Why It Matters: Care Notes, GDPR and the Independent Carer

When good record-keeping becomes more than simply writing down what happened

If you work through a care agency, record keeping is usually straightforward. There is a care plan. There is a recording system. There are policies explaining what should be written, where it should be stored, how long it should be kept and who can see it.

When you work independently, those systems may disappear.

And that can leave carers asking some surprisingly complicated questions.

- Do I legally have to write daily care notes?

- Who do the notes belong to?

- Can the family read them?

- Can I keep them on my phone?

- Should I keep copies when the placement ends?

- Do I need to register with the ICO?

- And does keeping care records suddenly mean I should be registered with the CQC?

The answer to most of those questions is: it depends on the arrangement.

That is precisely why it matters.

Care notes are not just paperwork

A good care record provides continuity.

If somebody's mobility has deteriorated over three days, their appetite has changed, they have started refusing medication, a pressure area has appeared or they seem noticeably more confused than usual, individual observations can become important when viewed together.

Records can also show:

- what support was provided

- what the person chose or declined

- changes in their usual presentation

- medicines support

- food and fluid intake where this is relevant

- falls, injuries or incidents

- conversations with health professionals

- advice received and action taken

- concerns raised with family or other appropriate people

- changes to agreed care

- safeguarding concerns and escalation

- information needed by the next carer

Good records protect the person receiving care first and foremost.

They also protect the carer.

Six months after an incident, "I'm fairly sure I told her daughter" is considerably less useful than a dated record showing what was observed, who was contacted, when they were contacted and what action was agreed.

This is where a JCC Care Discussion Room can become invaluable. Unlike ordinary messaging apps, care-related conversations do not have to compete with family photographs, shopping lists, social messages and everything else happening in somebody's inbox. The Care Room gives the carer and family a dedicated place for the care arrangement, keeping relevant conversations, important messages, agreed information and documents together and creating a much clearer chronological record of what was discussed and decided.

It does not replace appropriate care notes or formal records where these are needed — but it can provide an extremely useful supporting record of communication around the care.

If a concern later arises, being able to establish who knew what, and when, can matter enormously.

But is an independent carer legally required to keep daily care notes?

This needs some distinction.

CQC Regulation 17 requires registered providers in England to maintain secure, accurate, complete and contemporaneous records for people using their regulated services.

But not every independent carer is a registered provider.

CQC itself recognises circumstances in which an individual care worker providing personal care directly to a person, under that person's or an appropriate third party's direction and control, can fall within an exemption from CQC registration.

So it is too simplistic to say: "Every self-employed carer is legally required under CQC rules to keep daily notes." That isn't correct.

CQC regulation applies according to the nature of the regulated service and the provider involved.

There may, however, be other reasons why records are necessary — including the care agreement, medicines arrangements, safeguarding responsibilities, insurance requirements, continuity of care and data protection obligations.

And from a professional perspective, where somebody is providing substantial personal care, keeping appropriate records is usually extremely sensible.

The key word is appropriate.

A companionship arrangement for an independent, cognitively able adult may require considerably less recording than a live-in placement involving mobility support, dementia, medication, continence care and multiple health professionals.

Record according to the care being provided — not because somebody once told you that every cup of tea requires documenting.

What makes a good care note?

A good care note should enable another appropriate person to understand what happened without having to interpret the writer's mood, assumptions or shorthand.

For example:

Poor: Margaret was difficult again today and refused to cooperate.

Better: Margaret declined assistance with showering at approximately 09:15. She said, "I don't want one this morning." I offered again after breakfast and she declined. Margaret washed her face and hands independently and chose to remain in her nightwear until lunchtime.

The second entry records what happened.

It doesn't label Margaret. It doesn't turn a perfectly legitimate choice into "challenging behaviour". And it doesn't suggest that the carer's preferred outcome was automatically the correct one.

The ICO's December 2025 care-record standards emphasise clear, respectful and understandable language and recommend avoiding unexplained jargon and acronyms.

