Confidentialité du dossier patient : contrôler qui voit quoi

Ce que couvre ce guide

Dans une clinique, plusieurs dizaines de personnes touchent au dossier d’un patient : médecins, infirmières, accueil, facturation, direction. Chacune n’a pas besoin de tout voir, et personne ne doit rester bloqué quand une urgence l’exige. Ce guide donne une méthode pour décider, écrire et vérifier qui voit quoi, puis montre comment les écrans conçus de 1001care l’illustrent.

Données synthétiques. Les écrans cités sont des maquettes. Le modèle d’accès est une proposition qu’un conseil doit confirmer (secret professionnel, loi 09-08, CNDP).

En bref

• Partez des rôles, jamais des personnes : un rôle, un niveau (voir, agir, signer), une portée (ses patients, son unité, le cas en cours).
• Réglez à l’avance les cas limites : la facturation, le médecin qui ne soigne pas le patient, la direction, le médecin adresseur, les proches.
• Un compte par personne, jamais de session partagée sur un poste de service.
• Prévoyez un accès d’urgence motivé, enregistré et revu sous 24 heures.
• Chaque consultation d’un dossier est journalisée, et le journal est relu par des personnes nommées.

Qui fait quoi

L’établissement garde ses rôles cliniques et décide lui-même de ses règles d’accès. 1001care fournit le logiciel ; il ne prend aucune décision médicale.

Les étapes

1. Partir des rôles, niveaux et portées

Une matrice utile tient en trois idées. Le rôle (médecin spécialiste, agent d’accueil, facturation, infirmière de service…). Le niveau : voir, agir (créer, modifier), signer, et, pour les assistants logiciels seulement, proposer. Enfin la portée : ses patients, son unité pour la durée de la garde, le cas en cours, tout l’établissement, soi-même, ce qui a été partagé, ou des totaux sans identité.

1001care part de 45 rôles et 31 modules. L’écran Rôles et matrice d’accès de la console d’administration montre la liste des rôles et, pour le rôle choisi, chaque module avec son niveau et sa portée. Un changement crée une nouvelle version du rôle et exige un motif. Les interdictions (par exemple la direction de la clinique sur les dossiers cliniques) y sont indiquées comme des tests d’acceptation : elles ne se modifient pas depuis cet écran. Piège fréquent : copier les droits d’une personne vers une autre. Copiez ceux d’un rôle.

2. Trancher les cas limites avant l’ouverture

Les droits « évidents » se règlent vite. Les difficultés viennent de sept situations. 1001care propose une réponse par défaut pour chacune. Les écrans montrent ces réglages d’exemple ; chaque établissement les confirme ou les change.

Deux règles complètent la liste : la facturation et les admissions ne voient jamais que les pièces demandées par le payeur, et la copie complète d’un dossier, sur demande écrite du patient, est préparée par la secrétaire médicale puis remise par le médecin.

3. Un compte par personne

Les postes partagés d’un service ou d’un guichet sont l’endroit où la traçabilité se perd. 1001care pose une règle : jamais de compte partagé, changement d’utilisateur en quelques secondes par badge ou code. L’écran Connexion et MFA (Pilote) règle la durée de session, le verrouillage après des essais ratés, les rôles soumis à la double authentification et liste les comptes qui n’en ont pas encore. La connexion unique y est marquée « Non connecté ».

4. Prévoir l’accès d’urgence

Une permission ne doit jamais empêcher de soigner. Dans l’écran Dossier longitudinal du dossier clinique, un médecin de garde qui ouvre un dossier hors de ses patients voit d’abord « Accès refusé », sans nom ni bandeau patient, avec deux choix : « Demander l’accès » ou « Accès d’urgence ». Le second exige un motif, ouvre le dossier avec les droits du rôle seulement (l’urgence n’ajoute rien), l’inscrit au journal et prévient le directeur médical. Le bris de glace est expliqué dans le guide Organiser l’accès d’urgence.

