Fiche bilan victime RGPD : 7 règles pour sécuriser un DPS

Une identité, des constantes, des antécédents ou un traitement médicamenteux ne peuvent pas circuler comme une simple feuille de présence. Pour une association agréée de sécurité civile, rendre une fiche bilan victime RGPD conforme suppose d’organiser tout son cycle de vie, de la collecte sur le dispositif prévisionnel de secours (DPS) jusqu’à l’archivage ou la suppression.

Une fiche bilan victime RGPD est un dossier opérationnel contenant des données personnelles, dont des données de santé particulièrement protégées. Sa conformité repose sur une finalité définie, une collecte limitée, une information adaptée, des accès réservés aux intervenants autorisés, une transmission sécurisée, une durée de conservation justifiée et une traçabilité contrôlable.

Ce guide donne aux présidents d’association, responsables opérationnels et chefs de dispositif une méthode concrète pour sécuriser les bilans sans ralentir la prise en charge.

À retenir

• Une fiche bilan nominative contenant des constantes ou des observations cliniques traite des données de santé.
• Le consentement n’est pas automatiquement la base juridique adaptée à une prise en charge de secours.
• Les droits d’accès doivent dépendre de la mission et du rôle de chaque utilisateur.
• La durée de conservation doit être définie et justifiée, jamais choisie par simple habitude.
• Une certification HDS doit être étudiée lorsque l’hébergement est confié à un tiers.

Pourquoi une fiche bilan victime relève-t-elle du RGPD ?

Une fiche bilan relève du Règlement général sur la protection des données dès qu’elle permet d’identifier directement ou indirectement une victime. Les constantes, symptômes, antécédents, allergies, traitements, lésions et gestes effectués sont en outre des données de santé, catégorie bénéficiant d’une protection renforcée.

La CNIL définit largement les données de santé : une information peut être médicale par nature, devenir médicale après croisement ou révéler un état de santé en raison de son utilisation. Un numéro de bilan n’anonymise donc pas réellement le dossier si une table, une main courante ou un fichier d’événement permet de retrouver la personne.

Le responsable de traitement est généralement l’entité qui détermine pourquoi et comment les données sont utilisées. Pour une association de sécurité civile, cette qualification doit être formalisée avec le délégué à la protection des données, le conseil juridique ou la fédération. Une convention de DPS peut également préciser les rôles respectifs de l’association, de l’organisateur et des destinataires sanitaires.

La conformité exige de documenter deux niveaux juridiques : une base de l’article 6 du RGPD pour le traitement de données personnelles et une condition de l’article 9 permettant de traiter des données de santé. Le consentement explicite ne doit pas être retenu par réflexe : en situation de malaise, d’inconscience ou d’urgence, son caractère libre et éclairé peut être discutable. La base pertinente dépend de la mission, du statut de l’organisme et des conditions de prise en charge ; elle doit être validée au cas par cas.

Cette analyse complète la méthode de remplissage d’une fiche bilan victime : chaque champ doit être à la fois utile au secours, compréhensible et juridiquement justifiable.

Quelles sont les 7 règles RGPD d’une fiche bilan numérique ?

Une fiche bilan numérique conforme applique sept règles opérationnelles : finalité, minimisation, information, habilitations, sécurité, conservation et gestion des incidents. Ces règles doivent être traduites dans le logiciel, les procédures du DPS et la formation des secouristes.

1. Définir la finalité avant la collecte. Le bilan sert à évaluer la victime, suivre les gestes réalisés et transmettre les informations nécessaires à la continuité de la prise en charge. Une réutilisation pour des statistiques, un retour d’expérience ou une formation doit être encadrée séparément et, lorsque cela suffit, réalisée sur des données anonymisées.

2. Limiter les champs au strict nécessaire. Le formulaire ne doit pas devenir un dossier médical généraliste. Chaque zone doit répondre à une utilité opérationnelle, réglementaire ou probatoire clairement identifiée. Un champ libre augmente le risque de commentaires excessifs, subjectifs ou sans rapport avec la prise en charge.

3. Informer la victime de façon adaptée. L’urgence impose parfois une information en deux temps : une formulation orale courte pendant l’intervention, puis une notice accessible après la prise en charge. Cette notice indique notamment l’identité du responsable, les finalités, la base juridique, les destinataires, la durée de conservation et les modalités d’exercice des droits.

4. Appliquer le besoin d’en connaître. Un équipier affecté à un autre poste, un responsable logistique ou l’organisateur de la manifestation n’a pas besoin d’accéder au contenu clinique. Les profils peuvent distinguer la saisie, la lecture, la validation, la transmission, l’administration et l’export.

5. Sécuriser le terminal et les échanges. L’association doit prévoir une authentification individuelle, le verrouillage automatique, le chiffrement des communications, la révocation rapide des comptes et l’effacement maîtrisé des données locales. Un compte générique partagé empêche d’attribuer une consultation ou une modification à son auteur.

6. Fixer une durée de conservation. Le RGPD n’impose pas une durée universelle pour toutes les fiches bilan de secourisme. Le responsable doit retenir une durée proportionnée à ses finalités, aux obligations applicables et aux délais pendant lesquels un dossier peut être nécessaire, puis distinguer la base active d’un éventuel archivage intermédiaire. La CNIL rappelle que la conservation doit être déterminée et documentée.

7. Préparer les incidents. Une tablette perdue, un export envoyé au mauvais destinataire ou un compte resté actif après le départ d’un bénévole constitue un signal à traiter immédiatement. La procédure doit permettre de contenir l’incident, préserver les traces, évaluer le risque, documenter la décision et, si nécessaire, notifier la CNIL dans les délais applicables. Le guide sur la violation de données et les premières 72 heures détaille cette organisation.

