Un aide-soignant qui consulte le dossier médical d’un résident sur une tablette partagée, un mot de passe générique collé sur l’écran du poste infirmier, un sous-traitant informatique qui accède aux prescriptions sans contrat de traitement : ces situations existent dans beaucoup d’EHPAD. Elles exposent les résidents à des fuites de données de santé et l’établissement à des sanctions de la CNIL.
La sécurité des données en EHPAD ne se limite pas à un registre de traitements bien rempli. Elle se joue dans les gestes quotidiens du personnel, la configuration des outils numériques et la rigueur des accès.
A lire en complément : Les dernières tendances et conseils pour tous les passionnés de sport en 2024
Gestion des accès aux dossiers résidents en EHPAD
Sur le terrain, le premier risque ne vient pas d’un pirate informatique. Il vient d’un compte utilisateur partagé entre trois soignants, ou d’un profil administrateur attribué par défaut à toute l’équipe. Chaque professionnel doit disposer d’un accès nominatif avec des droits limités à ce dont il a besoin pour exercer sa fonction.
Un aide-soignant n’a pas besoin de consulter les courriers des familles stockés dans le logiciel de gestion. Une secrétaire n’a pas à ouvrir les comptes rendus de consultation gériatrique. On segmente les droits par métier, et on revoit ces droits à chaque changement de poste ou départ.
A lire en complément : Comment renforcer la sécurité de votre maison avec des solutions efficaces et innovantes
Les établissements qui utilisent un logiciel de soins comme Netsoins peuvent accéder à Netsoins Domusvi pour consulter les bonnes pratiques de paramétrage des profils et de traçabilité des connexions.
La traçabilité, justement, reste un angle mort fréquent. Activer les journaux de connexion permet de savoir qui a consulté quel dossier et quand. Sans ces logs, impossible de détecter un accès anormal ni de répondre à une demande d’exercice de droit d’un résident ou de sa famille.
Base juridique des traitements de données de santé en EHPAD
La conformité RGPD d’un EHPAD ne se résume pas à afficher une politique de confidentialité dans le hall d’accueil. La CNIL attend que chaque traitement de données personnelles soit rattaché à une base juridique précise, vérifiée traitement par traitement.
En pratique, on distingue plusieurs catégories de traitements qui coexistent dans un même établissement :
- Le suivi médical et la coordination des soins reposent sur l’obligation légale et la sauvegarde des intérêts vitaux (article 9 du RGPD), pas sur le consentement du résident.
- La gestion administrative (facturation, hébergement, aides sociales) s’appuie sur l’exécution du contrat de séjour ou sur une obligation légale.
- La vidéosurveillance des espaces communs nécessite un intérêt légitime documenté, avec une analyse de proportionnalité.
- Les photos du résident utilisées dans un journal interne ou sur un site web exigent, elles, un consentement libre et éclairé, recueilli auprès du résident ou de son représentant légal.
Confondre ces bases juridiques expose à un double risque : demander un consentement là où il n’est pas requis (ce qui laisse croire au résident qu’il peut s’opposer aux soins), ou ne pas le demander là où il est obligatoire. On documente chaque traitement dans le registre avec sa finalité, sa base légale, sa durée de conservation et ses destinataires.
Ransomware et continuité d’activité en établissement médico-social
La menace ransomware reste structurellement élevée pour les établissements de santé et médico-sociaux. Les EHPAD sont des cibles parce qu’ils combinent des systèmes d’information parfois vieillissants, des équipes réduites en informatique et des données de santé à forte valeur sur le marché noir.
Quand un ransomware chiffre le serveur qui héberge les dossiers de soins, c’est la continuité de la prise en charge qui s’effondre. Plus d’accès aux prescriptions, aux allergies documentées, aux protocoles individuels. On revient au papier, avec tous les risques d’erreur que cela comporte.
Mesures concrètes de prévention cyber en EHPAD
La prévention ne demande pas un budget colossal. Elle repose sur des pratiques opérationnelles que la direction et le référent informatique peuvent mettre en place progressivement :
- Sauvegardes hors ligne testées régulièrement : une sauvegarde qui n’a jamais été restaurée ne garantit rien.
- Mises à jour des systèmes d’exploitation et des logiciels métiers dès publication des correctifs de sécurité.
- Sensibilisation du personnel aux courriels de phishing, avec des rappels courts et répétés plutôt qu’une formation annuelle oubliée le lendemain.
- Segmentation du réseau : le poste d’accueil ne doit pas être sur le même segment que le serveur de dossiers médicaux.
Les retours varient sur la fréquence idéale des tests de restauration, mais un test trimestriel constitue un minimum raisonnable pour un établissement de taille moyenne.
Rôle du DPO et formation du personnel soignant au RGPD
La désignation d’un délégué à la protection des données (DPO) est obligatoire pour les EHPAD. Ce DPO ne peut pas être le directeur de l’établissement ni un membre de la direction, pour éviter les conflits d’intérêts. Le DPO peut être un salarié formé ou un prestataire externe spécialisé dans le secteur médico-social.
Son rôle dépasse la rédaction de documents. Il contrôle la conformité des pratiques au quotidien, accompagne les équipes face aux situations concrètes (un fils de résident qui demande l’intégralité du dossier médical, une demande de suppression de données, un incident de sécurité) et assure le lien avec la CNIL en cas de contrôle.
Former sans noyer l’équipe soignante
Le personnel soignant ne retiendra pas un module e-learning de deux heures sur les principes du RGPD. Ce qui fonctionne, ce sont des sessions courtes ciblées sur les gestes du quotidien : verrouiller sa session en quittant le poste, ne pas transmettre de données de santé par messagerie non sécurisée, signaler immédiatement toute suspicion d’accès non autorisé.
On intègre ces rappels dans les réunions d’équipe existantes plutôt que de créer un événement supplémentaire. Un affichage synthétique près des postes informatiques complète le dispositif sans alourdir la charge de travail.
La protection des données personnelles des résidents en EHPAD tient autant à la configuration technique qu’à la culture de l’équipe. Un registre de traitements à jour, des accès nominatifs, des sauvegardes testées et un DPO impliqué dans le fonctionnement réel de l’établissement forment un socle solide. Le dernier maillon reste le réflexe de chaque professionnel qui manipule ces données au quotidien.