, sous-traitant et destinataire ?

Le responsable de traitement détermine les finalités et les moyens du traitement : c’est, le plus souvent, votre structure. Le sous-traitant traite les données pour le compte du responsable et sur ses instructions, sans en définir les finalités : il en va ainsi de votre éditeur de logiciel ou de votre hébergeur. Le destinataire est la personne ou l’organisme habilité à recevoir la communication des données, sans nécessairement les traiter pour son propre compte. Identifier précisément ces rôles conditionne la répartition des responsabilités et la rédaction des clauses de sous-traitance.

Un logiciel de planification utilisant l’intelligence artificielle entraîne-t-il des obligations supplémentaires ?

Tout traitement automatisé produisant des effets significatifs justifie une analyse d’impact. Depuis l’entrée en vigueur du règlement européen sur l’intelligence artificielle, un système classé à risque élevé impose en outre une documentation de conformité spécifique, qui se cumule avec les obligations du RGPD. Demandez à votre éditeur sa documentation de conformité au règlement sur l’intelligence artificielle.

Comment vérifier qu’un prestataire de téléassistance héberge correctement les données de santé ?

Tout hébergement de données de santé doit être confié à un prestataire certifié à cet effet, conformément au Code de la santé publique. Vérifiez cette certification avant tout déploiement. À défaut, votre responsabilité de responsable de traitement est engagée.

Comment gérer la portabilité des données d’un bénéficiaire qui change de prestataire ?

Le droit à la portabilité permet à la personne de récupérer ses données dans un format structuré et lisible par machine. Dans les services à la personne, cela concerne notamment le dossier de suivi, le plan d’aide et les comptes rendus d’intervention. Prévoyez contractuellement avec votre éditeur la fonctionnalité d’export correspondante.

Fichepratique

Sommaire

1. Désigner un pilote de la conformité
2. Cartographier les traitements et prioriser les actions
3. Gérer les risques, articuler les régimes et organiser les procédures
4. Synthèse : cartographier les traitements types et leurs obligations

Notre conseil
Évitez les erreurs
FAQ
Aller plus loin

Fiches associées (2)

Le RGPD appliqué aux services à la personne

Réservé aux abonnés

Demande de devis Essai gratuit

Créé par Jean-Luc Stanislas | Mis à jour le 1 juil. 2026 par Jean-Luc Stanislas | Coordonné par Régine Roche | Référence : 11269

L'essentiel par l'éditeur

Le RGPD et le règlement sur l'IA imposent des obligations strictes aux services à la personne, notamment en matière de protection des données sensibles et de conformité des systèmes d'IA. La désignation d'un délégué à la protection des données est cruciale pour assurer la conformité, tandis que la cartographie des traitements et l'analyse d'impact sont essentielles pour gérer les risques. La directive NIS 2 renforce les exigences de cybersécurité, impactant les prestataires et sous-traitants.

Quelles sont les obligations des services à la personne sous le RGPD et le règlement sur l'IA ?
Comment désigner un délégué à la protection des données pour assurer la conformité ?
Quels sont les impacts de la directive NIS 2 sur la cybersécurité des prestataires ?

Le règlement général sur la protection des données (RGPD) est entré en application le 25 mai 2018. Il s’applique à toute entité, publique ou privée, qui propose des biens ou des services sur le marché européen et traite des données de résidents de l’Union. Toutes les structures de services à la personne sont donc concernées, y compris les plus petites associations. Un point de terminologie mérite d’être corrigé d’emblée : les lignes directrices longtemps attribuées au « G29 » émanent désormais du Comité européen de la protection des données, qui a succédé au groupe de l’article 29 lors de l’entrée en application du règlement, en 2018. C’est cette instance qui produit aujourd’hui la doctrine européenne sur l’analyse d’impact et les autres notions clés du règlement.

Le règlement européen sur l’intelligence artificielle, entré en vigueur en août 2024 et d’application progressive, encadre les systèmes d’IA selon leur niveau de risque. Or, plusieurs usages émergents dans les services à la personne – planification automatisée des interventions, détection de chutes, analyse de comportements – peuvent relever de la catégorie des systèmes à risque élevé. Lorsqu’un tel système traite des données personnelles, le RGPD et le règlement sur l’IA s’appliquent simultanément. La Commission nationale de l’informatique et des libertés (Cnil) a précisé l’articulation entre la protection des données et l’intelligence artificielle dans une série de recommandations générales – transversales, et non propres aux services à la personne – engagées par sa délibération n° 2024-011 du 18 janvier 2024 et dont les premières fiches ont été publiées le 8 avril 2024 ; toute structure recourant à un système d’IA doit s’y référer.

En parallèle, la directive NIS 2 relève le niveau d’exigence en matière de cybersécurité. L’assujettissement direct dépend du statut d’entité essentielle ou importante, qui vise des organisations d’une certaine taille – au-delà d’environ 50 salariés ou 10 millions d’euros de chiffre d’affaires – opérant dans un secteur couvert par la directive : les réseaux et enseignes d’envergure nationale doivent donc vérifier leur propre situation, tandis que les petites structures demeurent surtout concernées par ricochet, à travers leurs prestataires informatiques et leurs hébergeurs, dont les obligations renforcées se répercutent par voie contractuelle.

La téléassistance – téléalarme, capteurs de présence, détecteurs de chute – collecte des données qui touchent par nature à la santé et aux habitudes de vie des bénéficiaires, et relèvent à ce titre du régime renforcé des données sensibles. Ces traitements emportent deux conséquences spécifiques, développées dans la présente fiche : l’analyse d’impact y est systématiquement requise, et l’hébergement de ces données doit être confié à un prestataire certifié pour l’hébergement de données de santé.

Désigner un pilote de la conformité

La désignation d’un délégué à la protection des données est obligatoire pour les organismes publics et pour les entités dont l’activité conduit à un suivi régulier et systématique des personnes à grande échelle ou au traitement à grande échelle de données sensibles. Même lorsque cette obligation n’est pas formellement caractérisée, il reste fortement recommandé de confier à une personne identifiée, disposant de relais internes, la responsabilité de la mise en conformité. Le délégué constitue un atout pour comprendre et respecter les obligations du règlement, dialoguer avec l’autorité de contrôle et réduire les risques contentieux.

Avant toute désignation, assurez-vous que le délégué réunit trois conditions :

Il doit d’abord détenir les compétences requises, c’est-à-dire une expertis...

Contenu réservé aux abonnés

Si vous êtes abonné, cliquez pour poursuivre la lecture

Il vous reste 81% à découvrir

Poursuivez la lecture
en profitant d'un essai gratuit (offre sans engagement)

Accédez à une base complète de fiches pratiques et d’outils & méthode
Bénéficiez d’un ensemble de solutions méthodologiques opérationnelles et juridiques
Notre IA juridique au service de votre pratique