Secteur social et médico-social : comment gérer les durées de conservation ?

Avant d’engager les travaux dans votre structure pour définir et appliquer les durées de conservation, il est nécessaire d’identifier les bons interlocuteurs en interne (qui est en mesure de définir la durée de conservation nécessaire ? qui la met concrètement en œuvre ?).

Il pourra s’agir :

• des directeurs, chefs de service, bénévoles responsables, opérationnels, etc. : la bonne connaissance de l’organisation et du parcours des personnes accompagnées est essentielle pour comprendre le cycle de vie des données et mettre en place les procédures de conservation. En lien avec les autres intervenants (service informatique, travailleurs sociaux, bénévoles, etc.), ils sont à même de définir la durée de conservation pertinente lorsqu’aucun texte juridique ne la définit ;
• du délégué à la protection des données (DPO/DPD) : son rôle étant d’accompagner la structure dans ses démarches de mise en conformité au RGPD. Il a vocation à être associé aux questions liées à la mise en œuvre effective des durées de conservation. Le DPO/DPD peut, lorsque cela s’avère nécessaire, initier des échanges avec les différentes parties prenantes, formuler des recommandations ou encore s’assurer de l’effectivité des durées définies ;
• du service d’archives interne (ou la personne dédiée) : relai du service d’archives territorialement compétent, il pourra éclairer la structure sur les règles et les pratiques en matière de conservation et d’archivage des données ;
• des archives départementales qui pourront vous renseigner sur les obligations relatives aux archives publiques et vous guider dans leur mise en œuvre (détermination de la durée d’utilité administrative (DUA) et du sort final des données) ;
• d’un organisme avec des activités similaires, des associations de délégués à la protection des données, des fédérations et syndicats professionnels : le partage d’expériences peut en effet faciliter l’intégration des règles dans votre structure et la définition de bonnes pratiques ;
• des services déconcentrés de l’État (la direction départementale de l’emploi, du travail, des solidarités et de la protection des populations (DDETSPP), l’agence régionale de santé (ARS), etc.), qui ont un rôle d’animation et de coordination des politiques publiques relatives à l’action sociale pouvant avoir des conséquences sur la définition des durées et modalités de conservation des données.

La conservation des données contenues dans un dossier n’est pas uniforme : les données personnelles vont obéir à un cycle de vie susceptible de comporter différentes « phases » successives d’utilisation en fonction du parcours de la personne accompagnée :

1. Les données utiles à l’accompagnement vont dans un premier temps être conservées en base active dans le cadre de l’utilisation courante.
2. Lorsque les données ne sont plus utiles à l’accompagnement, elles doivent être supprimées. Elles peuvent cependant être archivées si elles présentent encore un intérêt pour l’organisme (preuve financière, obligation légale, etc.) : on parle alors d’archivage intermédiaire.
3. En raison de leur intérêt notamment historique, certaines données seront archivées de manière pérenne : c’est l’archivage définitif.

Pour chaque traitement et catégorie de données, votre organisme doit identifier la durée pertinente pour chacune des « phases » d’utilisation de ces données :

Exemple du cycle de vie d’un dossier d’une personne ou d’une famille accompagnée au sein d’un établissement social ou médico-social :

Votre structure est soumise au RGPD dès lors qu’elle traite des données personnelles mais d’autres règlementations peuvent également s’appliquer.

Lister les traitements ou fichiers concernés

Pour cela, votre organisme peut utiliser son registre des traitements ou mener un audit spécifique. L’objectif est d’identifier, pour chaque traitement ou fichier, ses finalités et ses caractéristiques essentielles (catégories de données collectées, etc.).

À noter : une même donnée (p. ex : adresse postale de l’usager) peut être utilisée dans différents traitements ou fichiers, et peut donc avoir des durées de conservation différentes.

Identifier si la réglementation en matière d’archives publiques (code du patrimoine) est applicable

Si votre structure (publique ou privée) est chargée d’une mission de service public, les règles spécifiques du code du patrimoine pour les « archives publiques » sont applicables. Ces règles se cumulent avec celles prévues par le RGPD.

Une structure chargée d’une mission de service public peut être concernée par différentes catégories d’archives :

Identifier les textes de référence et éléments pertinents pour votre analyse

Il s’agit de déterminer les différentes ressources sur lesquelles votre organisme pourra s’appuyer pour déterminer la durée applicable, en particulier :

1. les dispositions législatives ou réglementaires applicables au traitement ou fichier visé

Exemple : l’article R. 314-157 du code de l'action sociale et des familles (CASF) précise que les centres d'hébergement et de réinsertion sociale conservent les dossiers des personnes accueillies deux années civiles après leur sortie ;

2. les règles sectorielles (textes applicables à l’accompagnement visé, recommandations sectorielles, etc.)

