Votre navigateur est obsolete, merci d'effectuer une mise a jour

Chargement...

Informatique & conformité pour les professionnels de santé

Cabinets médicaux et paramédicaux, maisons de santé et professions libérales à Manosque et dans les Alpes-de-Haute-Provence.

Un cabinet de santé n'est pas une entreprise comme les autres sur le plan informatique. Les données que vous manipulez chaque jour sont des données sensibles au sens du RGPD, votre logiciel métier est soumis à des référencements nationaux, et une indisponibilité d'une demi-journée se traduit immédiatement par des consultations perdues.

Isckaa Informatique accompagne depuis 2022 des cabinets libéraux, des maisons de santé pluriprofessionnelles et des structures coordonnées du secteur de Manosque et de la DLVA. Cette page rassemble les questions qui reviennent le plus souvent, avec des réponses directes.

Quelles sont les obligations informatiques d'un cabinet de santé libéral ?

Elles se répartissent en plusieurs familles, et beaucoup de praticiens n'en identifient qu'une ou deux.

Le secret médical et la maîtrise des accès. L'accès aux dossiers doit être limité aux seules personnes habilitées, et les accès accordés aux salariés, remplaçants et secrétaires doivent être formalisés — pas simplement tolérés dans les faits.

La protection des dossiers patients. Comptes nominatifs, mots de passe robustes, authentification forte, verrouillage des postes, sauvegardes, mises à jour et traçabilité.

Le RGPD. Les données de santé relèvent de l'article 9 du règlement européen, celui des catégories particulières de données. Cela implique d'informer les patients, de tenir un registre des traitements, d'encadrer les sous-traitants, de gérer les droits des personnes et de notifier les violations présentant un risque. S'y ajoute le principe de minimisation : ne conserver et ne communiquer que les données nécessaires.

Une idée fausse fréquente : pour un cabinet libéral, aucune déclaration courante n'est à déposer auprès de la CNIL. En revanche, vous devez être en mesure de démontrer votre conformité à tout moment. C'est précisément ce que produit un audit : des preuves, pas une formalité administrative.

Les échanges entre professionnels. Transmettre un compte rendu ou un résultat par une messagerie ordinaire ne constitue pas, par défaut, un canal adapté aux échanges médicaux identifiants. Le canal attendu est une messagerie sécurisée rattachée à l'espace de confiance MSSanté.

L'identification et l'authentification. La carte CPS, l'e-CPS et Pro Santé Connect permettent une authentification forte et nominative. À noter : l'obligation technique de raccordement à Pro Santé Connect vise surtout les fournisseurs de services numériques. Votre obligation à vous est d'employer le moyen d'authentification prévu et de ne jamais partager votre carte ni votre compte.

L'hébergement. Dès qu'un prestataire héberge vos données patients pour votre compte, il doit être certifié HDS. C'est un point de contrôle simple et souvent négligé lors du choix d'un logiciel ou d'une solution de sauvegarde.

La PGSSI-S. La Politique Générale de Sécurité des Systèmes d'Information de Santé s'applique dès lors que des données personnelles de santé sont manipulées. Distinction importante : ses référentiels approuvés par arrêté sont opposables, tandis que ses guides constituent des recommandations — fortement conseillées, mais non contraignantes.

Qu'est-ce que MSSanté et suis-je obligé de l'utiliser ?

MSSanté est l'espace de confiance des messageries sécurisées de santé, opéré par l'Agence du Numérique en Santé (ANS). Il garantit que l'expéditeur et le destinataire sont bien des professionnels de santé identifiés, et que l'échange est chiffré et tracé.

Deux usages coexistent : les échanges entre professionnels, et l'envoi de documents vers Mon espace santé, le carnet de santé numérique du patient. Beaucoup de logiciels métiers intègrent aujourd'hui une messagerie MSSanté directement dans l'interface, ce qui évite de jongler entre plusieurs outils — encore faut-il que le paramétrage soit fait correctement et que les certificats soient valides.

En pratique : l'erreur la plus fréquente que nous rencontrons est un compte MSSanté ouvert mais jamais configuré dans le logiciel métier. Le praticien pense être conforme, et continue en réalité d'envoyer ses documents par une messagerie classique.

Suis-je obligé d'alimenter le DMP et Mon espace santé ?

