# DPO médico-social : est-il obligatoire dans votre établissement ?

URL: https://mdp-data.com/dpo-medico-social-obligatoire/
Date: 2026-10-27
Last modified: 2026-10-26
Author: Christophe SAINT-PIERRE

---

> Un établissement médico-social doit-il désigner un DPO ? Pour les structures publiques, c’est systématique. Pour les associations, tout se joue sur la notion de grande échelle : voici comment trancher, choisir le bon modèle et désigner votre délégué.

## MDP Data Protection accompagne les structures sociales et médico-sociales dans le choix de leur DPO médico-social, pour une conformité RGPD pilotée et durable

Faut-il un **DPO médico-social** dans votre établissement ? Dans la grande majorité des cas, oui. Un établissement public doit toujours en désigner un, et une structure privée qui traite les données de santé de ses usagers au quotidien y est très souvent tenue. Voici comment vérifier votre situation, choisir le bon modèle et désigner votre délégué dans les règles.

## Ce que dit le RGPD sur la désignation d’un DPO

L’[article 37 du RGPD](https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX%3A32016R0679) rend la désignation d’un [délégué à la protection des données](https://mdp-data.com/dpo-dans-le-cadre-du-rgpd/) (DPO, ou DPD) obligatoire dans trois cas :

- le traitement est effectué par une **autorité ou un organisme public** ;

- les activités de base de l’organisme exigent un **suivi régulier et systématique** des personnes à grande échelle ;

- les activités de base de l’organisme consistent à traiter **à grande échelle des données sensibles**, comme les données de santé, ou des données relatives aux condamnations pénales.

Dans tous les autres cas, la [CNIL encourage la désignation d’un DPO](https://cnil.fr/fr/cnil-direct/question/reglement-europeen-le-delegue-la-protection-des-donnees-cest-obligatoire) sans l’imposer. Le secteur médico-social est concerné par le premier cas pour ses établissements publics, et par le troisième pour la plupart des autres.

## Pourquoi la plupart des structures doivent désigner un DPO médico-social

### Les établissements publics : pas de question à se poser

Un EHPAD public, un établissement public social et médico-social, un CCAS ou un CIAS qui gère des services relèvent des organismes publics. La désignation d’un DPO est obligatoire, quelle que soit leur taille. Les petites structures publiques peuvent partager un même DPO, par exemple avec leur collectivité de rattachement.

### Les associations et structures privées : tout se joue sur la « grande échelle »

Pour un ESSMS privé, la première condition est presque toujours remplie. Accompagner des personnes âgées, en situation de handicap ou des enfants protégés suppose de traiter en continu des données de santé : dépendance, traitements, handicap, suivi médical. Ce traitement fait partie des activités de base de la structure, pas d’une activité annexe.

Reste la notion de grande échelle, que le RGPD ne chiffre pas. Les lignes directrices européennes sur les DPO ([dites WP243, reprises par le CEPD](https://www.cnil.fr/sites/cnil/files/atoms/files/wp243rev01_fr.pdf)) invitent à tenir compte de quatre critères :

- le nombre de personnes concernées, en valeur absolue ou en proportion de la population visée ;

- le volume et la variété des données traitées ;

- la durée ou la permanence du traitement ;

- l’étendue géographique de l’activité.

Les mêmes lignes directrices citent le traitement des données des patients par un hôpital comme un exemple de grande échelle, et celui d’un médecin exerçant seul comme un contre-exemple. Un EHPAD, une MAS ou un IME qui accompagne des dizaines de personnes sur plusieurs années, avec un dossier usager complet, se rapproche nettement du premier cas.

### Les cas qui méritent une analyse au cas par cas

La réponse est moins évidente pour une petite structure : un service d’aide à domicile qui intervient auprès de quelques usagers, un lieu de vie et d’accueil, une association qui ne gère qu’un dispositif ponctuel. Si vous concluez qu’un DPO n’est pas obligatoire, les lignes directrices recommandent de documenter cette analyse, pour pouvoir la justifier en cas de contrôle.