5. Rendre invisible ce qui n’est pas nécessaire

Chaque fonction administrative reçoit une vue réduite. Le même dossier, ouvert par le service des admissions (Documents · Vue admissions), n’affiche que les pièces du payeur ; notes, résultats et antécédents sont listés comme « masqués ». Le centre de contact donne une vue administrative (identité, couverture, prochain rendez-vous) et n’affiche jamais le motif de visite, le diagnostic, le résultat ni l’ordonnance : une question clinique est transmise à un clinicien, pas traitée. Chaque accès a une finalité : soins, facturation, qualité ou assistance. Le marketing n’atteint que les patients qui l’ont accepté.

6. Journaliser chaque consultation et relire le journal

Dans 1001care, toute ouverture d’un dossier clinique est inscrite, y compris les lectures par l’interface de programmation. L’écran Journal d’accès montre qui a lu ou modifié quoi, avec le rôle, le dossier, l’action et le motif. Les noms sont masqués par défaut ; le DPO peut lever le masque, et chaque levée est elle-même inscrite. Un assistant logiciel peut signaler un schéma inhabituel (par exemple beaucoup de dossiers ouverts en peu de temps par un même compte) : c’est une proposition à examiner par une personne, pas une sanction. L’écran Revue des accès d’urgence est réservé au directeur médical : à examiner, justifié, ou décision écrite quand l’accès n’est pas justifié. Rien n’est effacé, la décision s’ajoute.

7. Montrer au patient qui a ouvert son dossier

Dans l’application patient, l’écran Qui a ouvert mon dossier liste chaque ouverture avec le rôle, la date et le motif, jamais le nom, filtrable par soins ou facturation, avec un bouton « Signaler une ouverture ». 1001care prévoit qu’un accès d’urgence y figure aussi. L’écran Famille laisse le patient choisir ce que chaque proche voit ; les résultats restent désactivés tant qu’il ne les active pas.

8. Transformer la grille en tests

Une matrice qui n’est pas testée se périme. 1001care prévoit un test par cellule « jamais » et un test par portée. Avant l’ouverture, faites passer chaque rôle par ses écrans : le personnel d’accueil ne doit pas voir la consultation, la facturation ne doit pas voir une note, un compte de service ne doit pas voir une autre unité sans demande. Refaites la série après chaque changement de rôle.

En vidéo

Ce que le logiciel fait, ce que les personnes décident

Le logiciel

• Applique la matrice de droits par rôle et refuse hors périmètre.
• Enregistre chaque consultation et chaque accès d’urgence.
• Verrouille ce qui est signé : une correction crée une nouvelle version, l’ancienne reste visible.
• Ne supprime rien de clinique ni de financier ; une fusion de deux dossiers demande deux personnes.

Les personnes

• La direction fixe les règles et les cas limites.
• Le directeur médical revoit les accès d’urgence et tranche.
• Le médecin signe ; le patient choisit ses partages.
• Le DPO décide de lever un masque du journal.

Ce qui se règle avec votre établissement

Les écrans montrent des réglages d’exemple. Chaque établissement configure ses rôles, ses portées, la liste des examens retenus avant consultation, le délai de relecture des résultats par le prescripteur et la visibilité au-delà du minimum. Reste fixe dans 1001care : l’accès d’urgence est toujours journalisé et revu.

Les questions suivantes relèvent d’un conseil, pas d’un écran. Les données de santé sont des données sensibles au sens de la loi 09-08. À valider avec un conseil :

• l’étendue du secret professionnel entre les fonctions d’un même établissement ;
• la limitation de finalité de chaque accès (soins, facturation, qualité, assistance) ;
• les formalités auprès de la CNDP et la durée de conservation du journal d’accès ;
• la qualité de responsable de traitement ou de sous-traitant de chaque acteur.

Ce guide ne remplace ni l’avis d’un conseil, ni les instructions de la CNDP, ni celles des ordres professionnels.

Questions fréquentes

Voir la démonstration

• Console d’administration : rôles et matrice, connexion, revue des accès d’urgence, journal d’accès.
• Dossier clinique : accès refusé, accès d’urgence, vue limitée au payeur.
• Application patient : « Qui a ouvert mon dossier » et choix des proches.
• Centre de contact : vue administrative et transmission d’une question clinique.
• Cadre des données de santé : Loi 09-08 et données de santé.
• Termes : bris de glace · journal d’accès · DPI