GTSMS : LE NUMÉRIQUE ET LE DÉFI DE LA MUTUALISATION DES ACTIVITÉS

Article rédigé le 15/06/2026 par Me Raphaël Cavan

Économies d’échelle, mutualisation des compétences, rationalisation des coûts : la réforme des groupements territoriaux sociaux et médico-sociaux (GTSMS) promet aux acteurs publics du grand âge un nouvel élan. Mais derrière chaque mutualisation de fonction support, dont la convergence des systèmes d’information des membres et la mise en place d’un dossier de l’usager permettant une prise en charge coordonnée (dossier usager informatisé (DUI)), voire la mutualisation d’activités, se cachent des données à caractère personnel, et donc le RGPD. Qui est responsable de quoi entre le groupement et ses membres ? Décryptage des réflexes à adopter dès la constitution du groupement, avant que la question ne se pose au plus mauvais moment.

Mutualiser les fonctions ? Oui, mais quid de la donnée ?

Issue de la loi du 8 avril 2024 pour bâtir la société du bien vieillir, la réforme des GTSMS (articles L. 312-7-2 et suivants du Code de l’action sociale et des familles (« CASF »)) impose aux établissements et services médico-sociaux publics de coopérer autour d’une stratégie commune d’accompagnement de la personne âgée et d’une mise en commun de fonctions et d’activités médico-sociales.

À la différence des GHT, qui se voient imposer un socle de fonctions à déléguer à l’établissement support, les membres d’un GTSMS disposent d’une liberté précieuse : celle de choisir une ou plusieurs fonctions parmi celles énumérées à l’article L. 312-7-4 du CASF, dont ils confient la gestion pour leur compte au GTSMS. Au menu, nous retrouvons notamment des fonctions « cœur de métier », telle que la convergence des systèmes d’information et du dossier de l’usager.

Mais cette liberté a une contrepartie et amène à se poser une question à ne pas négliger : qui, du groupement ou de ses membres, est responsable au sens du RGPD des fonctions qui seront ainsi mutualisées au niveau du groupement ?

La gouvernance qui y est associée ne s’improvise pas et le contexte du groupement vient brouiller et complexifier la lecture des responsabilités. Un exemple concret : lorsqu’un usager exerce ses droits sur son DUI, alors que le système d’information, et donc le DUI, est mutualisé, qui doit traiter la demande ? Le groupement ? Le membre ? Les deux ?

Faute d’être anticipée dès la constitution du groupement, elle expose à un défaut d’encadrement que la Commission Nationale de l’Informatique et des Libertés (« CNIL »), jamais liée par les qualifications retenues par les structures qu’elle contrôle, pourra sanctionner. Convention constitutive, règlement intérieur mais aussi convention de partenariat avec le GHT et/ou établissement de santé sont les outils pour y répondre et sécuriser ces éléments.

Trois schémas de responsabilité, une seule méthode

Le RGPD retient trois niveaux de responsabilité. Selon les cas et la manière avec laquelle s’organisera le groupement et ses membres, ces derniers pourront être responsables de traitement distincts (RT), ou bien le groupement pourra agir comme sous-traitant (ST) pour le compte de ses membres, ou encore les deux pourront être responsables conjoints (CO-RT).

Chaque qualification emporte ses propres conséquences : un accord de sous-traitance au titre de l’article 28 du RGPD, un accord de responsabilité conjointe au titre de l’article 26 et, dans tous les cas, l’inscription des activités de traitements réalisées au sein du registre du groupement et/ou de chacun de ses membres, lequel doit être obligatoirement tenu par le responsable de traitement et le sous-traitant (article 30 du RGPD).

Autant d’éléments à anticiper dans la convention constitutive pour les principes, et le règlement intérieur pour les modalités. La méthode ? Raisonner activité par activité. Et gare au réflexe simplificateur ! En effet, au sein d’une même activité, plusieurs qualifications peuvent coexister.