De mon côté, je conseille de désigner un DPO même dans ces situations limites. Les données traitées sont parmi les plus sensibles qui existent, les usagers sont vulnérables, et un DPO externe ou partagé coûte bien moins qu’un incident mal géré.

👉 Pour approfondir : notre [guide 2026 de la conformité RGPD, cybersécurité et IA dans le médico-social](https://mdp-data.com/guide-rgpd-cybersecurite-ia-secteur-medico-social/).

## DPO interne, externe ou mutualisé : quel modèle choisir ?

Le RGPD laisse le choix : le DPO peut être un salarié de la structure ou un prestataire extérieur lié par un contrat de service. Plusieurs structures peuvent aussi faire appel au même délégué.

- **DPO interne** : il connaît le terrain, les équipes et les logiciels métiers. Il doit cependant disposer du temps et de la formation nécessaires, ce qui est rarement le cas quand la fonction s’ajoute à un poste déjà chargé.

- **[DPO externe](https://mdp-data.com/logiciel-dpo/)** : il apporte une expertise juridique et une méthode. Il doit être bien intégré pour accéder aux informations utiles et être associé assez tôt aux projets.

- **DPO partagé ou mutualisé** : une association gestionnaire de plusieurs établissements peut s’appuyer sur un seul délégué pour tous ses sites, à condition qu’il reste facilement joignable par chacun.

Quel que soit le modèle, un point ne se négocie pas : l’absence de conflit d’intérêts. Une personne qui décide des finalités et des moyens des traitements, comme le directeur de l’établissement ou le responsable informatique, ne peut pas contrôler ses propres décisions. Le rôle des autres professionnels reste essentiel au quotidien, comme le détaille notre article sur [le rôle des collaborateurs dans la conformité RGPD en médico-social](https://mdp-data.com/conformite-rgpd-mediocosocial-role-collaborateur/).

DPO médico-social : les critères de désignation obligatoire selon l’article 37 du RGPD et les trois modèles possibles pour les ESSMS.

## Comment désigner son DPO dans les règles

- **Choisir la personne** sur la base de ses connaissances en protection des données, de sa connaissance du secteur et de son indépendance.

- **Formaliser la mission** par une lettre de mission ou un contrat qui précise son périmètre, ses moyens et son temps de travail. Le [guide du DPO de la CNIL](https://cnil.fr/fr/le-guide-du-delegue-la-protection-des-donnees) en propose un modèle.

- **Notifier la désignation à la CNIL** par son téléservice, et publier les coordonnées du DPO, par exemple dans le livret d’accueil et sur le site internet.

- **Lui donner les moyens d’agir** : accès aux informations, au registre des traitements, aux projets en cours, et un lien direct avec la direction.

- **L’associer dès le départ** aux projets qui touchent aux données : nouveau logiciel de [dossier usager](https://mdp-data.com/dossier-usager-essms-acces-conservation-partage/), outil d’IA, vidéosurveillance, téléassistance.

Les missions du DPO, prévues à l’article 39 du RGPD, sont d’informer et conseiller la structure, de contrôler le respect du règlement, de conseiller sur les analyses d’impact et de coopérer avec la CNIL. Il n’est pas responsable de la conformité : c’est la structure qui l’est. Sa gouvernance au quotidien est décrite dans notre [méthode pour appliquer les obligations RGPD en ESSMS](https://mdp-data.com/obligations-rgpd-essms/).

## Que risque un établissement sans DPO ?

Ne pas désigner de DPO alors qu’il est obligatoire expose à une sanction de la CNIL pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, selon l’article 83 du RGPD. Le montant réel dépend de la gravité, de la taille de la structure et de sa coopération.

Le risque le plus concret est ailleurs. Sans DPO, personne ne pilote le registre, les demandes d’accès au dossier, les violations de données ou les contrats avec les éditeurs de logiciels. Les manques apparaissent au pire moment : lors d’un contrôle, d’une plainte d’une famille ou d’une cyberattaque.

