Logo MDP Data Protection avec clé rouge sur fond transparent

Bureaux

425 rue Jean Rostand 31670 Labège

Nous écrire

ask@mdp-data.com

Nous appeler

+33 5 61 60 16 67

Nous contacter

DPO médico-social : est-il obligatoire dans votre établissement ?

par | Oct 27, 2026 | Médico-social

DPO médico-social échangeant avec une professionnelle de santé sur la protection des données dans un EHPAD

MDP Data Protection accompagne les structures sociales et médico-sociales dans le choix de leur DPO médico-social, pour une conformité RGPD pilotée et durable

Faut-il un DPO médico-social dans votre établissement ? Dans la grande majorité des cas, oui. Un établissement public doit toujours en désigner un, et une structure privée qui traite les données de santé de ses usagers au quotidien y est très souvent tenue. Voici comment vérifier votre situation, choisir le bon modèle et désigner votre délégué dans les règles.

Ce que dit le RGPD sur la désignation d’un DPO

L’article 37 du RGPD rend la désignation d’un délégué à la protection des données (DPO, ou DPD) obligatoire dans trois cas :

  • le traitement est effectué par une autorité ou un organisme public ;
  • les activités de base de l’organisme exigent un suivi régulier et systématique des personnes à grande échelle ;
  • les activités de base de l’organisme consistent à traiter à grande échelle des données sensibles, comme les données de santé, ou des données relatives aux condamnations pénales.

Dans tous les autres cas, la CNIL encourage la désignation d’un DPO sans l’imposer. Le secteur médico-social est concerné par le premier cas pour ses établissements publics, et par le troisième pour la plupart des autres.

Pourquoi la plupart des structures doivent désigner un DPO médico-social

Les établissements publics : pas de question à se poser

Un EHPAD public, un établissement public social et médico-social, un CCAS ou un CIAS qui gère des services relèvent des organismes publics. La désignation d’un DPO est obligatoire, quelle que soit leur taille. Les petites structures publiques peuvent partager un même DPO, par exemple avec leur collectivité de rattachement.

Les associations et structures privées : tout se joue sur la « grande échelle »

Pour un ESSMS privé, la première condition est presque toujours remplie. Accompagner des personnes âgées, en situation de handicap ou des enfants protégés suppose de traiter en continu des données de santé : dépendance, traitements, handicap, suivi médical. Ce traitement fait partie des activités de base de la structure, pas d’une activité annexe.

Reste la notion de grande échelle, que le RGPD ne chiffre pas. Les lignes directrices européennes sur les DPO (dites WP243, reprises par le CEPD) invitent à tenir compte de quatre critères :

  • le nombre de personnes concernées, en valeur absolue ou en proportion de la population visée ;
  • le volume et la variété des données traitées ;
  • la durée ou la permanence du traitement ;
  • l’étendue géographique de l’activité.

Les mêmes lignes directrices citent le traitement des données des patients par un hôpital comme un exemple de grande échelle, et celui d’un médecin exerçant seul comme un contre-exemple. Un EHPAD, une MAS ou un IME qui accompagne des dizaines de personnes sur plusieurs années, avec un dossier usager complet, se rapproche nettement du premier cas.

Les cas qui méritent une analyse au cas par cas

La réponse est moins évidente pour une petite structure : un service d’aide à domicile qui intervient auprès de quelques usagers, un lieu de vie et d’accueil, une association qui ne gère qu’un dispositif ponctuel. Si vous concluez qu’un DPO n’est pas obligatoire, les lignes directrices recommandent de documenter cette analyse, pour pouvoir la justifier en cas de contrôle.

De mon côté, je conseille de désigner un DPO même dans ces situations limites. Les données traitées sont parmi les plus sensibles qui existent, les usagers sont vulnérables, et un DPO externe ou partagé coûte bien moins qu’un incident mal géré.

👉 Pour approfondir : notre guide 2026 de la conformité RGPD, cybersécurité et IA dans le médico-social.

DPO interne, externe ou mutualisé : quel modèle choisir ?

Le RGPD laisse le choix : le DPO peut être un salarié de la structure ou un prestataire extérieur lié par un contrat de service. Plusieurs structures peuvent aussi faire appel au même délégué.

  • DPO interne : il connaît le terrain, les équipes et les logiciels métiers. Il doit cependant disposer du temps et de la formation nécessaires, ce qui est rarement le cas quand la fonction s’ajoute à un poste déjà chargé.
  • DPO externe : il apporte une expertise juridique et une méthode. Il doit être bien intégré pour accéder aux informations utiles et être associé assez tôt aux projets.
  • DPO partagé ou mutualisé : une association gestionnaire de plusieurs établissements peut s’appuyer sur un seul délégué pour tous ses sites, à condition qu’il reste facilement joignable par chacun.

Quel que soit le modèle, un point ne se négocie pas : l’absence de conflit d’intérêts. Une personne qui décide des finalités et des moyens des traitements, comme le directeur de l’établissement ou le responsable informatique, ne peut pas contrôler ses propres décisions. Le rôle des autres professionnels reste essentiel au quotidien, comme le détaille notre article sur le rôle des collaborateurs dans la conformité RGPD en médico-social.

Infographie DPO médico-social présentant les critères de désignation obligatoire en ESSMS et les modèles de DPO interne, externe ou mutualisé
DPO médico-social : les critères de désignation obligatoire selon l’article 37 du RGPD et les trois modèles possibles pour les ESSMS.

