L'informatique d'une clinique :
ce qui change

Parce que le RGPD les range dans une autre catégorie. L'article 9.1 interdit par principe le traitement de certaines catégories particulières de données, dont les données concernant la santé, sauf dans les cas que l'article lui-même énumère, la prise en charge sanitaire étant l'un d'eux. L'article 4.15 définit ces données de façon large : toute donnée relative à la santé physique ou mentale, passée, présente ou future, qui révèle des informations sur l'état de santé d'une personne. En pratique, cela va bien au-delà du dossier médical : le motif d'un rendez-vous dans l'agenda, un devis de traitement, une radiographie sur le bureau de l'ordinateur ou un e-mail dans lequel un patient décrit ce dont il souffre. Tout cela transite par les mêmes équipements que dans n'importe quel bureau, mais le niveau de protection attendu est plus élevé.

Le RGPD n'impose pas de liste fermée de mesures, mais des mesures appropriées au risque, et parmi les exemples cités à l'article 32.1 figurent le chiffrement des données personnelles et la capacité de rétablir rapidement la disponibilité des données et l'accès à celles-ci après un incident. Avec des données de santé, le risque est élevé par définition : le plus raisonnable est donc que toute sauvegarde qui quitte les locaux soit chiffrée, que la clé ne voyage pas avec elle et que quelqu'un vérifie de temps en temps qu'elle est restaurable. Une sauvegarde non chiffrée sur un disque que quelqu'un emporte chez lui transforme un vol de voiture en violation de données de santé. Une sauvegarde jamais testée risque de ne servir à rien le jour où l'on en a besoin.

La loi espagnole 41/2002 sur l'autonomie du patient dispose, à son article 16.4, que le personnel administratif et de gestion des établissements de santé ne peut accéder qu'aux données du dossier médical liées à ses propres fonctions. Traduit en informatique : l'accueil a besoin de l'agenda, des coordonnées et de la facturation, pas des notes cliniques. Presque tous les logiciels de gestion de clinique permettent de créer des profils d'utilisateur avec des droits différents, et il est fréquent de les trouver non configurés, tout le monde se connectant en administrateur. Bien configurer les profils demande peu de travail et change complètement la réponse à la question de savoir qui a pu voir telle ou telle donnée.

La loi de l'État, la loi 41/2002 en son article 17.1, fixe un minimum de cinq ans à compter de la date de sortie de chaque épisode de soins. En Catalogne s'applique en outre la loi 21/2000, dont l'article 12, dans sa rédaction issue de la loi 16/2010, impose de conserver pendant quinze ans à compter de la sortie de chaque épisode certains documents, comme les formulaires de consentement éclairé, les comptes rendus de sortie, les comptes rendus opératoires, ceux d'examens complémentaires ou d'anatomopathologie, et permet de détruire le reste au bout de cinq ans. Il existe des nuances, comme la documentation jugée particulièrement importante à des fins de soins, épidémiologiques ou judiciaires : le calendrier précis de votre clinique doit donc être fixé par votre conseiller juridique. Notre rôle, c'est que le système puisse l'appliquer.

Dans les espaces communs, comme l'entrée, la salle d'attente ou le couloir, oui, avec le panneau d'information visible et un cadrage proportionné. Dans les salles où le patient est pris en charge, comme le cabinet de consultation ou la salle de soins, nous n'en installons pas : c'est l'espace le plus intime de toute la clinique, et ce qui y serait filmé, ce sont des données de santé. La loi organique espagnole 3/2018, à son article 22.3, impose d'effacer les images de vidéosurveillance dans un délai maximal d'un mois après leur captation, sauf si elles doivent être conservées pour établir des faits précis. Si la caméra filme également le personnel, les règles spécifiques sur la surveillance des salariés s'appliquent, et elles sont strictes.

Oui. La personne qui entretient vos équipements ou vos serveurs accède, ou peut accéder, aux données des patients, et l'article 28 du RGPD exige que ce traitement soit encadré par un contrat ou un autre acte juridique qui en définit l'objet, la durée, la nature et la finalité, le type de données et les obligations de chaque partie. En outre, le responsable du traitement ne doit choisir que des sous-traitants présentant des garanties suffisantes. Cela vaut aussi pour le fournisseur du logiciel de gestion dans le cloud, celui de la messagerie et celui qui héberge les sauvegardes. Si votre prestataire informatique ne vous a jamais proposé ce contrat, demandez-le-lui : sa réaction en dit long.

Aucun texte ne cite nommément la double authentification, mais avec des données de santé, c'est l'une des mesures qui réduisent le plus le risque pour le moins d'effort. La plupart des accès illégitimes ne viennent pas d'une attaque sophistiquée, mais d'un mot de passe réutilisé, noté quelque part ou volé par un faux e-mail. Avec un second facteur, ce mot de passe seul ne suffit plus pour entrer. La priorité est de l'activer sur la messagerie de la clinique, sur le logiciel de gestion clinique s'il le permet, sur tout accès à distance et sur les comptes d'administration. Et toujours avec des comptes personnels : une double authentification sur un compte partagé protège peu et ne laisse aucune trace de qui s'est connecté.