Registre communal et données de santé : les exigences CNIL pour les maires

1. Cadre juridique du registre communal et évolution avec la loi « Bien-vieillir »

1.1. Le registre nominatif communal, prévu à l’article L. 121-6-1 du code de l’action sociale et des familles (CASF), a été créé en 2004 pour permettre aux maires de répertorier les personnes âgées et les personnes en situation de handicap. Il vise à organiser l’information et l’intervention des services sociaux, médico-sociaux et sanitaires en cas de risques exceptionnels, notamment climatiques comme les canicules. La tenue de ce registre a déjà fait l’objet d’une délibération de la CNIL (délibération no 04-058 du 1er juillet 2004).

1.2. L’article L. 121-6-1 du CASF a été substantiellement modifié par l’article 8 de la loi no 2024-317 du 8 avril 2024 portant mesures pour bâtir la société du bien vieillir et de l’autonomie, dite loi « Bien-vieillir ». Cette réforme redéfinit le cadre juridique du registre communal et en étend les finalités. Le projet de décret soumis à la Commission nationale de l’informatique et des libertés (CNIL) a pour objet de fixer les modalités de recueil, de transmission et de conservation des données à caractère personnel traitées dans ce registre, en application de ce nouvel article L. 121-6-1.

1.3. La crise du COVID-19 a mis en lumière l’importance d’identifier en amont les personnes en situation de vulnérabilité afin de leur fournir un accompagnement adapté et d’éviter une surcharge du système de santé en cas de crise. Dans ce contexte, la lutte contre l’isolement social et la prévention de la perte d’autonomie des personnes vulnérables sont devenues un axe stratégique des politiques publiques nationales et territoriales. L’extension du registre communal s’inscrit dans cette logique de renforcement de la prévention et de la coordination des acteurs sociaux et médico-sociaux.

1.4. Le projet de décret maintient le maire comme responsable du traitement pour le registre communal, « uniquement en ce qui concerne sa commune ». Il précise que les modalités du traitement (collecte, utilisation, destinataires, conservation) doivent être fixées par un décret en Conseil d’État pris après avis de la CNIL, conformément à l’article L. 121-6-1 du CASF. La délibération no 2025-129 du 18 décembre 2025 constitue précisément cet avis sur le projet de décret.

2. Extension du registre communal : inscription d’office et nouvelles finalités

2.1. Le nouvel article L. 121-6-1 du CASF prévoit qu’en plus des personnes inscrites à leur demande ou à la demande d’un tiers (sous réserve de l’absence d’opposition de la personne concernée ou de son représentant légal), certaines catégories de bénéficiaires seront désormais inscrites d’office sur le registre, sauf opposition de leur part. Il s’agit des bénéficiaires de l’allocation personnalisée d’autonomie à domicile (APA), de la prestation de compensation du handicap (PCH) et des prestations d’action sociale versées au titre de la perte d’autonomie par des organismes d’assurance vieillesse.

2.2. Cette inscription d’office modifie profondément la logique initiale du registre, qui reposait sur le volontariat. Elle permet toutefois de mieux couvrir les personnes en situation de vulnérabilité qui, en pratique, ne se signalent pas toujours spontanément aux services municipaux. La CNIL souligne que cette extension doit être appréciée au regard de la finalité d’intérêt général poursuivie : la prévention des risques exceptionnels, la lutte contre l’isolement social et la prévention de la perte d’autonomie.

2.3. Outre l’organisation d’un contact périodique en cas de risques exceptionnels par les services sociaux et sanitaires, l’article L. 121-6-1 introduit deux nouvelles finalités pour le registre communal : d’une part, le repérage des situations de perte d’autonomie et des situations d’isolement social des personnes répertoriées ; d’autre part, l’information des personnes et de leurs proches sur les dispositifs d’aide et d’accompagnement existants, ainsi que sur leur droit au bénéfice éventuel d’une prestation ou d’un avantage. Ces finalités élargies renforcent la dimension proactive du registre dans la politique de bien vieillir.

2.4. L’extension des finalités s’accompagne de l’ajout de nouveaux destinataires des données du registre, disposant d’une compétence dans le domaine social et médico-social. Le projet de décret, en application de l’article L. 121-6-1, désigne notamment les centres communaux et intercommunaux d’action socialeétablissements, les services sociaux et médico-sociaux et les centres intercommunaux d’action sociale comme destinataires, dans la limite de leurs missions, du public concerné et de leur territoire d’intervention.

3. Modalités de collecte des données à caractère personnel

3.1. L’article 1er du projet de décret introduit un nouvel article R. 121-2 du CASF qui précise les modalités de collecte des données à caractère personnel pour l’inscription au registre nominatif communal. Trois canaux de collecte sont prévus : la collecte directe par le maire auprès des personnes qui sollicitent leur inscription ; la collecte indirecte auprès d’un tiers demandant l’inscription d’une personne en situation de vulnérabilité ; et la collecte indirecte des données relatives aux bénéficiaires de prestations sociales transmises au maire par le président du conseil départemental (PCD) et la caisse d’assurance retraite et de la santé au travail (CARSAT).

