Un bénéficiaire, un salarié ou un intervenant demande à consulter les informations que votre structure détient sur lui. Ce scénario n’a rien d’exceptionnel : les demandes d’accès aux données personnelles progressent chaque année dans le secteur des services à la personne.
Le problème n’est pas la demande elle-même. C’est l’improvisation qui suit. Qui répond ? Sous quel délai ? Avec quelles données ? Beaucoup de structures découvrent leurs failles organisationnelles au moment où elles doivent produire une réponse.
Cet article détaille le cadre légal, les concepts à maîtriser, la méthode pour traiter une demande d’accès et les erreurs qui coûtent le plus cher.
Pourquoi cet enjeu s'impose maintenant aux structures de services à domicile
Les structures de services à la personne traitent un volume de données particulièrement sensible : santé, habitudes de vie, situation familiale, accès au domicile. Cette densité d’informations personnelles attire mécaniquement l’attention des personnes concernées et des autorités de contrôle.
La CNIL a durci ses contrôles sur le secteur médico-social et les services à domicile ces dernières années. Les sanctions ne visent plus seulement les grands groupes : les structures de taille intermédiaire, souvent moins outillées, sont désormais dans le viseur.
Trois facteurs expliquent cette pression croissante :
- La digitalisation des dossiers bénéficiaires et salariés multiplie les points de collecte de données.
- Les familles et aidants sont mieux informés de leurs droits RGPD.
- Les plateformes de télégestion centralisent des données qui deviennent, de fait, plus faciles à demander.
Un directeur opérationnel ou un DRH qui pensait ce sujet réservé aux juristes doit désormais l’intégrer à son pilotage courant.
Les concepts clés pour comprendre une demande d'accès aux données
Le droit d’accès, une brique du RGPD parmi d’autres
Le droit d’accès permet à toute personne concernée d’obtenir la confirmation que ses données sont traitées, ainsi qu’une copie de ces données. Il se distingue du droit de rectification, du droit à l’effacement ou du droit d’opposition, qui répondent à d’autres logiques.
Une demande d’accès n’exige pas de justification particulière. Le demandeur n’a pas à motiver sa requête pour que la structure y réponde.
Qui peut formuler une demande légitime
Trois profils reviennent le plus souvent dans les structures de services à domicile :
- Le bénéficiaire ou son représentant légal, qui souhaite connaître les données de suivi conservées.
- Le salarié ou l’intervenant, qui interroge son dossier RH ou ses données de géolocalisation.
- Un tiers mandaté, comme un avocat, dont la légitimité doit être vérifiée avant toute réponse.
Le délai légal, un repère non négociable
La réponse doit intervenir dans un délai d’un mois à compter de la réception de la demande, prorogeable de deux mois pour les dossiers complexes. Ce délai court dès la réception, pas dès l’identification du bon interlocuteur en interne. C’est précisément là que la plupart des structures perdent un temps précieux.
Les étapes pour traiter une demande d'accès efficacement
Étape 1 : sécuriser la réception de la demande
Toute demande, écrite ou orale, doit être tracée immédiatement. Un mail reçu par une secrétaire, une remarque formulée en visite à domicile, un message sur une plateforme de télégestion : chaque canal doit remonter vers un point de collecte unique.
Étape 2 : vérifier l’identité du demandeur
Avant de transmettre la moindre donnée, la structure doit s’assurer que la personne qui demande est bien celle qu’elle prétend être. Un doute raisonnable justifie de demander une pièce complémentaire, sans pour autant multiplier les vérifications de façon disproportionnée.
Étape 3 : cartographier les données concernées
Cette étape est souvent la plus longue. Elle suppose de savoir où résident les données : dossier bénéficiaire, logiciel de télégestion, échanges d’emails, notes des intervenants. Une structure qui n’a jamais cartographié ses traitements découvre ici l’ampleur du travail.
Étape 4 : filtrer les données tierces
La réponse ne doit pas exposer les données personnelles d’un tiers, comme un autre bénéficiaire mentionné dans une note ou un intervenant cité dans un compte-rendu. Ce filtrage demande une lecture attentive, dossier par dossier.
Étape 5 : formaliser et transmettre la réponse
La réponse doit être claire, dans un format accessible, et accompagnée d’une information sur les finalités du traitement, la durée de conservation et les destinataires des données. Un simple export brut de base de données ne suffit pas.
Étape 6 : conserver une preuve du traitement
Chaque demande traitée doit laisser une trace : date de réception, identité vérifiée, contenu transmis, date d’envoi. Cette traçabilité protège la structure en cas de contrôle ultérieur.
Les erreurs qui coûtent le plus cher, et les questions à se poser
Trois erreurs reviennent systématiquement dans les structures accompagnées :
- Répondre dans la précipitation sans vérifier l’identité du demandeur, ce qui expose à une violation de données envers un tiers.
- Transmettre l’intégralité d’un dossier sans filtrer les mentions concernant d’autres personnes.
- Laisser passer le délai d’un mois faute de procédure interne claire sur qui traite quoi.
Avant de répondre à une demande, un responsable de structure devrait se poser trois questions simples : Où sont réellement stockées toutes les données concernant cette personne ? Qui, dans l’équipe, a le mandat et la formation pour vérifier et transmettre une réponse conforme ? Que ferait la structure si cette même demande arrivait un vendredi soir, en pleine période de tension d’effectifs ?
Si une seule de ces questions reste sans réponse claire, le risque n’est pas théorique.
Ce qu'il faut retenir, et comment avancer
Une demande d’accès aux données n’est pas un incident isolé : c’est un test de la maturité RGPD de votre structure. Trois idées à garder en tête : le délai d’un mois ne laisse aucune place à l’improvisation, la vérification d’identité et le filtrage des données tierces sont les étapes les plus risquées, et une procédure écrite en amont change tout le jour où la demande arrive.
Amaltia vous accompagne
Amaltia accompagne les structures de services à domicile pour construire cette procédure, former les équipes et sécuriser durablement le traitement des demandes d’accès
Intéressé.e ? Contactez-nous !