À ce titre, le délégué à la protection des données (DPD, ou DPO) est l’acteur incontournable sur lequel doit s’appuyer le groupement pour tirer au clair ces différents niveaux de responsabilités et piloter la gouvernance RGPD qui en découle.

On l’oublie parfois, mais la désignation du DPO n’est pas une faculté : c’est une obligation prévue à l’article 37 du RGPD qui l’impose à tout organisme public d’en désigner un, que ce soit le GTSMS, personne morale de droit public, ou encore chacun de ses membres, ESMS publics.

L’obligation se double d’ailleurs, pour ces acteurs, d’un second fondement : le traitement de données de santé réalisé à grande échelle, celle du territoire du groupement à venir.

Bonne nouvelle : le même article 37 autorise expressément plusieurs organismes publics à désigner un délégué unique et mutualisé, pour peu qu’il demeure facilement joignable depuis chaque structure.

Le GTSMS offre dès lors le véhicule idéal pour mutualiser cette fonction au bénéfice de l’ensemble de ses membres, gain de cohérence dans la politique de conformité, mise en commun d’une expertise rare et, à la clé, de substantielles économies. L’argument fait d’autant plus mouche que les délégués aguerris aux spécificités du médico-social demeurent une denrée rare, que peu d’ESMS pris isolément ont les moyens de s’offrir. C’est une configuration au sein de laquelle nous avons l’habitude d’intervenir au Cabinet, et qui, comme pour les autres activités du GTSMS, gagnera à être anticipée et inscrite, dès la constitution du groupement, au sein de sa convention constitutive et de son règlement intérieur.

L’exemple des ressources humaines

La gestion des RH illustre parfaitement les enjeux de qualification des responsabilités RGPD. Selon les processus retenus, le groupement et les membres pourront être responsables de traitement distincts ; mais ils pourront tout aussi bien être responsables conjoints, notamment si chacun exerce une influence déterminante sur les finalités et les moyens des activités mises en œuvre (ex : le processus de recrutement d’une fonction cadre faisant intervenir à la fois l’échelon du groupement et celui de l’établissement).

On rappellera ici que, pour la Cour de justice de l’Union européenne (« CJUE »), deux structures responsables de traitement n’ont nul besoin de disposer du même accès aux données personnelles collectées et traitées pour être qualifiées de responsables conjoints. La responsabilité conjointe se déduit de la participation à la détermination des finalités et des moyens, non de l’accès effectif à la donnée (CJUE, Affaires Wirtschaftsakademie du 5 juin 2018 (C-210/16) et Témoins de Jéhovah du 10 juillet 2018 (C-25/17)). Un travail d’analyse au cas par cas est donc nécessaire pour pouvoir identifier une co-responsabilité de traitement.

Ni « bonne » ni « mauvaise » qualification RGPD

Qu’on se le dise : il n’existe pas de bonne ou de mauvaise qualification RGPD. Le tout est d’être opérationnel et de coller à la réalité des activités du groupement et de ses membres.

Car la CNIL, comme le juge, se concentrera sur cette réalité et ne s’arrêtera pas à l’étiquette apposée par les structures. Inscrire « sous-traitant » dans une convention ne protège en rien si, dans les faits, le groupement co-détermine avec ses membres les finalités et les moyens mis en œuvre.

La mutualisation du SI et des outils métiers comme le DUI offre un cas plus net : le groupement pourra y être sous-traitant pour l’hébergement des données de santé, tandis que les membres demeureront responsables des prestations de soins délivrées aux usagers.

Ce qui nous amène à traiter du sujet épineux de l’hébergement des données de santé dans le contexte d’un GTSMS.

