Les données concernant la santé relèvent des catégories particulières de données : leur traitement est en principe interdit, sauf cas d'ouverture précis — la prise en charge du patient en est un. Cette qualification ne change pas la liste des obligations, elle en relève le niveau. Elle se heurte surtout à une organisation des soins qui n'a pas été conçue pour la traçabilité individuelle : postes partagés, urgence vitale, intérim, rotations. C'est cet écart, et non le texte lui-même, qui constitue le vrai chantier d'un établissement.
Cet article propose une lecture opérationnelle et ne constitue pas un avis juridique. Le régime applicable à un traitement de santé, la base légale retenue et la nécessité d'une analyse d'impact se confirment avec votre délégué à la protection des données et vos conseils.
Ce que la catégorie particulière change à l'entrée du dossier patient
Trois obligations changent d'intensité dès qu'il s'agit de santé.
La sécurité du traitement d'abord : le risque pour la personne concernée étant plus élevé, les mesures attendues le sont aussi. Un dossier patient ouvert par un identifiant et un mot de passe partagés se défend très difficilement. Le besoin d'en connaître ensuite : la minimisation porte aussi sur qui peut voir les données. Un soignant a vocation à accéder aux dossiers des patients qu'il prend en charge, pas à tous ceux de l'établissement. L'analyse d'impact enfin, souvent attendue pour les traitements de santé à grande échelle.
La tension propre à ce règlement s'exprime ici sans détour : il faut verrouiller l'accès au dossier et, dans le même mouvement, éviter de transformer chaque soignant en objet de surveillance permanente. Le principe de cet arbitrage est développé dans notre page sur les obligations du RGPD qui touchent l'authentification.
Le poste partagé, là où la traçabilité individuelle se perd
Au poste de soins, l'organisation réelle l'emporte sur la procédure. Une session reste ouverte parce que la refermer entre deux patients coûte des secondes que personne n'a. Le journal cesse alors de désigner une personne : il désigne un poste. Toute la chaîne de preuve s'effondre avec lui.
L'accès en situation d'urgence vitale
Le dispositif dit de « bris de glace » est légitime : personne ne défendra qu'un patient attende une habilitation. Mais il ne se conçoit que par paire — un accès élargi immédiat, et un contrôle a posteriori réel. Un bris de glace non revu est un accès libre déguisé. La bonne question n'est pas « avons-nous une procédure ? » mais « qui a relu les derniers déclenchements, et qu'a-t-il constaté ? ».
Intérimaires, vacataires et rotations
Un vacataire arrive le matin, travaille l'après-midi, repart. Les habilitations suivent rarement ce rythme, et le réflexe est alors de prêter un compte : manquement à l'exactitude des données d'habilitation autant que trou de sécurité. La réponse tient dans un enrôlement rapide et des droits à échéance automatique, pas dans la discipline individuelle.
| Situation de terrain | Ce qui coince au regard de la protection des données | Ce qui doit exister en face |
|---|---|---|
| Session ouverte en continu au poste de soins | Le journal désigne un poste, pas une personne | Reprise d'identité rapide par soignant, sans ressaisie longue |
| Déclenchement d'un accès en urgence vitale | Accès élargi sans contrôle effectif | Journalisation dédiée et revue a posteriori formalisée |
| Vacataire ou intérimaire arrivé le jour même | Habilitations en retard, comptes prêtés | Enrôlement en quelques minutes, droits à échéance automatique |
| Tablette de visite au lit du patient | Terminal mobile, réauthentification fréquente, gants | Méthode utilisable sans saisie complexe, non rejouable |
| Télémaintenance d'un équipement biomédical | Accès distant d'un prestataire à des données réelles | Compte nominatif, ouverture à la demande, session tracée |
| Consultation d'imagerie depuis un autre établissement | Partage entre responsables distincts | Cadre de partage écrit et traçabilité des deux côtés |
Le patient qui demande ses données : vérifier sans sur-collecter
Le droit d'accès est fréquent en santé, et c'est aussi un point d'entrée d'usurpation : remettre un dossier médical à la mauvaise personne constitue une violation d'une gravité évidente. La tentation est alors d'exiger systématiquement une copie de pièce d'identité — donc de créer une collecte supplémentaire pour protéger une donnée sensible.
