Bonnes pratiques
Quelles sont les obligations en matière de confidentialité et de sécurisation des échanges ? Comment s'assurer que les logiciels utilisés (messagerie, partage de documents, orientation) respectent les règles et limitent les risques ? Un point sur les bonnes pratiques et le cadre légal.
Article publié dans Concours pluripro, janvier 2026
La première règle incontournable est le respect du secret professionnel. Il s'applique à l'ensemble des professionnels de santé, aux personnels administratifs mais aussi à tous les acteurs qui concourent à la prise en charge du patient, que ce soit en MSP ou en CPTS. "Seules les informations strictement nécessaires à la coordination, à la continuité des soins, à la prévention ou au suivi médico-social et social de la personne doivent être partagées, et uniquement entre les professionnels pour qui elles sont nécessaires", explique Sandra Malak, directrice de projets à la délégation ministérielle au numérique en santé.
Dans les maisons de santé, cette exigence est intégrée aux logiciels métiers labellisés e-santé, qui permettent notamment un paramétrage des accès, avec des restrictions par professionnel, par document ou par mission. "Comme cela, on peut gérer les visibilités en fonction du besoin des différents professionnels au sein de la MSP", précise Sandra Malak. Par ailleurs, le patient doit être informé des échanges entre professionnels qui le concernent et peut s'y opposer. Les outils numériques doivent donc permettre de respecter ce droit, y compris en CPTS.
Les données de santé sont considérées comme des données sensibles au sens du RGPD et du code de la santé publique. Leur traitement implique des exigences techniques élevées. Ainsi, tout outil numérique qui manipule des données de santé doit s'appuyer sur un hébergement certifié hébergeur de données de santé (HDS). "Cette certification garantit que, derrière, les données ne sont pas exploitées ni échangées", précise Sandra Malak.
Le logiciel doit, en outre, respecter les référentiels nationaux d'interopérabilité et de sécurité, mais aussi garantir une authentification forte des utilisateurs (mots de passe robustes, verrouillage automatique des sessions, chiffrement, etc.). "N'importe qui ne peut pas accéder à n'importe quoi", insiste-t-elle.