Exemples :

• recommandations de bonnes pratiques professionnelles pour le secteur social et médico-social de la Haute autorité de santé (HAS) ;
• recommandations de bonnes pratiques professionnelles sur les attentes de la personne et le projet personnalisé de l’Agence nationale de l'évaluation et de la qualité des établissements et services sociaux et médico-sociaux (ANESM) ;
• préconisations relatives au tri et à la conservation des archives produites par les communes et structures intercommunales dans leurs domaines d’activité spécifiques du service interministériel des Archives de France (SIAF), notamment à destination des crèches ;

3. la doctrine de la CNIL (référentiels, guides et fiches pratiques, etc.) ;

Exemples :

• référentiel relatif aux traitements de données personnelles pour le suivi social et médico-social des personnes âgées, en situation de handicap ou en difficulté ;
• référentiel relatif aux traitements de données à caractère personnel mis en œuvre dans le cadre de la protection de l’enfance et des jeunes majeurs de moins de vingt-et-un an ;
• référentiel sur les durées de conservation dans le secteur social et médico-social ;

4. le corpus documentaire produit par les Archives de France

Exemples :

• préconisations relatives au tri et à la conservation des archives produites par les communes et structures intercommunales dans leurs domaines d’activité spécifiques du SIAF, notamment à destination des crèches ;
• protocole pour la gestion et la sélection des archives des Unions départementales d’associations familiales (Udaf)  ;
• etc.

Identifier la durée pertinente

Sur la base des informations recensées, votre organisme doit vérifier si un texte (législatif ou réglementaire) impose une durée.

Exemples :

Pour certaines structures, un texte législatif ou réglementaire prévoit une durée de conservation de deux ans (cf. « textes de références » dans le référentiel des durées de conservation). C’est le cas notamment des centres d’hébergement et de réinsertion sociale (CHRS), des centres d’accueil de demandeurs d’asile (CADA), des hébergements d’urgence pour demandeurs d’asile (HUDA) ou des centres d’accueil et d’examen des situations (CAES).

Or, pour une partie des structures du secteur de l’inclusion sociale, aucune disposition législative ou règlementaire ne prévoit de durée de conservation des données.

Dans ce cas, la CNIL recommande une durée de conservation de deux ans à compter du dernier contact avec la personne faisant l’objet de l’accompagnement social et / ou médico-social (cf. référentiel relatif à l’accompagnement des personnes âgées, des personnes en situation de handicap et des personnes en difficulté).

Appliquer la durée de conservation retenue

Pour cela, il est nécessaire :

• de solliciter les bons interlocuteurs en interne (ex : service informatique) ou en externe (ex : prestataire) pour engager les développements informatiques nécessaires ;
• de modifier les procédures internes pour intégrer les nouvelles durées identifiées ;
• de mettre en place les bonnes conditions pour archiver les données ;
• d’effectuer un tri avant d’archiver les données, afin de conserver uniquement celles nécessaires, à savoir les données qui permettent de satisfaire l’objectif poursuivi par l’archivage ;
• d’identifier la solution appropriée pour réaliser une séparation entre les dossiers actifs et les données archivées (séparation physique ou logique) ;

En cas d’archivage définitif : se rapprocher de son service d’archives interne et des archives départementales. Ces derniers détermineront le sort final des archives publiques (destruction ou versement aux archives départementales).

• prévoir les mesures de sécurité adéquates, qu’il s’agisse de fichiers papiers ou numériques (habilitation des agents, traçabilité des accès aux données archivées, etc.) ;
• identifier les agents qui auront besoin de traiter les données des dossiers en cours, et celles en cas d’archivage.

• Documenter vos choix, en particulier lorsqu’un aucun texte ne fixe la durée de conservation : il faut élaborer un document qui explique comment et pourquoi vous avez appliqué une durée plutôt qu’une autre.
• Cette analyse peut figurer dans une charte interne d’archivage, mais également dans votre analyse d’impact sur la protection des données (AIPD) qui est obligatoire pour les traitements de données personnelles mis en œuvre dans le cadre de l’accompagnement social et / ou médico-social des personnes ;
• Vérifier régulièrement le bon respect des règles et procédures mises en œuvre notamment en réalisant des audits réguliers.
• Pour être efficace, la gouvernance de l'information doit être prise en compte dès la création des données et des documents par les services ;
• Sensibiliser l’ensemble des acteurs de l’organisme (encadrants, salariés, bénévoles, etc.) sur les durées retenues et les nouvelles procédures de l’organisme ;
• Indiquer (ou actualiser au besoin) les durées de conservation retenues dans les mentions d’informations destinées aux personnes concernées qui doivent être compréhensibles et accessibles.