Although those particular standards were produced primarily for organisations holding formal care records — and much of the campaign focuses on people with experience of the care system — the underlying principle is valuable everywhere: always write a care record as though the person it is about may one day read it.

Because they may.

Observation is not diagnosis

Independent carers should also remember the limits of their role.

Write: John appeared more breathless than usual when walking from the bedroom to the lounge. He stopped twice and said he felt unusually tired.

Rather than: John's heart condition was worse today.

Unless a qualified professional has actually made that assessment, the second statement is a diagnosis.

Likewise: Susan was quieter than usual, remained in bed until 11:30 and ate approximately half her breakfast, is more useful than: Susan seemed depressed.

Record what you observed, what the person said and what you did about it.

That makes the record both safer and more useful.

Medicines need particular care

Where a carer supports somebody with medication, the record becomes particularly important.

CQC's updated medicines guidance says regulated adult social care providers should record medicines support each time it is provided, including whether the person took or declined the medicine.

An independent arrangement outside CQC regulation does not automatically acquire Regulation 17 simply because medication is involved.

But the safety principle remains extremely strong.

If two carers share a placement, for example, nobody should have to guess whether a dose has already been given.

Where medication support forms part of an independent care arrangement, the parties should agree:

- exactly what support the carer will provide

- what the client manages independently

- how administration or prompting is recorded

- what happens when medication is declined

- how PRN / "when required" medicines are handled

- who contacts the GP, pharmacy or other professional when clarification is needed

Medication should not be managed by memory and crossed fingers.

Care notes are personal data

And this is where another frequently misunderstood subject appears: the ICO.

Care records can contain names, addresses and contact details, but they very often contain much more.

Information about someone's physical or mental health is special category data under UK data protection law and receives additional protection. That can include information about:

- diagnoses

- disability

- injuries

- medication

- continence

- mental health

- mobility

- medical appointments

- treatment

- changes in health

So if you independently create and retain care records, you are not merely keeping a diary. You are processing highly sensitive personal information.

Does every self-employed carer have to register with the ICO?

No — not automatically.

But many genuinely independent carers may need to pay the ICO data protection fee.

The crucial issue is whether you are acting as a data controller or simply as a data processor.

A controller decides why personal information is being processed and exercises meaningful control over how it is handled. A processor handles information on somebody else's instructions.

The ICO specifically states that sole traders and self-employed people can be data controllers. Its health and social care guidance also says that organisations providing domiciliary care, companionship or assistance in somebody's home and holding service users' medical records electronically are required to pay the data protection fee. It similarly explains that responsibility depends on who controls the records.

That makes the individual arrangement important.

Consider two carers.

Carer A — the client has their own care-record system. The client determines what information is recorded and why. The carer writes in the client's record during the placement but doesn't retain their own database or copies and handles the information entirely according to the client's instructions. Their data protection position may be very different from:

Carer B — the carer runs their own care business. They create their own client records. They decide what information needs recording. They keep health information electronically. They retain records after placements end. They decide which systems and apps are used. They determine how long information will be retained.

Carer B looks considerably more like an independent data controller.

And a controller will generally have greater data protection responsibilities and may need to pay the ICO data protection fee.

So "you're self-employed, therefore you must register with the ICO" is too broad.

But equally: "I'm only one carer, so GDPR doesn't apply to me" is a dangerous assumption.

The ICO provides a specific fee self-assessment tool because the answer depends on what the business actually does.

For a small controller, the current lowest standard fee is £52 per year, with exemptions applying in some circumstances.

Paying the ICO fee is not the same as being GDPR compliant

This is another important distinction.

Paying the data protection fee does not magically make a care business compliant. It is one part of the picture.

An independent carer who is responsible for their own client data should also be considering:

What information am I collecting? Only collect information genuinely needed to provide the service or meet another legitimate purpose.

