Détection de chute en EHPAD : ce que le RGPD autorise vraiment

1. Qui est responsable, et de quoi

L'établissement qui décide d'installer le dispositif, en fixe les finalités et en organise l'usage est responsable de traitement. Le fournisseur est son sous-traitant au sens de l'article 28 du RGPD, et cette relation se formalise par un contrat écrit, pas par une clause de bas de page.

Ce partage n'est pas un détail administratif : il détermine qui répond en cas de contrôle, qui informe les résidents, qui tient le registre, et qui est exposé si le dispositif dérape. Un fournisseur qui accepte de porter la responsabilité à votre place se trompe de rôle, ou n'a pas lu le règlement.

2. Des données de santé, quoi qu'on en dise

Une chute détectée, une posture, un horaire de lever concernant une personne identifiée dans sa chambre : ce sont des données relatives à la santé au sens de l'article 9 du RGPD. Trois conséquences en découlent mécaniquement :

• il faut une base légale de l'article 6 et une exception de l'article 9-2, l'interdiction de principe du traitement des données de santé étant le point de départ, pas l'exception ;
• l'hébergement doit être documenté et écrit au contrat : qui héberge, où sont les serveurs, qui les administre, et quelles garanties de sécurité sont prises ;
• une analyse d'impact est due, et elle doit exister avant la mise en œuvre. Nous lui consacrons un guide séparé.

Le choix entre le consentement explicite du résident (article 9-2-a) et la prise en charge sociale ou médico-sociale (article 9-2-h) n'est pas un choix de fournisseur : il s'instruit avec votre DPO et, pour un premier déploiement, avec un avocat spécialisé en données de santé. Ce qui est certain, c'est qu'aucune de ces deux voies ne dispense d'informer la personne et de respecter son opposition.

3. Ce que le droit exclut

La vidéo brute qui part vers un serveur distant

L'article 226-1 du code pénal punit d'un an d'emprisonnement et de 45 000 € d'amende le fait de porter atteinte à l'intimité de la vie privée en fixant, enregistrant ou transmettant, sans le consentement de la personne, son image dans un lieu privé. La chambre est un lieu privé. Le verbe qui compte est « transmettant » : une architecture qui fait monter les flux vidéo des chambres vers un serveur extérieur transmet, par construction. Le risque est pénal et personnel, et il pèse d'abord sur le directeur, responsable de traitement, pas sur son fournisseur.

Le chiffrement présenté comme une exemption

C'est l'erreur la plus répandue dans les argumentaires du secteur. Le chiffrement est une mesure de sécurité nommée par l'article 32 du RGPD : il suppose que le règlement s'applique. La seule porte de sortie prévue par le texte est l'anonymisation, et une donnée chiffrée n'est pas anonyme puisqu'elle est réversible, ce que le Comité européen de la protection des données a rappelé en juillet 2026. Le chiffrement abaisse le niveau de risque, il ne change pas le champ d'application.

L'argument « personne ne regarde, donc ce n'est pas un traitement »

La CNIL a écrit l'inverse dans sa position sur les caméras augmentées du 19 juillet 2022 : même lorsque les images sont anonymisées, voire détruites très rapidement après leur captation et leur analyse, ces opérations constituent un traitement de données à caractère personnel. Plus inconfortable encore : l'absence d'humain dans la boucle y est analysée comme une aggravation, pas comme une atténuation, parce qu'elle rend la surveillance systématique.

La surveillance permanente sans justification propre

Filmer en continu des résidents dans leur lieu de vie, sans besoin démontré et sans mesure moins intrusive examinée, est le cas type de la disproportion. Un dispositif ne se justifie pas par ce qu'il pourrait servir un jour : il se justifie par une finalité précise, ici la réduction du temps entre une chute et sa découverte, et il s'arrête là.