La voie raisonnable consiste à s'appuyer sur le canal déjà authentifié lorsqu'il existe, en élevant l'exigence au moment de la demande, plutôt qu'à ouvrir une procédure parallèle. Cela déplace la question vers l'enrôlement du portail patient et vers son parcours de récupération de compte, presque toujours le maillon le plus faible.
Prestataires, partage entre établissements et hébergement
Un établissement travaille avec une constellation de tiers : éditeur du dossier patient, mainteneur biomédical, laboratoire, opérateur de télémédecine, infogérant. Chacun relève du rapport responsable de traitement / sous-traitant, avec la question des sous-traitants ultérieurs et celle des transferts hors Union européenne — un support depuis un pays tiers est un transfert, même sans copie de base. S'y ajoute le régime français applicable à l'hébergement des données de santé, dont le périmètre se vérifie avec vos conseils.
Partager un système entre établissements d'un même groupement ne fusionne pas les responsabilités : qui répond de quoi doit être écrit, et la traçabilité rester exploitable des deux côtés. Les exigences qui s'y ajoutent au titre de NIS2 pour les établissements de santé pointent dans la même direction.
Reste la biométrie, souvent présentée comme la réponse évidente au poste de soins. Elle règle une vraie contrainte de temps, mais un gabarit centralisé crée une base de catégorie particulière, attractive et non révocable : un visage ne se réinitialise pas. C'est pourquoi HIAsecure la traite localement sur le terminal, sans gabarit central ni donnée identifiante détenue côté fournisseur, avec une conception et un hébergement en France.
Par où commencer
- Mesurer l'écart entre l'organisation réelle des soins et ce que disent vos journaux : combien de sessions couvrent plusieurs soignants ?
- Instituer la revue des bris de glace comme un rituel formalisé, avec un responsable nommé.
- Aligner le cycle des habilitations sur celui des personnes, échéance automatique comprise pour l'intérim et les vacations.
- Reprendre le parcours de récupération de compte du portail patient, côté patient et côté accueil.
- Recenser les accès distants des prestataires biomédicaux et les basculer sur des comptes nominatifs ouverts à la demande.
- Écrire le cadre de partage entre établissements avant de l'outiller.
FAQ
Un compte partagé au poste de soins est-il tolérable en pratique ?
Il rend impossible toute imputabilité, donc toute qualification d'un accès indu. La contrainte de temps qui l'explique se traite par une reprise d'identité rapide, pas par une consigne.
Le bris de glace est-il compatible avec la protection des données ?
Oui, à condition d'être conçu comme un accès exceptionnel, journalisé à part et réellement contrôlé après coup. Sans revue effective des déclenchements, il devient un contournement permanent des habilitations et se retourne contre l'établissement en cas de contrôle.
Comment vérifier l'identité d'un patient qui demande son dossier ?
Il faut vérifier assez pour ne pas remettre les données à un tiers, sans collecter plus que nécessaire pour y parvenir. Réutiliser un canal déjà authentifié vaut mieux que réclamer une pièce d'identité par principe. La procédure retenue se valide avec votre délégué à la protection des données.
La biométrie est-elle une bonne solution pour l'accès au dossier patient ?
Tout dépend de l'endroit où vit le gabarit. Traitée localement sur le terminal, sans référentiel central, elle répond à la contrainte d'ergonomie sans créer de nouveau gisement de données sensibles. Centralisée, elle transforme un problème d'accès en problème de conformité durable.
Aller plus loin : le principe de l'authentification cognitive · SecNumCloud et les établissements de santé · le phishing visant le secteur de la santé