Why am I collecting it? You need an appropriate lawful basis for processing personal information. Health information is special category data, so additional conditions apply to processing it. The ICO specifically recognises health or social care as one possible special-category condition where its requirements are met.

Have I explained this to the client? A person should understand what information is being collected, why it is needed, how it will be used, who it may be shared with and how long it will be retained. For an independent business, that will commonly involve an appropriate privacy notice.

Is it secure? That brings us to one of the biggest weak spots in informal private care arrangements.

Your phone can become part of the care record

Consider what might be sitting on an independent carer's personal phone:

- photographs of medication

- photographs of wounds or bruising

- WhatsApp discussions with family

- screenshots of appointment letters

- photographs of MAR charts

- GP contact details

- hospital discharge information

- client addresses

- door-entry codes

- family telephone numbers

Suddenly the device isn't simply a personal phone. It contains part of somebody's care information.

The ICO says records containing personal information must be kept securely and protected from loss, damage and unlawful or accidental destruction.

So consider:

- device passwords or biometric security

- automatic screen locking

- secure backups

- who else can access the device

- whether photographs automatically upload to a personal cloud account

- whether information needs to remain on the device at all

- secure deletion when it is no longer required

And remember that convenience does not automatically equal compliance.

A family WhatsApp group may be easy. That doesn't mean every family member automatically needs access to every detail of somebody's health.

"But her daughter pays me…"

That doesn't automatically give the daughter unrestricted access to her mother's information. Nor does simply being someone's son, daughter or "next of kin".

The starting point should remain the person receiving care wherever they are able to make the relevant decision.

Who should receive updates? What information can be shared? Does the client want their daughter told about every medical appointment? Does their son have authority to act for them? Is there a relevant Lasting Power of Attorney? Does the client have capacity for this particular decision?

Information-sharing should be agreed rather than simply assumed.

The ICO recognises that even authorised third-party requests for health information require careful consideration of the person's wishes and the information involved.

Paying for someone's care does not purchase unlimited access to their private life.

The client can ask to see information you hold about them

If you are the controller of someone's personal information, they have information rights.

That includes the right to request access to personal information held about them through a Subject Access Request.

Current ICO guidance says that SARs can be made verbally or in writing and, in most circumstances, must be answered without undue delay and within one month.

This provides another excellent test for care notes: would you be comfortable handing the client a copy?

If the answer is no because the notes contain personal judgements, sarcasm, gossip or comments you would not want them to see, the problem probably isn't the client's right of access. It's the record.

What about information concerning family members?

Care notes can contain personal information about other people too.

For example: "Client's son Mark visited at 14:00. Mark appeared intoxicated and shouted at his mother."

That potentially contains information about both the client and Mark.

This becomes particularly relevant if records are later requested. Data protection law contains provisions around third-party information, so it isn't always as simple as photocopying the entire file and handing it over.

Another good reason to keep notes relevant and proportionate.

How long should an independent carer keep care notes?

There isn't one simple retention period that every independent UK carer can copy.

Retention requirements can depend on:

- whether the service is regulated

- which UK nation you work in

- the nature of the records

- contractual obligations

- insurance requirements

- safeguarding considerations

- potential legal claims

- other professional or statutory requirements

What data protection law does require is that personal information is not simply kept indefinitely because it might one day be useful.

The ICO expects organisations to determine and document appropriate retention periods and periodically delete or anonymise information that is no longer needed.

An independent carer acting as a controller should therefore have a simple retention policy stating what they keep, why they keep it, for how long and what happens afterwards.

Check your insurer's requirements too.

Deleting every record the day a placement ends may be unwise. Keeping every client's intimate health history forever isn't the answer either.

Don't rewrite history

If an entry is wrong, correct it transparently.

Don't quietly delete the original version and replace it with something more convenient after an incident has occurred.

Paper records should have an identifiable correction. Electronic systems should ideally retain an audit trail.

And never backdate a record to make it appear contemporaneous when it wasn't.