Oui. Depuis le 1er janvier 2024, les professionnels de santé doivent alimenter le DMP avec les documents et informations utiles à la coordination des soins prévus par arrêté, sauf opposition légitime du patient. C'est une obligation légale, inscrite à l'article L.1111-15 du Code de la santé publique.

Deux précisions qui reviennent souvent :

  • Le DMP ne remplace pas votre dossier professionnel local. Vous continuez à tenir votre dossier patient dans votre logiciel métier ; le DMP est un espace de partage, pas votre dossier de travail.
  • L'INS qualifiée est un prérequis. Les données doivent être référencées avec l'Identité Nationale de Santé, récupérée via le téléservice INSi, et l'identité du patient doit être vérifiée selon les règles d'identitovigilance. Sans qualification de l'INS, pas d'envoi au DMP.

Les documents concernés doivent également être adressés de manière sécurisée, via MSSanté, au patient et aux professionnels pertinents.

Le Ségur du numérique en santé, qu'est-ce que ça change pour mon logiciel métier ?

Premier point à clarifier : le Ségur n'est pas une certification personnelle du professionnel de santé. Il organise le référencement et le financement de logiciels capables d'intégrer :

  • l'INS et le téléservice INSi ;
  • le DMP et Mon espace santé ;
  • MSSanté ;
  • Pro Santé Connect ;
  • l'ordonnance numérique, selon la profession ;
  • les formats d'interopérabilité exigés.

En pratique, vous devez choisir une version de logiciel référencée Ségur adaptée à votre « couloir » — médecine de ville, pharmacie, biologie, imagerie, dentaire, paramédical… — puis activer et utiliser réellement les fonctions obligatoires. Un logiciel installé mais dont les fonctions Ségur ne sont pas activées ne remplit pas l'objectif.

Attention au raccourci. Un logiciel « Ségur » ne rend pas automatiquement votre cabinet conforme au RGPD ni sécurisé. Ce sont deux sujets distincts : le référencement porte sur les capacités du logiciel, la conformité porte sur votre organisation, vos accès, vos sauvegardes et vos procédures.

La démarche de référencement est portée par votre éditeur, pas par vous. Mais la nouvelle version doit ensuite être installée, paramétrée et vérifiée sur vos postes — et c'est là que la plupart des cabinets se retrouvent bloqués : base à migrer, cartes à réenrôler, imprimantes et lecteurs à reconfigurer, utilisateurs à reprendre un par un. C'est typiquement l'opération qu'il vaut mieux préparer et réaliser en dehors des heures de consultation.

Où mes données patients doivent-elles être hébergées ?

Commençons par lever la confusion la plus répandue : la certification HDS concerne l'hébergeur, pas le professionnel de santé.

Elle s'impose lorsqu'un prestataire héberge pour votre compte des données personnelles de santé recueillies dans le cadre des soins : logiciel en ligne, cloud, serveur externalisé, sauvegarde distante, plateforme de télésanté. Le prestataire doit alors être certifié HDS pour les activités concernées, et la prestation doit faire l'objet d'un contrat. C'est l'article L.1111-8 du Code de la santé publique.

Et si je garde tout au cabinet ? Un cabinet qui conserve lui-même ses dossiers sur ses propres équipements, sans fournir de service d'hébergement à un tiers, n'a généralement pas à devenir certifié HDS. Il reste néanmoins pleinement responsable de la sécurité, du RGPD et du secret médical — l'absence d'obligation HDS n'allège en rien ces obligations-là.

Concrètement, un dossier patient déposé sur un service de stockage grand public n'est pas conforme, même si le service est par ailleurs sérieux et chiffré. La certification n'est pas une question de qualité technique : c'est une obligation réglementaire spécifique aux données de santé.

Ce qu'il faut contrôler dans le contrat d'hébergement

  • le certificat HDS en cours de validité et le périmètre exact qu'il couvre ;
  • la localisation des données dans l'UE/EEE, et les risques d'accès depuis un État tiers ;
  • les sous-traitants utilisés par l'hébergeur ;
  • les modalités de sauvegarde, de disponibilité et de gestion des incidents ;
  • la restitution et la suppression des données en fin de contrat ;
  • les clauses RGPD de sous-traitance.

