Analyse d'impact (AIPD) : comment la mener pour un dispositif de veille en chambre

1. Quand elle est obligatoire

L'article 35 du RGPD impose une AIPD lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. Les lignes directrices européennes retiennent neuf critères, et deux suffisent à présumer le risque élevé. Un dispositif de veille en chambre en réunit plusieurs sans effort :

• données sensibles, puisqu'il s'agit de données de santé, et captation à l'intérieur d'un lieu de vie privé ;
• personnes vulnérables, parfois en perte d'autonomie ou avec des troubles cognitifs ;
• surveillance systématique, l'analyse étant continue ;
• usage d'une technologie récente, la détection par apprentissage automatique ;
• croisement de données, entre événements, rythmes de vie et identité du résident.

La CNIL a par ailleurs inscrit les traitements des établissements d'hébergement pour personnes âgées dans sa liste des traitements pour lesquels une AIPD est obligatoire, au double titre des données sensibles et des personnes vulnérables. La question « faut-il une AIPD ? » est donc tranchée avant d'être posée.

2. Qui la conduit

Elle relève du responsable de traitement, c'est-à-dire de l'établissement. Ce n'est pas une délégation contrariante, c'est une conséquence logique : personne d'autre ne connaît l'organisation des nuits, la population accueillie et les alternatives déjà en place.

• Le DPO est consulté et son avis est consigné dans le document. S'il n'y en a pas dans l'établissement, la consultation d'un DPO mutualisé ou externe se prépare tôt.
• Le fournisseur apporte la matière technique : description exacte du traitement, données réellement collectées, durées, flux, mesures de sécurité, limites connues. Il ne rédige pas l'analyse à votre place, et il ne la signe pas.
• L'avis des personnes concernées est prévu par l'article 35-9. Interroger quelques résidents, quelques familles et l'équipe de nuit, puis consigner ce qu'ils ont dit, coûte une après-midi et change la qualité du dossier.

Une AIPD confiée à un prestataire qui ne regarde pas le système produit un document générique, reconnaissable au fait qu'il pourrait décrire n'importe quel autre projet. Il ne protège personne.

3. Ce qu'elle contient

L'article 35-7 fixe quatre blocs, et la CNIL publie à la fois une méthode et un logiciel libre, l'outil PIA, qui produit le rapport dans le format attendu en cas de contrôle.

• La description du traitement et de ses finalités. Pour un dispositif de veille, il faut distinguer la finalité principale (détecter une chute et alerter l'équipe) des finalités accessoires. Toute collecte destinée à améliorer un modèle doit faire l'objet d'une finalité séparée, avec sa propre base légale, et jamais être fondue dans le contrat de service.
• La nécessité et la proportionnalité, avec le test de nécessité : existe-t-il un moyen moins intrusif d'atteindre le même résultat ? Il faut examiner explicitement les capteurs de présence, les capteurs sous matelas, les dispositifs portés, l'appel malade existant, et dire pourquoi ils ne couvrent pas le besoin.
• Les risques pour les personnes, en gravité et en vraisemblance : accès illégitime aux données, altération d'un réglage qui empêcherait une alerte de partir, disparition de données, détournement d'usage à des fins de contrôle du personnel ou des visites, défaillance de la détection elle-même.
• Les mesures envisagées pour traiter ces risques. C'est ici que figure le chiffrement, avec sa juste portée : il abaisse le risque résiduel, il ne fait pas sortir du champ du RGPD.

Ajoutez un risque que beaucoup d'AIPD omettent : celui que le dispositif ne fonctionne pas. Une équipe qui se croit couverte relâche sa vigilance. L'article 35 vise les droits et libertés des personnes, et la sécurité d'une personne dépendante en fait partie : ce risque a sa place dans l'analyse, avec les mesures qui vont avec, à commencer par la supervision du silence du détecteur.

4. Combien de temps cela prend

Le travail utile se compte en semaines, pas en jours, et il n'est pas continu : il alterne des ateliers courts et des attentes de pièces. Un ordre de marche réaliste :

• un atelier de description du traitement avec le fournisseur, la direction, le cadre de santé et le DPO ;
• la collecte des pièces auprès du fournisseur : flux de données, durées de conservation, identité de l'hébergeur et localisation des serveurs, liste des sous-traitants ultérieurs, projet de contrat article 28 ;
• la rédaction et la cotation des risques, puis l'avis du DPO ;
• le recueil de l'avis de quelques personnes concernées ;
• la reprise dans l'outil PIA et la validation formelle.

Dans notre propre planning, l'ensemble du dossier de conformité d'un premier établissement, AIPD comprise, est prévu sur six à dix semaines, consultation d'un avocat spécialisé incluse. Ce n'est pas une norme, c'est un ordre de grandeur : la variable principale est la disponibilité du DPO, pas la rédaction.

5. Les pièges

• Écrire l'AIPD après la pose. Le plus fréquent, et le seul qui ne se rattrape pas.
• Le test de nécessité qui se retourne. Si un moyen moins intrusif atteint la finalité, il faut le retenir. Un fournisseur qui propose lui-même une architecture moins intrusive ne peut pas soutenir ensuite qu'elle n'existe pas.
• Confondre une mesure déclarée et une mesure branchée. Un module de chiffrement présent dans un code mais jamais appelé, une table de journalisation déclarée mais jamais alimentée, une déconnexion qui n'invalide rien : nous avons trouvé ces trois écarts dans notre propre système et nous les avons écrits dans notre AIPD plutôt que de les lisser. La présence d'un fichier n'est pas la preuve d'une mesure. Demandez comment chaque mesure est vérifiée.
• Cocher « consentement » sans regarder qui consent. Un résident hors d'état de consentir, une famille qui décide à sa place, un accord obtenu sous pression : la question se traite dans le document, avec une procédure écrite, pas dans une case.
• Oublier l'article 36. Si un risque résiduel élevé subsiste malgré les mesures, la consultation préalable de la CNIL s'impose. Ce n'est pas un échec, c'est la conséquence prévue par le texte, et il vaut mieux l'anticiper que la découvrir.
• La croire définitive. Elle se révise à chaque évolution significative du dispositif, et une évolution qui change la nature de la collecte est une évolution significative, même si le format des données ne bouge pas.

6. Ce que nous fournissons, et ce que nous ne prétendons pas

Nous remettons la description technique complète du traitement, les durées appliquées, les mesures de sécurité et leurs limites connues, le projet de contrat de sous-traitance et les éléments d'hébergement, avant toute installation. Nous ne remettons pas une AIPD « déjà rédigée » pour votre établissement : celle qui est publiée dans notre documentation couvre notre produit destiné aux familles, et une analyse d'impact se renseigne site par site, avec votre DPO.

Sur le fond du cadre juridique, voir ce que le RGPD autorise vraiment en EHPAD. Sur la restitution en séance, voir présenter un projet de veille en chambre au conseil de la vie sociale.