If you need to write an entry later, say so: "Retrospective entry written 14 July at 18:20 relating to incident at approximately 11:30."

That is considerably more defensible than pretending it was recorded at 11:35.

Care notes are not a substitute for escalation

Another trap is believing that because something has been documented, something has been done. It hasn't.

Writing "Client unable to weight-bear this morning" does not resolve the problem. Neither does "Pressure area looks worse." Nor "Client very confused today."

The record should also show what happened next where action was necessary.

Who was contacted? What advice was received? Was emergency assistance required? Was the family informed where appropriate? Was a safeguarding concern raised? Was the care plan changed?

Documentation records action. It does not replace action.

And safeguarding records require particular care

When a safeguarding concern arises, record facts carefully.

Who said what? What did you personally observe? What time did it happen? What action did you take? Who did you contact?

Avoid conducting your own investigation or filling gaps with assumptions.

For example: "Mary said, 'My son pushed me yesterday.'" is very different from "Mary's son assaulted her yesterday."

The first records what was disclosed. The second states as fact something you may not have witnessed.

You can still — and where necessary absolutely should — act on the concern. Accurate language simply protects the integrity of the information being passed on.

What happens when two independent carers share a placement?

This is another reason independent care arrangements need structure.

Who maintains the main record? Can both carers access it? Does each carer keep separate records? Who is responsible for storage? What happens when one carer leaves? Who retains historic information? Who responds if the client requests their information? Are both carers independently determining how information is handled, or are they working under a system established by the client?

Those questions can affect data protection responsibility.

They should not be discovered for the first time after something has gone wrong.

And what about CQC registration?

Keeping care notes does not, by itself, make somebody a CQC-regulated provider. Neither does paying the ICO fee. They regulate entirely different things.

The ICO is concerned with information rights and data protection. The CQC regulates specified health and social care activities in England.

Whether an independent carer needs CQC registration depends on the actual care model and, importantly, who exercises direction and control over the personal care being provided. CQC expressly recognises an exemption for some individual care workers working directly under the control of the person receiving care or an appropriate related third party.

Scotland, Wales and Northern Ireland have their own care regulators, so carers operating outside England should check the relevant national requirements.

So what should an independent carer have in place?

For many genuine independent care businesses, a sensible minimum framework would include:

- an agreed care plan or scope of work

- clear expectations around daily records

- appropriate medication records where medicines support is provided

- an incident/accident recording method

- safeguarding recording and escalation arrangements

- an agreed method for handover

- clarity about who may receive information

- a privacy notice where required

- an assessment of whether ICO registration/data protection fee applies

- secure storage arrangements

- a record-retention and deletion policy

- a process for handling requests for information

- clarity in the care agreement about records when the arrangement ends

That sounds rather more formal than "we'll sort something out when I arrive."

And that is exactly the point.

Why It Matters

Independent care does not have to mean unstructured care.

Removing the agency should remove unnecessary cost and control. It should not remove the systems that protect the client and the carer.

Care notes are part of that structure.

Done badly, they can become a collection of opinions, duplicated information and highly sensitive data stored in somebody's phone indefinitely.

Done well, they create continuity, evidence decisions, support safer medication, identify changing needs, improve handovers and provide a clear account of the care somebody has received.

And the same principle applies to the paperwork surrounding them.

Being self-employed doesn't automatically mean "you must register with the ICO." Being independent doesn't automatically mean "you must register with CQC." And being outside an agency certainly doesn't mean "none of those rules apply to me."

The professional approach is to understand which rules apply to your particular business and why.

Because the aim of independent care should never be to recreate an agency's bureaucracy in somebody's kitchen.

It should be to keep the structure that matters — and remove the parts that don't.

Independent care, done properly.

Disclaimer: This article provides general information about independent care arrangements and data protection. It is not legal advice. Regulatory requirements differ according to the nature of the service, the contractual arrangement and the part of the UK in which care is provided.