3.2. La CNIL relève que le maire peut, via un formulaire, demander aux personnes inscrites des informations complémentaires à ajouter au registre. La fourniture de ces informations reste facultative. Elles peuvent porter, par exemple, sur les conditions de vie ou de logement, les périodes d’absence prolongée ou encore les coordonnées des services intervenant à domicile. Ces données supplémentaires visent à affiner le repérage des situations de vulnérabilité et à améliorer la coordination des interventions.

3.3. La Commission prend acte de l’engagement du ministère de mettre en cohérence, dans le projet de décret, l’ensemble des modalités de collecte nécessaires pour l’inscription des personnes concernées et pour la tenue du registre. Cette cohérence est essentielle pour assurer la conformité au RGPD et à la loi informatique et libertés, notamment en matière de licéité, de minimisation et de transparence du traitement.

4. Collecte de données de santé et qualification de données sensibles

4.1. L’article 5 du projet de décret prévoit que la nature de la prestation attribuée au bénéficiaire peut être collectée par le maire. Sont visées les données relatives à l’allocation personnalisée d’autonomie (APA) à domicile, à la prestation de compensation du handicap (PCH) et aux prestations d’action sociale versées au titre de la perte d’autonomie par des organismes d’assurance vieillesse. La CNIL souligne que l’obtention de ces aides est conditionnée à un protocole et à une évaluation fine de l’état de santé de la personne, notamment à partir de la grille nationale AGGIR (Autonomie gérontologique groupes iso-ressources) ou de référentiels d’activités mentionnés à l’article L. 146-8 et à l’annexe 2-5 du CASF.

4.2. En conséquence, la nature de la prestation sociale perçue révèle la perte d’autonomie de la personne concernée, réduisant de manière significative ou rendant impossibles ses capacités de travailler et de réaliser des activités du quotidien. Ces informations apportent des indications sur l’état de santé du bénéficiaire. La CNIL rappelle que, dans ce contexte, ces données doivent être qualifiées de données de santé au sens de l’article 9 du RGPD, et donc de données sensibles bénéficiant d’un régime de protection renforcé.

4.3. La délibération s’appuie sur la jurisprudence récente de la Cour de justice de l’Union européenne (CJUE), notamment l’arrêt Lindenapotheke (CJUE, grande chambre, 4 octobre 2024, C-21/23). La Cour y rappelle, au paragraphe 81, que la notion de « données concernant la santé » visée à l’article 9, paragraphe 1, du RGPD doit être interprétée de manière large, afin de garantir un niveau élevé de protection des libertés et des droits fondamentaux, notamment de la vie privée. Aux paragraphes 82 et 83, la CJUE précise qu’il suffit que des données soient « susceptibles de révéler, de manière indirecte, des informations sensibles » ou qu’elles soient « de nature à révéler, par une opération intellectuelle de rapprochement ou de déduction, des informations sur l’état de santé » pour qu’elles relèvent de cette catégorie.

4.4. Au regard de cette interprétation large, la CNIL conclut que le traitement envisagé est susceptible de révéler des données relatives à la santé des personnes concernées. La collecte de ces données ne paraît pas contraire aux exigences spécifiques encadrant le traitement des données de santé et apparaît légitime au regard de la finalité du traitement (protection des personnes vulnérables, prévention des risques, lutte contre l’isolement). Toutefois, la Commission invite les collectivités à mettre en œuvre des garanties nécessaires pour la sauvegarde des droits et libertés des personnes, et s’interroge sur l’application des dispositions du code de la santé publique, notamment de l’article L. 1111-8, en cas d’externalisation de l’hébergement de ces données par un tiers.

5. Durées de conservation et radiation du registre communal

5.1. L’article 11 du projet de décret prévoit que les données enregistrées dans le registre communal sont conservées en base active jusqu’au décès de la personne concernée ou sa radiation, sur sa demande, du registre. Le deuxième alinéa de l’article R. 121-5 du CASF dispose que lorsque la personne informe le maire d’un changement de commune de résidence, cela entraîne automatiquement la radiation du registre et la suppression de ses données à caractère personnel.

5.2. La CNIL rappelle que, conformément à l’article R. 121-3 du CASF (tel que modifié par l’article 4 du projet de décret), seules les personnes résidant à leur domicile peuvent être inscrites sur le registre. En conséquence, en cas de changement de conditions de vie impliquant de quitter le domicile, notamment pour un hébergement dans un établissement social et médico-social, les données de la personne devraient être supprimées du registre. La Commission prend acte de l’engagement du ministère de modifier le projet de décret pour intégrer explicitement cette conséquence, afin d’assurer une limitation de la durée de conservation conforme au RGPD.

6. Accédants, destinataires et gestion des habilitations

6.1. En application de l’article L. 121-6-1 du CASF, l’article 8 du projet de décret désigne de nouveaux accédants et destinataires des données du registre, dans la limite de leurs missions, du public concerné et de leur territoire d’intervention. Sont notamment prévus : les centres communaux et intercommunaux d’action sociale en tant qu’accédants, et les établissements, les services sociaux et médico-sociaux ainsi que les centres intercommunaux d’action sociale en tant que destinataires.