Isckaa Informatique n'est pas hébergeur de données de santé. Notre rôle est de vous aider à vérifier le statut HDS de vos prestataires actuels et le périmètre réellement couvert par leur certificat, à passer leur contrat au crible des points ci-dessus, à choisir une solution conforme lorsque ce n'est pas le cas, et à assurer la bascule.

Comment sécuriser concrètement le poste de travail d'un cabinet ?

Sans entrer dans un chantier disproportionné pour une structure libérale, le socle tient en quelques principes : un compte nominatif par utilisateur — jamais de session partagée —, la séparation des comptes utilisateurs et administrateurs, le chiffrement des portables et supports amovibles, le verrouillage automatique des sessions, et une séparation stricte du réseau entre le WiFi invité et le réseau de soin.

Le détail opérationnel de ce que nous déployons et maintenons figure plus bas, dans nos missions auprès des cabinets.

Que faire en cas de rançongiciel ou de perte de données patients ?

La réaction des premières minutes détermine largement l'ampleur des dégâts.

  • Isoler les postes touchés du réseau — débrancher le câble, couper le WiFi — sans les éteindre, pour préserver les éléments d'analyse.
  • Ne pas payer la rançon : le paiement ne garantit rien et alimente l'activité criminelle.
  • Notifier la CNIL sous 72 heures. Une violation de données de santé est un incident notifiable, et les patients doivent être informés si le risque pour eux est élevé.
  • Solliciter le CERT Santé de l'ANS, qui accompagne gratuitement les professionnels de santé victimes d'un incident de sécurité.
  • Déposer plainte, ce qui est en général requis par l'assurance.
  • Restaurer depuis une sauvegarde saine, après vérification qu'elle n'est pas elle-même compromise.

Un prestataire informatique peut-il rendre mon cabinet conforme ?

Non, et il faut se méfier de ceux qui l'affirment. Aucun prestataire informatique ne certifie un cabinet de santé et aucun ne peut se substituer au praticien dans ses obligations : vous restez responsable de traitement au sens du RGPD.

Ce qu'un prestataire peut faire, en revanche, c'est vous fournir les protections techniques, les preuves et la documentation qui soutiennent votre conformité : audit, sécurisation des postes et du réseau, sauvegardes réellement testées, procédures d'incident et éléments alimentant votre registre RGPD. C'est précisément le périmètre sur lequel nous nous engageons.

Comment se déroule une intervention dans un cabinet en activité ?

C'est la contrainte la plus structurante de votre métier, et celle que nous entendons le plus : on ne peut pas immobiliser un cabinet en pleine journée de consultations.

Nous planifions donc les interventions en fonction de vos plages de consultation. Les opérations lourdes — migration de logiciel métier, reprise de câblage, changement de serveur — sont préparées en amont puis réalisées en dehors des horaires d'ouverture. Pour les incidents courants, l'assistance à distance permet de traiter la majorité des situations sans déplacement et sans attente.

Nos missions auprès des cabinets

Notre rôle, clairement posé. Nous ne « certifions » pas votre cabinet — aucun prestataire informatique ne le peut. Nous vous apportons des protections, des preuves et un accompagnement durable : la sécurisation technique, les éléments documentaires que vous pourrez présenter, et la continuité de votre activité.

1. Audit initial du cabinet

Nous réalisons un état des lieux portant sur :

  • postes, serveurs, réseau, WiFi et accès Internet ;
  • logiciel métier et compatibilité Ségur ;
  • hébergement et sauvegardes ;
  • comptes utilisateurs et droits d'accès ;
  • CPS, e-CPS, Pro Santé Connect, MSSanté, DMP et INS ;
  • antivirus/EDR, chiffrement, mises à jour et journalisation ;
  • contrats avec les éditeurs et prestataires ;
  • procédures en cas de panne, de cyberattaque ou de violation de données.

Le livrable est un rapport simple et exploitable : risques constatés, niveau de priorité, actions à mener, responsable désigné et échéance. Pas un document de 80 pages que personne ne lira.