L’hébergement des données de santé dans le contexte d’un GTSMS

La convergence des systèmes d’information est sans doute la plus prometteuse des fonctions de l’article L. 312-7-4 du CASF, tant celle-ci permettrait de réaliser des économies et de mettre en commun, au niveau du groupement et pour le compte de l’ensemble des membres, des compétences et des savoir-faire rares dans le secteur médico-social (ex : un responsable informatique ou encore un DPO). Mais elle réserve un piège que le législateur n’a pas anticipé concernant la gestion de l’hébergement des données de santé, lequel pourrait constituer un frein au succès de la mutualisation du SI.

Le GTSMS sous-traitant de ses membres : l’effet boomerang de la certification HDS

Dans le cadre de la gestion du DUI, lorsque le groupement contractualise avec un prestataire pour le compte des membres qui lui en ont donné mandat, le GTSMS se retrouve en position de sous-traitant, au sens du RGPD, à l’égard de ses membres.

Et c’est précisément là que surgit la question de l’hébergement des données de santé. L’article L. 1111-8 du Code de la santé publique (« CSP ») pose en effet le cadre de la certification HDS : dès lors qu’une activité d’hébergement de données de santé est réalisée pour le compte d’un tiers, personne physique ou morale, la certification devient obligatoire dans le respect des classes d’activités identifiées à l’Article R.1111-9 du CSP.

Conséquence directe : si le GTSMS héberge les données de santé pour le compte de ses membres, il devra alors être certifié HDS, au prix d’un coût financier et technique loin d’être négligeable.

Deux options, deux compromis

Plusieurs voies s’offrent alors au groupement :

1. obtenir lui-même la certification HDS ;
2. recourir lui-même à un sous-traitant déjà certifié HDS ;

Aucune de ces options n’est neutre, et le choix devra être opéré en pleine conscience de ses implications budgétaires et opérationnelles.

L’exemption des GHT : un précédent dont les GTSMS sont (pour l’instant ?) exclus

Le sujet est d’autant plus épineux que les GHT bénéficient, eux, d’une exemption de certification HDS. Cette exemption, d’origine purement doctrinale et portée par l’Agence du numérique en santé (« ANS »), vise justement à éviter à ces acteurs des frais et à leur permettre de réaliser des économies. La FAQ en ligne de l’ANS, mise à jour le 6 mai dernier, rappelle d’ailleurs que l’exemption suppose la réunion de trois conditions cumulatives :

1. La convention constitutive du GHT doit prévoir explicitement la délégation d’activité d’hébergement à l’établissement hébergeur
2. Un accord de co-responsabilité de traitement doit être conclu entre l’ensemble des membres du GHT, conformément aux dispositions de l’article 26 du RGPD
3. Des mesures doivent être prises pour assurer la sécurité et la confidentialité des données hébergées ainsi que, d’une manière plus générale, le respect du RGPD.

Fragile dans son fondement, ce régime n’en demeure pas moins solidement ancré dans le paysage des GHT, au grand dam des GCS et des GCSMS, qui auraient bien voulu en bénéficier. Les GTSMS n’échappent donc pas, pour l’heure, à la règle commune.

Faut-il étendre l’exemption HDS aux GTSMS ?

L’opportunité d’accorder aux GTSMS cette exemption mérite pourtant d’être posée, à l’heure où le secteur affronte une vague de cyberattaques sans précédent.

En effet, le rapport 2025 de l’observatoire des incidents de l’ANS en témoigne, en recensant 764 déclarations d’incidents en 2025, et une augmentation significative de ce type de déclarations de la part des ESMS (+48% par rapport à 2024).

Faut-il donc accorder l’exemption aux GTSMS, au risque de les dispenser des mesures de sécurité renforcées qu’impose précisément la certification HDS, alors que les données de santé concentrent toutes les convoitises et sont plus que jamais exposées ? Ou faut-il, au contraire, consolider l’écosystème en imposant à chacun (GHT compris) de s’y conformer ? La question reste ouverte. Une chose est sûre : exclure durablement les GTSMS quand les GHT, souvent mieux dotés, continuent d’en profiter, c’est prendre le risque de fragmenter un peu plus le paysage des acteurs de la santé.

