Le RGPD appliqué aux services à la personne

Le règlement général sur la protection des données (RGPD) est entré en application le 25 mai 2018. Il s’applique à toute entité, publique ou privée, qui propose des biens ou des services sur le marché européen et traite des données de résidents de l’Union. Toutes les structures de services à la personne sont donc concernées, y compris les plus petites associations. Un point de terminologie mérite d’être corrigé d’emblée : les lignes directrices longtemps attribuées au « G29 » émanent désormais du Comité européen de la protection des données, qui a succédé au groupe de l’article 29 lors de l’entrée en application du règlement, en 2018. C’est cette instance qui produit aujourd’hui la doctrine européenne sur l’analyse d’impact et les autres notions clés du règlement.

Le règlement européen sur l’intelligence artificielle, entré en vigueur en août 2024 et d’application progressive, encadre les systèmes d’IA selon leur niveau de risque. Or, plusieurs usages émergents dans les services à la personne – planification automatisée des interventions, détection de chutes, analyse de comportements – peuvent relever de la catégorie des systèmes à risque élevé. Lorsqu’un tel système traite des données personnelles, le RGPD et le règlement sur l’IA s’appliquent simultanément. La Commission nationale de l’informatique et des libertés (Cnil) a précisé l’articulation entre la protection des données et l’intelligence artificielle dans une série de recommandations générales – transversales, et non propres aux services à la personne – engagées par sa délibération n° 2024-011 du 18 janvier 2024 et dont les premières fiches ont été publiées le 8 avril 2024 ; toute structure recourant à un système d’IA doit s’y référer.

En parallèle, la directive NIS 2 relève le niveau d’exigence en matière de cybersécurité. L’assujettissement direct dépend du statut d’entité essentielle ou importante, qui vise des organisations d’une certaine taille – au-delà d’environ 50 salariés ou 10 millions d’euros de chiffre d’affaires – opérant dans un secteur couvert par la directive : les réseaux et enseignes d’envergure nationale doivent donc vérifier leur propre situation, tandis que les petites structures demeurent surtout concernées par ricochet, à travers leurs prestataires informatiques et leurs hébergeurs, dont les obligations renforcées se répercutent par voie contractuelle.

La téléassistance – téléalarme, capteurs de présence, détecteurs de chute – collecte des données qui touchent par nature à la santé et aux habitudes de vie des bénéficiaires, et relèvent à ce titre du régime renforcé des données sensibles. Ces traitements emportent deux conséquences spécifiques, développées dans la présente fiche : l’analyse d’impact y est systématiquement requise, et l’hébergement de ces données doit être confié à un prestataire certifié pour l’hébergement de données de santé.