Ce risque grandit avec l’arrivée de l’IA dans les établissements : le projet de guide de la HAS et de la CNIL recommande d’[associer le DPO dès que possible aux projets d’IA en contexte de soins](https://mdp-data.com/ia-contexte-soins-guide-has-cnil-essms/).

Votre établissement n’a pas encore de DPO ?

Analyse de votre obligation, choix du modèle, désignation et premiers chantiers : découvrez notre [accompagnement RGPD pour les établissements sociaux et médico-sociaux](https://mdp-data.com/structures-medico-sociales/).

[Échanger avec nos experts !](https://content.mdp-data.com/premier-contact-25022026-083012)

## Questions fréquentes : DPO médico-social

Un EHPAD doit-il obligatoirement désigner un DPO ?
Un EHPAD public, oui, dans tous les cas, car il s’agit d’un organisme public. Un EHPAD privé traite en continu les données de santé de tous ses résidents, ce qui relève de ses activités de base. Compte tenu du nombre de personnes et de la permanence du traitement, la désignation d’un DPO est dans la grande majorité des cas obligatoire. Une analyse documentée reste utile pour le justifier.

Un petit service d’aide à domicile est-il concerné ?
Cela dépend de son statut et de son activité. S’il est public, la désignation est obligatoire. S’il est privé, il faut apprécier la grande échelle selon le nombre d’usagers, le volume de données, la durée et l’étendue géographique de l’activité. En cas de doute, désigner un DPO externe ou partagé reste la solution la plus sûre, et l’analyse doit être documentée.

Le directeur d’un établissement peut-il être DPO ?
Non, c’est un cas typique de conflit d’intérêts. Le directeur décide des finalités et des moyens des traitements : il ne peut pas en contrôler lui-même la conformité. Il en va généralement de même pour le responsable informatique. Le DPO doit pouvoir rendre compte directement à la direction, sans recevoir d’instruction sur l’exercice de ses missions.

Une association qui gère plusieurs établissements peut-elle avoir un seul DPO ?
Oui. Un seul DPO peut couvrir l’ensemble des établissements d’une association gestionnaire, à condition d’être facilement joignable par chacun d’eux et de disposer de moyens suffisants. Dans les grandes associations, il est souvent appuyé par des relais locaux dans chaque établissement, qui ne sont pas des DPO mais facilitent le travail au quotidien.

Faut-il déclarer son DPO à la CNIL ?
Oui. L’article 37 du RGPD impose de communiquer les coordonnées du DPO à l’autorité de contrôle, ce qui se fait en France via le téléservice de la CNIL. Ces coordonnées doivent aussi être publiées, pour que les usagers, les familles et les salariés puissent le contacter directement. Pensez à mettre à jour la désignation en cas de changement de délégué.

## En résumé

Un DPO médico-social est obligatoire pour tout établissement public et, dans la grande majorité des cas, pour les structures privées qui traitent en continu les données de santé de leurs usagers. Le critère décisif est la grande échelle, appréciée selon le nombre de personnes, le volume de données et la durée du traitement. Le DPO peut être interne, externe ou partagé, sans conflit d’intérêts. Sa désignation doit être notifiée à la CNIL.

## Sources

- [Règlement (UE) 2016/679 (RGPD), articles 37 à 39 et 83 (EUR-Lex)](https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX%3A32016R0679)

- [Règlement européen : le délégué à la protection des données, c’est obligatoire ? (CNIL)](https://cnil.fr/fr/cnil-direct/question/reglement-europeen-le-delegue-la-protection-des-donnees-cest-obligatoire)

- [Le guide du délégué à la protection des données (CNIL)](https://cnil.fr/fr/le-guide-du-delegue-la-protection-des-donnees)

- [Lignes directrices concernant les délégués à la protection des données, WP243 rév.01 (CNIL)](https://www.cnil.fr/sites/cnil/files/atoms/files/wp243rev01_fr.pdf) (Groupe de l’article 29, reprises par le CEPD)

---
Source: https://mdp-data.com/dpo-medico-social-obligatoire/
Generated by Hack The SEO