6.2. Compte tenu de la sensibilité des données traitées (données de santé, informations sur la perte d’autonomie, isolement social) et du nombre important de personnes en situation de vulnérabilité concernées, la CNIL insiste sur la nécessité de mettre en place une politique rigoureuse de gestion des accès et des transmissions. Les collectivités doivent limiter l’accès aux seules personnes habilitées, en fonction de leurs attributions respectives et dans la limite de leur besoin d’en connaître. Cette approche de moindre privilège est au cœur des exigences de confidentialité et de sécurité posées par le RGPD.

7. Information des personnes concernées : articles 13 et 14 du RGPD

7.1. L’article 2 du projet de décret encadre l’information délivrée directement par le maire aux personnes lors de leur inscription sur le registre communal, conformément à l’article 13 du RGPD. Cette information doit porter sur les finalités du traitement, les catégories de données collectées, les destinataires, la durée de conservation, ainsi que sur les droits des personnes (droit d’accès, de rectification, d’opposition, etc.).

7.2. La CNIL relève toutefois qu’en cas d’inscription à la suite de la demande d’un tiers ou de la transmission de données par le PCD ou la CARSAT, le projet de décret ne prévoyait pas, dans sa version initiale, d’obligation d’information indirecte des personnes concernées, en méconnaissance de l’article 14 du RGPD. Sur ce point, la Commission prend acte de l’engagement du ministère de prévoir une information spécifique lorsque l’inscription n’est pas effectuée à la demande de la personne, afin de respecter les exigences de transparence et de loyauté du traitement.

8. Sécurité, confidentialité et cybersécurité du registre communal

8.1. L’article 7 du projet de décret impose au maire de mettre en œuvre des mesures techniques et organisationnelles appropriées pour assurer la confidentialité et la sécurité du traitement, empêcher toute utilisation détournée ou frauduleuse et préserver l’intégrité des données. La CNIL souligne que le traitement concerne un nombre important de personnes en situation de vulnérabilité, implique la collecte de données sensibles et hautement personnelles et suppose de nombreuses transmissions de données à des acteurs variés.

8.2. Compte tenu du contexte aigu de menaces en matière de cybersécurité et des particularités du public visé, la Commission appelle les collectivités à la plus grande précaution dans la mise en œuvre du traitement et à l’établissement de garanties substantielles pour la sauvegarde des droits et libertés des personnes concernées. Elle recommande de prendre en compte ces risques lors de la réalisation d’une analyse d’impact relative à la protection des données (AIPD), outil central du RGPD pour les traitements susceptibles d’engendrer un risque élevé.

8.3. La CNIL invite les collectivités à déployer un ensemble de mesures de sécurité : sensibilisation des accédants au registre, authentification des utilisateurs, gestion des habilitations et des mots de passe, journalisation des accès et des opérations, mise à jour des données, traçabilité et gestion des incidents, sécurisation des serveurs, mesures de sauvegarde, archivage sécurisé et sécurisation des échanges de données. Ces mesures doivent être adaptées à la sensibilité des données et au volume des personnes concernées.

8.4. S’agissant des mesures techniques et organisationnelles d’analyse en temps réel des journaux d’évènements, la CNIL recommande le déploiement d’une surveillance active des journaux applicatifs, afin de permettre la détection immédiate d’actions malveillantes au sein du traitement. Elle souligne l’importance de cette mesure au regard du nombre et de la sensibilité des données à caractère personnel traitées. Cette approche s’inscrit dans une logique de cybersécurité renforcée pour les traitements impliquant des personnes vulnérables.

9. Appréciation globale de la CNIL sur le projet de décret

9.1. La délibération no 2025-129 met en évidence un équilibre entre l’extension des finalités du registre communal, justifiée par la lutte contre l’isolement social et la prévention de la perte d’autonomie, et les exigences de protection des données à caractère personnel. La CNIL reconnaît la légitimité du traitement, y compris en ce qui concerne la collecte de données de santé, dès lors que des garanties appropriées sont mises en place.

9.2. Les principales réserves de la Commission portent sur la définition des modalités de collecte, la durée de conservation en lien avec le changement de conditions de vie, l’information des personnes en cas de collecte indirecte, ainsi que sur la sécurité et la confidentialité des données dans un contexte de menaces fortes en matière de cybersécurité. Les engagements du ministère de modifier le projet de décret sur ces points sont explicitement relevés.

9.3. En conclusion, la CNIL invite les collectivités à mettre en œuvre une politique rigoureuse de sécurité et de gestion des habilitations, à réaliser une AIPD adaptée et à veiller au respect des droits des personnes inscrites sur le registre communal. Le registre, tel que redéfini par la loi « Bien-vieillir » et le projet de décret, constitue un outil central de la politique publique de prévention en faveur des personnes âgées et des personnes en situation de handicap, mais il repose sur le traitement de données hautement personnelles et sensibles qui exige un haut niveau de protection.