Checklist RGPD pour EHPAD en 2026

Rôles

• Responsable : la direction de l’EHPAD.
• Sous-traitant : le fournisseur de logiciel.
• Délégué à la protection des données (DPO) : peut être obligatoire selon l’article 37 du RGPD et la loi nationale lorsque les critères légaux s’appliquent. Il n’existe pas de seuil automatique par nombre de lits.

Checklist technique

1. Chiffrement AES-256-GCM au repos et en transit.
2. Audit immuable de chaque accès clinique.
3. Multifacteur obligatoire pour les rôles privilégiés.
4. Sauvegardes chiffrées avec restauration trimestrielle vérifiée.
5. Journaux centralisés et rétention ≥ 12 mois.
6. Aucun sous-traitant hors UE sur le chemin des données de production.

Checklist organisationnelle

1. Registre des activités de traitement (RAT) à jour.
2. Analyses d’impact (AIPD) pour chaque nouveau flux critique.
3. Politique de gestion des incidents avec délai de 72 h.
4. Accords de sous-traitance signés avec chaque fournisseur.
5. Politiques internes de gestion des droits (accès, rectification, effacement, limitation, portabilité, opposition) avec délai de 30 jours.

Checklist contractuelle

1. Clauses contractuelles types UE pour les sous-traitants ultérieurs.
2. Garantie de réversibilité avec données en format standard.
3. SLA pénalisant en cas d’incidents sans réponse.

Vous souhaitez le télécharger en Excel ? Demandez-le et nous l’adapterons à votre établissement.