Comment désigner son DPO dans les règles

  • Choisir la personne sur la base de ses connaissances en protection des données, de sa connaissance du secteur et de son indépendance.
  • Formaliser la mission par une lettre de mission ou un contrat qui précise son périmètre, ses moyens et son temps de travail. Le guide du DPO de la CNIL en propose un modèle.
  • Notifier la désignation à la CNIL par son téléservice, et publier les coordonnées du DPO, par exemple dans le livret d’accueil et sur le site internet.
  • Lui donner les moyens d’agir : accès aux informations, au registre des traitements, aux projets en cours, et un lien direct avec la direction.
  • L’associer dès le départ aux projets qui touchent aux données : nouveau logiciel de dossier usager, outil d’IA, vidéosurveillance, téléassistance.

Les missions du DPO, prévues à l’article 39 du RGPD, sont d’informer et conseiller la structure, de contrôler le respect du règlement, de conseiller sur les analyses d’impact et de coopérer avec la CNIL. Il n’est pas responsable de la conformité : c’est la structure qui l’est. Sa gouvernance au quotidien est décrite dans notre méthode pour appliquer les obligations RGPD en ESSMS.

Que risque un établissement sans DPO ?

Ne pas désigner de DPO alors qu’il est obligatoire expose à une sanction de la CNIL pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, selon l’article 83 du RGPD. Le montant réel dépend de la gravité, de la taille de la structure et de sa coopération.

Le risque le plus concret est ailleurs. Sans DPO, personne ne pilote le registre, les demandes d’accès au dossier, les violations de données ou les contrats avec les éditeurs de logiciels. Les manques apparaissent au pire moment : lors d’un contrôle, d’une plainte d’une famille ou d’une cyberattaque.

Ce risque grandit avec l’arrivée de l’IA dans les établissements : le projet de guide de la HAS et de la CNIL recommande d’associer le DPO dès que possible aux projets d’IA en contexte de soins.

Votre établissement n’a pas encore de DPO ?

Analyse de votre obligation, choix du modèle, désignation et premiers chantiers : découvrez notre accompagnement RGPD pour les établissements sociaux et médico-sociaux.

Échanger avec nos experts !

Questions fréquentes : DPO médico-social

Un EHPAD doit-il obligatoirement désigner un DPO ?+
Un EHPAD public, oui, dans tous les cas, car il s’agit d’un organisme public. Un EHPAD privé traite en continu les données de santé de tous ses résidents, ce qui relève de ses activités de base. Compte tenu du nombre de personnes et de la permanence du traitement, la désignation d’un DPO est dans la grande majorité des cas obligatoire. Une analyse documentée reste utile pour le justifier.
Un petit service d’aide à domicile est-il concerné ?+
Cela dépend de son statut et de son activité. S’il est public, la désignation est obligatoire. S’il est privé, il faut apprécier la grande échelle selon le nombre d’usagers, le volume de données, la durée et l’étendue géographique de l’activité. En cas de doute, désigner un DPO externe ou partagé reste la solution la plus sûre, et l’analyse doit être documentée.
Le directeur d’un établissement peut-il être DPO ?+
Non, c’est un cas typique de conflit d’intérêts. Le directeur décide des finalités et des moyens des traitements : il ne peut pas en contrôler lui-même la conformité. Il en va généralement de même pour le responsable informatique. Le DPO doit pouvoir rendre compte directement à la direction, sans recevoir d’instruction sur l’exercice de ses missions.
Une association qui gère plusieurs établissements peut-elle avoir un seul DPO ?+
Oui. Un seul DPO peut couvrir l’ensemble des établissements d’une association gestionnaire, à condition d’être facilement joignable par chacun d’eux et de disposer de moyens suffisants. Dans les grandes associations, il est souvent appuyé par des relais locaux dans chaque établissement, qui ne sont pas des DPO mais facilitent le travail au quotidien.
Faut-il déclarer son DPO à la CNIL ?+
Oui. L’article 37 du RGPD impose de communiquer les coordonnées du DPO à l’autorité de contrôle, ce qui se fait en France via le téléservice de la CNIL. Ces coordonnées doivent aussi être publiées, pour que les usagers, les familles et les salariés puissent le contacter directement. Pensez à mettre à jour la désignation en cas de changement de délégué.

En résumé

Un DPO médico-social est obligatoire pour tout établissement public et, dans la grande majorité des cas, pour les structures privées qui traitent en continu les données de santé de leurs usagers. Le critère décisif est la grande échelle, appréciée selon le nombre de personnes, le volume de données et la durée du traitement. Le DPO peut être interne, externe ou partagé, sans conflit d’intérêts. Sa désignation doit être notifiée à la CNIL.

Sources

Pour aller plus loin

Les solutions MDP Data Protection

MDP Data Protection et sa méthode CCOS accompagne les organisations dans la mise en conformité multi-réglementaire (RGPD, NIS2 et IA Act...), avec une approche opérationnelle et évolutive.

  • SimplyRGPD : Pilotage de votre conformité au quotidien.
  • MDP CAMPUS : Notre parcours de sensibilisation en vidéos pédagogiques de 3 à 7 minutes.

Notre Méthode : le Continuous Compliance Operating System - CCOS

Découvrez notre méthode pour passer à une conformité en continu.

Sinon retrouvez un résumé ici : le Continuous Compliance Operating System

Restez à jour sans y passer vos journées

Notre veille réglementaire, une fois par mois. Les textes qui bougent, ce qu'ils changent, ce qu'il faut faire.

À propos de l’auteur

Christophe SAINT-PIERRE est le dirigeant de MDP Data Protection. Expert reconnu en conformité réglementaire, RGPD, NIS2 et AI Act, il accompagne depuis plus de vingt ans les organisations dans leur transformation numérique.

Sa vision stratégique repose sur l'idée que la conformité ne doit pas être perçue comme une contrainte, mais comme un véritable levier de compétitivité, de sécurité et de confiance. Engagé pour une souveraineté numérique européenne, il défend également une approche éthique de l'intelligence artificielle et de la cybersécurité. Lire sa biographie complète.