Smartphone, photos, plannings cloud : le risque cyber invisible de l'auxiliaire de vie

L'aide à domicile s'est numérisée sans qu'on s'en aperçoive. Les plannings arrivent par SMS ou WhatsApp. La famille vous envoie l'ordonnance par photo. La structure vous fait badger avec une appli de télégestion. Vous prenez en photo une plaie pour la montrer à l'infirmier. Vous notez le poids et la tension dans un carnet partagé sur Google Drive.

Chacune de ces actions traite une donnée de santé au sens de l'article 9 du RGPD. Or les données de santé font partie des « catégories particulières » protégées par le régime le plus strict : interdiction de principe, dérogations limitées, obligation de minimisation, sécurité renforcée. La CNIL a précisé dans sa délibération n° 2019-160 du 21 novembre 2019 que les intervenants à domicile sont responsables de traitement pour les données qu'ils collectent et conservent pour leur propre compte.

Concrètement, en tant qu'auxiliaire de vie mandataire ou indépendante, vous êtes responsable de traitement. Cela emporte des obligations très concrètes : tenir un registre, sécuriser les données, gérer les droits d'accès, notifier les violations.

1. Le téléphone perdu ou volé

Smartphone non chiffré, code à 4 chiffres, photos d'ordonnances dans la pellicule, conversations WhatsApp non effacées. Un téléphone perdu dans un bus, c'est potentiellement les données de santé de 15 personnes accessibles.

2. Le mauvais destinataire

Photo de la plaie envoyée par erreur dans le groupe WhatsApp familial au lieu du groupe « équipe SSIAD ». Une seule fausse manipulation, et la donnée fuit auprès de tiers non autorisés.

3. Le compte WhatsApp ou Gmail piraté

Mot de passe faible, pas de double authentification : un pirate prend la main, accède à des années d'historiques contenant noms, adresses, pathologies, traitements. Revente sur le dark web ou demande de rançon.

4. Le cloud personnel ouvert

Photos de carnets de suivi sauvegardées automatiquement sur iCloud ou Google Photos, lien de partage généré pour montrer à un collègue, lien jamais révoqué et indexé par moteurs de recherche.

Une violation de données de santé déclenche trois obligations cumulatives, dans un délai très court :

1. Notification à la CNIL sous 72 heures (art. 33 RGPD), via le téléservice dédié. Le défaut de notification est sanctionné en propre.
2. Information des personnes concernées sans délai si la violation est susceptible d'engendrer un risque élevé (art. 34 RGPD). En matière de données de santé, ce risque est quasi toujours caractérisé.
3. Documentation interne : tenir un registre des violations, même celles non notifiées.

Les sanctions prononcées par la CNIL contre des indépendants et TPE de santé en 2024-2025 (kinésithérapeutes, infirmiers, pharmaciens) s'étagent de 3 000 à 50 000 €, avec une moyenne autour de 20 000 € sur les manquements caractérisés. À cela s'ajoute le préjudice indemnisable des personnes concernées : la jurisprudence civile fixe l'indemnisation type entre 500 et 1 500 € par personne dont les données ont fuité, indépendamment d'un préjudice avéré (CJUE, 14 décembre 2023, aff. C-340/21).

1. Un téléphone professionnel séparé

Idéalement, un téléphone dédié à l'activité, chiffré (par défaut sur iPhone récent ou Android avec verrou biométrique). À défaut, un compte utilisateur séparé sur le téléphone perso. Coût : 0 à 15 € / mois.

2. La double authentification partout

WhatsApp, Gmail, iCloud, Dropbox, application de télégestion : activez systématiquement la double authentification (SMS ou appli type Google Authenticator). Cela bloque 99,9 % des piratages de compte selon les chiffres Microsoft 2024.

3. Une messagerie certifiée santé pour les échanges sensibles

WhatsApp est chiffré mais n'est pas conforme HDS (Hébergeur de Données de Santé). Pour les échanges avec famille, médecin, infirmier, privilégiez une messagerie certifiée comme MSSanté (gratuite pour les professionnels de santé et étendue à certains intervenants médico-sociaux), Whaller Santé ou les outils intégrés au logiciel de votre structure.

4. La purge hebdomadaire

Une fois par semaine, supprimez de votre pellicule et de vos conversations les photos d'ordonnances, de plaies, de documents administratifs. Conservez uniquement ce qui est utile à l'intervention en cours. La minimisation est un principe RGPD opposable.

