En santé, le règlement (UE) 2024/1183 se heurte à une réalité que les autres secteurs connaissent moins : il existe deux identités à traiter, et elles n'ont presque rien en commun. Celle du patient, qui se connecte rarement, depuis des équipements très hétérogènes. Celle du professionnel, qui s'authentifie des dizaines de fois par jour, souvent debout, souvent pressé, parfois sur un poste partagé. Le portefeuille européen d'identité numérique apporte beaucoup à la première et assez peu à la seconde. La logique générale du texte est décrite dans notre lecture transverse d'eIDAS 2 ; nous entrons ici dans le terrain hospitalier et libéral.
Cet article propose une lecture opérationnelle et ne constitue pas un avis juridique. Le traitement de données de santé relève d'un régime spécifique qui se superpose au texte évoqué ici, et doit être examiné avec votre délégué à la protection des données.
L'identité du patient : le vrai gisement
Côté patient, le bénéfice est net. Une identité attestée réutilisable résout trois irritants que tout établissement connaît.
Le rattachement au bon dossier. Les erreurs d'identitovigilance — homonymes, noms d'usage, dates de naissance saisies de travers, doublons créés aux urgences — coûtent cher et sont difficiles à rattraper. Un attribut vérifié en amont réduit la part de saisie manuelle qui les produit.
La téléconsultation. Vérifier à distance qu'un patient est bien celui qu'il prétend être repose aujourd'hui sur des moyens pauvres : lecture d'une pièce d'identité devant la caméra, éventuellement un code envoyé par message. L'acceptation d'une identité déjà attestée déplace cette vérification en amont du rendez-vous, là où elle peut être faite sérieusement.
Le portail patient et la reprise d'accès. Un usager qui perd son téléphone appelle le secrétariat, et se retrouve réidentifié par des éléments faibles. C'est le scénario qu'un attaquant vise en priorité, et celui que le réenrôlement adossé à une identité attestée améliore le plus directement.
L'identité du professionnel : un problème différent
Le professionnel de santé n'est pas un usager occasionnel. Il enchaîne les ouvertures de session sur des postes du service, consulte une imagerie, prescrit, valide un compte rendu, puis repart. Ses contraintes sont physiques avant d'être numériques : gants, mains prises, blouse sans poche, écran partagé au poste de soins, urgence vitale qui impose l'accès immédiat.
Un portefeuille porté par un smartphone personnel ne répond pas à ce quotidien. Il peut en revanche sécuriser des moments précis : la première inscription d'un professionnel dans l'établissement, l'arrivée d'un remplaçant, l'ouverture de droits à un intérimaire. Ce sont justement les moments où les procédures dérivent, où l'on prête un compte « pour dépanner », où un accès reste ouvert des mois après le départ de son titulaire.
Exercice partagé, remplaçants, mobilité
Un praticien multi-sites, un remplaçant présent trois semaines, un interne qui change de service à chaque stage : à chaque fois, une identité doit être créée, qualifiée, puis révoquée. L'attestation d'attributs peut porter une qualité professionnelle vérifiable et raccourcir l'ouverture des droits. Elle ne remplace pas votre gestion des habilitations : c'est votre annuaire, pas le portefeuille, qui sait à quels dossiers cette personne doit accéder cette semaine.
Identité prouvée, action non prouvée
Il faut être clair sur ce que le texte ne fait pas. eIDAS 2 organise la preuve de l'identité — qui vous êtes, établi une fois, réutilisable ailleurs. Il n'organise pas la preuve de l'intention : le fait que cette action précise, à cette seconde, corresponde à une volonté consciente.
Savoir que la session ouverte appartient bien au docteur qui l'a ouverte ne dit rien de l'export de dossiers en cours, ni du fait qu'elle en comprenne la portée si elle agit sur consigne d'un interlocuteur qui se présente comme le service informatique. C'est le domaine du facteur cognitif, qui intervient au moment de l'acte plutôt qu'au moment de l'inscription.
Ce que le portefeuille peut porter, secteur par secteur
| Situation | Ce que le portefeuille peut porter | Contrainte de terrain | Ce qui reste à traiter en interne |
|---|---|---|---|
| Patient en téléconsultation | Identité vérifiée avant le rendez-vous | Patient âgé sans terminal récent | Parcours de repli vérifié, non contournable |
| Patient sur le portail | Réenrôlement sans appel au secrétariat | Changement de numéro fréquent | Procédure du guichet d'accueil |
| Admission aux urgences | Rattachement fiable au bon dossier | Patient inconscient ou sans effets | Procédure d'identité provisoire et fusion |
| Remplaçant ou vacataire | Qualité professionnelle attestée à l'arrivée | Prise de poste immédiate | Révocation effective à la fin du contrat |
| Praticien multi-sites | Identité stable entre établissements | Postes partagés au poste de soins | Habilitations par service et par dossier |
| Prestataire de maintenance biomédicale | Identification fiable de l'intervenant | Intervention ponctuelle, parfois à distance | Accès nominatif, tracé, limité dans le temps |
Minimiser quand la donnée est une donnée de santé
Le principe de minimisation prend un relief particulier ici. Un service qui doit seulement savoir qu'une personne est majeure, ou qu'elle relève d'un dispositif de prise en charge, n'a pas besoin de son dossier d'identité complet. L'attestation d'attributs permet de répondre à la question posée sans transmettre le reste.
Le raisonnement vaut aussi en interne : moins de copies de pièces d'identité dans les applications de gestion, c'est moins de matière exfiltrable lors d'un incident. La logique rejoint celle du RGPD appliqué à la santé.
Par où commencer
- Traitez séparément les deux populations. Un projet unique « identité » qui mélange patients et professionnels échouera sur les contraintes de terrain des seconds.
- Commencez par la reprise d'accès du portail patient, puis par l'arrivée des remplaçants et des intérimaires : deux chantiers courts, à gain immédiat.
- Rendez le parcours de repli aussi solide que le principal : une partie de vos usagers l'empruntera durablement.
- Revoyez les comptes partagés au poste de soins : aucune évolution du volet identité ne les corrigera, et ils cassent toute traçabilité.
- Documentez ce que vous pouvez prouver sur l'accès à un dossier contesté.
FAQ
Un patient sans smartphone récent pourra-t-il encore accéder à ses soins ?
Oui, à condition que le parcours de repli soit conçu comme un vrai parcours et non comme une exception. Le point est majeur en santé, où une part de la patientèle est âgée ou peu équipée, et où un repli faible devient la porte d'entrée privilégiée.
Cela permet-il de supprimer les cartes à puce des professionnels ?
Rien ne l'impose, et la question doit se poser usage par usage. Un support physique reste souvent plus adapté à un poste partagé et à un enchaînement rapide de sessions qu'un terminal personnel qu'il faut sortir de sa poche.
Comment gérer l'accès en urgence vitale ?
Les procédures de dérogation, dites « bris de glace », restent nécessaires et ne sont pas concernées par le volet identité. Elles doivent être nominatives, tracées et revues a posteriori, faute de quoi elles deviennent le contournement standard.
Le portefeuille suffit-il pour les échanges entre établissements ?
Il fiabilise l'identification des personnes impliquées et facilite l'interopérabilité entre structures, y compris au-delà des frontières. Il ne définit ni les droits d'accès, ni les règles de partage entre professionnels, qui restent de votre responsabilité.
Aller plus loin : pilier : authentification cognitive · NIS2 appliquée à la santé · le phishing dans le secteur de la santé · récupération de compte et passkey