Comment choisir un logiciel de fiche bilan victime sécurisé ?

Un logiciel de fiche bilan victime doit être évalué sur des preuves vérifiables, pas seulement sur la rapidité de saisie. Le responsable du traitement reste comptable de ses choix même lorsqu’un éditeur ou un hébergeur agit comme sous-traitant.

Point à contrôler	Preuve à demander	Risque évité
Comptes individuels	Démonstration des rôles et de l’authentification	Accès impossible à attribuer
Habilitations par mission	Matrice des droits et durée d’affectation	Consultation par des bénévoles non concernés
Journalisation	Historique des lectures, exports et modifications	Intrusion ou erreur indétectable
Mode hors ligne	Chiffrement local et procédure de synchronisation	Données exposées sur un terminal perdu
Transmission	Destinataires paramétrés et canal sécurisé	Envoi au mauvais interlocuteur
Hébergement	Localisation, sous-traitants et certifications applicables	Chaîne de responsabilité inconnue
Conservation	Purge automatique et archivage séparé	Stockage indéfini de données sensibles
Réversibilité	Procédure d’export, restitution et suppression	Données captives en fin de contrat

L’hébergement de données de santé (HDS) mérite une vérification spécifique. L’Agence du Numérique en Santé indique que la certification concerne, sous certaines conditions cumulatives, l’hébergement confié à un tiers de données recueillies lors d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social. L’applicabilité doit être appréciée au cas par cas, selon l’origine des données, l’activité et le rôle exact du prestataire.

Le contrat de sous-traitance doit aussi préciser les instructions documentées, la confidentialité, les mesures de sécurité, l’assistance lors d’une demande de droit ou d’une violation, le recours à d’autres sous-traitants et le sort des données en fin de prestation. Une mention commerciale telle que « conforme RGPD » ne remplace ni ces clauses ni l’analyse de risques.

Avant le déploiement, réalisez un test sur un scénario complet : création du DPS, affectation de l’équipe, prise en charge, saisie hors ligne, relève, transmission, clôture, export autorisé et purge. Cette approche prolonge le sujet pilier de la fiche bilan victime dématérialisée et permet d’évaluer la sécurité dans les conditions réelles du terrain.

Une analyse d’impact relative à la protection des données (AIPD) doit enfin être examinée lorsque le traitement est susceptible d’engendrer un risque élevé. Le volume, la fréquence, les personnes vulnérables, le croisement de fichiers et la surveillance systématique sont notamment à considérer. Même lorsqu’elle n’est finalement pas obligatoire, la décision et ses motifs gagnent à être documentés.

Checklist avant la mise en service

• Recenser les catégories de données et supprimer les champs inutiles.
• Inscrire le traitement dans le registre RGPD de l’association.
• Valider les bases juridiques des articles 6 et 9 du RGPD.
• Rédiger une information courte pour le terrain et une notice complète.
• Définir les profils d’accès par fonction et par DPS.
• Vérifier le contrat du sous-traitant et le périmètre HDS applicable.
• Tester le mode hors ligne, la synchronisation et la perte d’un terminal.
• Encadrer les exports PDF, impressions et envois par courriel.
• Déterminer la conservation active, l’archivage et la purge.
• Former les équipiers et tester la procédure de violation.

FAQ sur la fiche bilan victime et le RGPD

La conformité d’une fiche bilan victime dépend autant des usages humains que de la technologie. Les réponses suivantes couvrent les questions les plus fréquentes des responsables de DPS.

Peut-on photographier une fiche bilan papier avec un téléphone ?

Une photographie crée une nouvelle copie contenant des données de santé. Un téléphone personnel, une galerie synchronisée automatiquement ou une messagerie grand public multiplie les destinataires et les lieux de stockage. La photographie doit donc être interdite par défaut, sauf procédure validée utilisant un terminal, une application et un canal maîtrisés.

Un organisateur peut-il recevoir la fiche bilan complète ?

L’organisateur d’un événement ne doit pas recevoir automatiquement le détail médical de chaque prise en charge. Les informations communiquées doivent correspondre à son rôle et à une finalité définie. Un bilan statistique anonymisé peut souvent répondre au besoin organisationnel sans révéler l’identité, les constantes ou les antécédents des victimes.

La victime doit-elle signer un consentement RGPD ?

Le RGPD n’impose pas une signature systématique pour toute fiche bilan. Le responsable doit identifier une base juridique adaptée et informer la personne, mais le consentement n’est qu’une base possible parmi d’autres et répond à des conditions strictes. Une analyse juridique propre à la mission est nécessaire.

Qui peut modifier un bilan après sa transmission ?

Seules les personnes autorisées devraient pouvoir compléter ou rectifier un bilan transmis. Le système doit préserver la version initiale, l’identité de l’auteur, la date, l’heure et le motif de la correction. Une modification silencieuse fragilise la continuité des secours et la valeur de la trace.

Comment transmettre un bilan sans exposer la victime ?

La transmission doit utiliser un destinataire identifié, un canal sécurisé et uniquement les données nécessaires. Le guide consacré à la transmission du bilan victime aux secours aide à structurer un message rapide, complet et contrôlé.

La conformité ne doit pas opposer protection des données et efficacité opérationnelle. Une fiche bien conçue réduit la ressaisie, limite les accès inutiles et conserve une trace exploitable des actions. Pour centraliser les équipes, les habilitations, les formations et les plannings autour des missions terrain, eBrigade propose sur ebrigade.app un environnement de gestion adapté aux professionnels et associations de sécurité civile ; le traitement d’une fiche bilan doit néanmoins toujours faire l’objet d’une validation fonctionnelle, juridique et de sécurité propre à chaque organisation.