5. Le registre de traitement simplifié

Pour les TPE et indépendants, la CNIL propose un registre simplifié en trois colonnes (catégorie de personnes, données traitées, durée de conservation). 30 minutes à remplir, opposable en cas de contrôle. Sans registre, l'amende est quasi automatique en cas de violation.

Mme L., auxiliaire de vie indépendante, intervient chez 6 personnes. Son téléphone (perso et pro) est volé en sortie de métro. Il contient :

• 3 photos d'ordonnances datant des 6 derniers mois ;
• Les conversations WhatsApp avec les familles (adresses, codes d'immeuble, pathologies, horaires d'absence) ;
• L'appli de télégestion qui mémorise les badges des 6 domiciles.

Le téléphone n'a qu'un code à 4 chiffres. Mme L. déclare le vol à la police le soir même mais ignore qu'elle doit notifier la CNIL.

Trois mois plus tard, deux familles signalent des cambriolages avec usage du code d'immeuble. L'enquête remonte au téléphone de Mme L. L'une des familles dépose plainte CNIL. Contrôle, instruction :

• Sanction CNIL : 18 000 € (défaut de chiffrement, défaut de notification sous 72 h, absence de registre).
• Action civile des 6 personnes : 4 200 € de dommages-intérêts cumulés (700 € par personne).
• Frais de notification, communication, accompagnement par un délégué à la protection des données : 3 800 €.

Total : 26 000 €. Sans option cyber, ces frais sont à la charge exclusive de l'auxiliaire de vie. Avec l'option Cyber Insurio à 4,90 €/mois, l'intégralité (sanction administrative exclue par principe, mais indemnisation des personnes, frais de notification et d'expertise pris en charge) est couverte à hauteur de 100 000 € par sinistre.

L'option cyber prend également en charge les rançongiciels, le piratage de compte professionnel et les pertes d'exploitation liées à une cyberattaque.

Question fréquente. La réponse est nuancée :

• Le DPO est obligatoire si vous traitez des données de santé « à grande échelle » (art. 37 RGPD). Une auxiliaire de vie indépendante intervenant chez 5 à 15 personnes n'atteint pas ce seuil.
• En revanche, si vous travaillez pour une structure mandataire qui gère 100+ bénéficiaires, la structure doit désigner un DPO. Vérifiez qu'elle l'a fait et que vous bénéficiez d'une politique de sécurité écrite.
• Pour une indépendante, le bon niveau est : registre simplifié, charte de confidentialité signée avec les personnes aidées, sécurisation du téléphone, et option cyber adossée à la RC Pro Insurio.

Bonne nouvelle : la CNIL a publié en 2024 un guide spécifique « Petites structures du médico-social » qui détaille les obligations minimales. Le téléchargement et la lecture (environ une heure) constituent une preuve de bonne foi opposable en cas de contrôle. C'est l'une des actions à plus fort effet de levier que vous puissiez engager cette semaine.

Semaine 1 : sécuriser le téléphone

Activez le chiffrement (verrouillage biométrique + code à 6 chiffres minimum), supprimez les anciennes photos d'ordonnances, désactivez la sauvegarde automatique vers iCloud ou Google Photos pour les images de travail. Installez une application d'authentification (Google Authenticator ou Microsoft Authenticator) et activez la double authentification sur WhatsApp, votre messagerie principale et l'appli de télégestion.

Semaine 2 : rédiger le registre et la charte

Téléchargez le modèle de registre simplifié de la CNIL, complétez-le en 30 minutes. Rédigez une charte d'une page que vous signez avec chaque personne aidée (ou son représentant) à la prise en charge. Elle mentionne les données collectées, leur usage, la durée de conservation, vos engagements de sécurité et les droits de la personne.

Semaine 3 : souscrire l'option cyber

L'option cyber s'ajoute en deux clics à votre RC Pro Insurio depuis votre espace client. Pour 4,90 €/mois supplémentaires, vous bénéficiez de la hotline cyber 24/7, de la prise en charge des frais de notification CNIL et d'investigation, et d'une couverture indemnitaire jusqu'à 100 000 € par sinistre. Aucun questionnaire technique, aucune visite de risque : la souscription est immédiate.