4. La position de la CNIL, telle qu'elle est

La délibération n° 2024-024 du 29 février 2024 porte sur la vidéosurveillance dans les établissements accueillant des personnes âgées. Trois précisions utiles avant de la citer en réunion :

• c'est une recommandation, adoptée au titre du droit souple, pas une interdiction. Écrire « la CNIL interdit » est un raccourci qu'un juriste démonte en une phrase ;
• elle ne dit rien du lieu du traitement : elle vise la caméra dans la chambre, pas le serveur qui reçoit le flux. Elle ne permet donc pas, à elle seule, de départager deux architectures ;
• sur la chute précisément, elle renvoie vers « des dispositifs autres que ceux utilisant la vidéosurveillance ». Le sujet était dans son viseur et elle l'a traité : elle admet le principe d'un dispositif qui détecte et alerte, hors du régime de la vidéosurveillance.

À connaître également : l'expérimentation de vidéosurveillance algorithmique de la loi n° 2023-380 a expiré le 31 mars 2025 et sa prolongation a été censurée par le Conseil constitutionnel le 24 avril 2025. Personne ne peut donc s'en prévaloir comme d'un régime en vigueur.

5. Informer le résident, sa famille et le personnel

C'est la partie du dossier qui décide de l'acceptation, et c'est la moins coûteuse à bien faire. Ce que nous considérons comme le minimum praticable :

• Une notice écrite d'une page, remise en main propre au résident ou à la personne chargée de sa protection, et expliquée oralement, avant toute installation. Elle dit ce que l'appareil fait, ce qu'il ne fait pas, et ce qui est conservé.
• Le mot « caméra » écrit dès la première ligne. Un résident qui découvre l'objet après coup a raison de se sentir trompé, et c'est l'établissement qui le paie.
• Un refus respecté sans avoir à être motivé, avec retrait physique de l'appareil sous un délai court et écrit, et sans aucune conséquence sur la prise en charge, les soins ou la place du résident.
• Un registre des oppositions tenu par l'établissement, et la possibilité de changer d'avis dans les deux sens.
• Le cas de la personne hors d'état de consentir, traité explicitement : personne chargée de la mesure de protection, personne de confiance, et procédure écrite plutôt qu'appréciation au cas par cas.
• Le personnel informé par écrit avant la mise en service et ses instances représentatives consultées. La chambre est aussi un lieu de travail : l'interdiction d'utiliser les données à des fins d'évaluation, de contrôle ou de sanction doit être contractuelle, pas orale.

La présentation au conseil de la vie sociale est le moment où tout cela se vérifie en public. Nous en avons fait un guide dédié.

6. Le rôle du DPO

Le DPO n'est pas là pour dire oui ou non : il est consulté sur l'analyse d'impact, son avis y est consigné, et il vérifie des pièces. Concrètement, il vous demandera :

• l'AIPD renseignée pour votre établissement, avec le test de nécessité et la comparaison explicite des solutions envisagées ;
• le contrat de sous-traitance article 28 et la liste des sous-traitants ultérieurs, avec leur localisation ;
• l'identité de l'hébergeur, la localisation des serveurs et les engagements de sécurité pris au contrat, pas une simple mention commerciale ;
• les notices d'information, l'affichage, le registre des oppositions ;
• l'inscription du traitement au registre de l'établissement, et la procédure de notification de violation.

Si l'un de ces éléments n'existe pas encore, la seule réponse tenable est de le dire. Annoncer une pièce comme rédigée alors qu'elle ne l'est pas est le genre d'écart qui se voit au premier rendez-vous et coûte tout le reste du dossier.

7. Ce qu'un fournisseur honnête ne vous promettra pas

• Aucun dispositif ne détecte toutes les chutes. Le nôtre non plus. Les zones non couvertes, à commencer par la salle de bain, s'écrivent au contrat.
• Cela ne pose aucun diagnostic. Vigeos se positionne comme une aide organisationnelle à la surveillance et ne revendique aucune performance clinique.
• Cela ne remplace ni les rondes, ni l'appel malade, ni le jugement des équipes. C'est une couche en plus, jamais une couche en moins, et aucune procédure de l'établissement ne doit être allégée au motif de son installation.
• Cela ne fera pas baisser le nombre de chutes. Ce qu'un tel dispositif vise, c'est le délai entre la chute et sa découverte.

Reste la question du budget et du canal de paiement, qui se prépare tôt et pas à la signature : voir financer un dispositif de détection de chute en établissement.