Le partenariat GHT/ES-GTSMS : enjeux numériques à venir

Reste un dernier front, et non des moindres. La réforme impose à chaque GTSMS de nouer un partenariat avec un GHT ou un établissement de santé (Article L312-7-3 du CASF) dont l’objet est de prévoir l’articulation entre le projet d’accompagnement partagé du GTSMS et le projet médical du GHT ou celui de l’établissement sanitaire.

La dimension numérique de ce partenariat ne devra pas être négligée dans la manière dont cette articulation prendra forme et devra être prise en considération lors de l’élaboration de la convention.

Même en l’absence de fusion des systèmes d’information entre les acteurs partenaires, on peut aisément entrevoir que l’articulation de leur projet respectif va nécessiter de cadrer les modalités de partage et d’échange des informations médicales entre les différentes structures pour coordonner la réponse sanitaire et médico-sociale sur le territoire.

Se posera alors la délicate question de la qualification « d’équipe de soins » au sens de l’article L. 1110-12 du CSP entre des professionnels relevant de structures distinctes, sans oublier les enjeux de cybersécurité que soulève l’éventuelle interconnexion du DUI et DPI (« Dossier patient informatisé ») de maturité inégale. Autant de chantiers que la convention de partenariat devra, elle aussi, anticiper.

Grappe numérique et GTSMS : quelle articulation ?

Composante du Ségur du numérique en santé, la constitution d’une grappe numérique, issue du programme ESMS numérique, conditionne le financement d’un regroupement de 15 à 49 FINESS d’ESMS autour d’un projet commun d’acquisition ou de mise en conformité d’un DUI, le tout pouvant réunir des structures de champs différents (grappe « mixte »).

Un porteur, désigné parmi les membres, signe alors seul une convention avec l’ARS, perçoit les fonds et les répartit entre les membres. Pour rappel, le programme ESMS numérique représente une enveloppe de 630 millions d’euros.

Encore faut-il ne pas se méprendre sur la nature de l’outil. La « grappe » n’est pas une forme juridique : c’est une exigence du programme, que l’on peut loger aussi bien dans une simple convention que dans un GCSMS. De même, la convention de grappe, lorsqu’elle est retenue, ne vit que le temps du projet, c’est-à-dire jusqu’au déploiement du DUI et à la réversion des financements.

Dès lors, tant que chaque membre de la grappe exploite sa propre instance du DUI, chacun demeure responsable de son dossier et la convention peut s’éteindre sans laisser de vide. En revanche, dès que le DUI est véritablement mutualisé au sein d’une grappe, une relation de responsabilité RGPD (sous-traitance ou responsabilité conjointe) et d’hébergement HDS va naître, laquelle devra faire l’objet d’un encadrement plus pérenne similaire à celle que nous avons évoquée dans le contexte d’un GTSMS.

Voici donc tout l’intérêt de l’adossement de cette grappe à un GTSMS : là où la grappe apporte le financement et l’élan nécessaire pour la mutualisation d’un DUI, le GTSMS, personne morale durable capable de contracter et de porter une gouvernance RGPD et HDS pérenne, offre le cadre que la convention de grappe, par nature, ne peut fournir. En somme, la grappe finance ; le GTSMS institutionnalise.

Toutefois, l’hypothèse d’un GTSMS constituant seul une grappe à partir de ses propres membres apparaît peu réaliste : pour atteindre le seuil de 15 à 49 FINESS exigé par le programme, le groupement devra le plus souvent s’adjoindre d’autres ESMS de son territoire.

Les acteurs du médico-social sont désormais prévenus ! La mutualisation et la coopération avec les acteurs de leur territoire comportent des enjeux numériques incontestables devant être au plus tôt anticipés et sécurisés au sein d’une gouvernance adaptée pour pouvoir tirer pleinement profit des opportunités que représente le GTSMS. Vous ne savez pas par où commencer ? Nous si ! Alors n’hésitez pas à nous contacter pour en échanger.