2. Mise en sécurité informatique

Nous mettons en place et maintenons :

  • des comptes nominatifs pour chaque utilisateur ;
  • l'authentification multifacteur lorsqu'elle est disponible ;
  • la séparation entre comptes utilisateurs et comptes administrateurs ;
  • le chiffrement des ordinateurs portables et des supports amovibles ;
  • le verrouillage automatique des sessions ;
  • des mises à jour automatisées ;
  • une protection antivirus/EDR et le filtrage des courriels ;
  • un pare-feu, et un WiFi professionnel séparé du WiFi invité ;
  • la restriction des accès des secrétaires, remplaçants et prestataires ;
  • un accès distant sécurisé, sans exposition directe du serveur sur Internet ;
  • la journalisation et une conservation raisonnable des traces ;
  • la suppression rapide des accès lors du départ d'un collaborateur.

Ce que nous nous appliquons à nous-mêmes. Nous intervenons avec des comptes d'administration individuels et n'utilisons aucun mot de passe générique partagé entre clients. Un prestataire qui ne s'applique pas ses propres règles est lui-même un risque pour votre cabinet.

3. Sauvegarde et continuité d'activité

C'est le volet le plus déterminant en cas d'incident. Il comprend :

  • des sauvegardes chiffrées suivant la règle 3 copies, 2 supports, 1 copie hors ligne ;
  • l'externalisation chez un prestataire certifié HDS lorsque des données de santé sont concernées ;
  • la supervision quotidienne des sauvegardes ;
  • des tests réguliers de restauration ;
  • une procédure papier ou un mode dégradé en cas de panne ;
  • un plan de reprise après incident ;
  • l'inventaire des contacts à prévenir : éditeur, hébergeur, assurance, DPO et autorités si nécessaire.

Une sauvegarde non testée ne constitue pas une garantie de reprise. C'est le point sur lequel nous voyons le plus de cabinets se croire protégés à tort.

4. Accompagnement Ségur et services ANS

Nous vous aidons à :

  • vérifier que votre logiciel et sa version sont référencés Ségur ;
  • coordonner la mise à niveau avec l'éditeur ;
  • activer CPS/e-CPS et Pro Santé Connect ;
  • configurer MSSanté ;
  • vérifier l'accès au DMP et son alimentation ;
  • configurer le téléservice INSi ;
  • organiser la qualification de l'INS et l'identitovigilance ;
  • former les utilisateurs ;
  • tester les flux avec des données fictives ;
  • documenter les incidents et les rejets techniques.

Limite de responsabilité. Nous configurons les outils. Les décisions médicales, la vérification de l'identité du patient et le choix des documents à partager restent sous votre responsabilité de professionnel de santé.

5. Contribution à votre conformité RGPD

Nous fournissons la partie technique et documentaire :

  • cartographie des équipements et des flux de données ;
  • inventaire des logiciels, hébergeurs et sous-traitants ;
  • description des mesures de sécurité ;
  • politique de mots de passe et de gestion des accès ;
  • procédure de sauvegarde et de restauration ;
  • procédure de notification des incidents ;
  • registre des interventions techniques ;
  • engagements de confidentialité ;
  • procédure de restitution et d'effacement des données ;
  • les éléments utiles à votre registre RGPD et, si nécessaire, à l'analyse d'impact.

Ces éléments alimentent votre documentation de conformité : vous restez responsable de traitement, nous vous fournissons la matière technique qui la soutient.

Et aussi

  • Réseau et câblage : création et réfection de baies de brassage, WiFi professionnel, VPN entre sites.
  • Contrat de maintenance : interventions à distance et sur site, avec des délais de prise en charge adaptés à l'activité d'un cabinet.

Ils nous font confiance

Isckaa Informatique intervient notamment auprès de la Maison de santé La Vista, d'Orion Santé à Pierrevert, et de C-Média pour le réseau des pharmacies en PACA. Nous réalisons également les supports de communication de campagnes de prévention — vaccination, dépistage, éducation thérapeutique — visibles sur notre portfolio.

Un point sur la conformité de votre cabinet ?

Nous proposons un premier échange sans engagement pour situer votre cabinet : sauvegardes, MSSanté, version de votre logiciel métier et statut de vos prestataires.

Sources officielles

Les points réglementaires de cette page s'appuient sur les références suivantes. Nous vous invitons à les consulter directement :

Page rédigée à partir des sources officielles ci-dessus. Les informations réglementaires sont fournies à titre indicatif et ne constituent pas un conseil juridique. Les référentiels du numérique en santé évoluent : en cas de doute, reportez-vous aux publications en vigueur de l'Agence du Numérique en Santé, de la CNIL et de l'Assurance Maladie.