Les droits d’accès au DUI (dossier usager informatisé) de votre EHPAD correspondent-ils aux fonctions réelles de chaque professionnel, et pouvez-vous le démontrer à un évaluateur comme à un résident qui pose la question ? Cet article propose au médecin coordonnateur, à la direction et à l’IDEC une méthode d’audit interne. Il pose d’abord le cadre du secret et du partage limité, puis les repères institutionnels, avant de détailler des étapes et des indicateurs proposés par la rédaction. Ces étapes ne forment pas une procédure officielle : chaque repère cité renvoie à son texte.
Sommaire
Secret, confidentialité, partage limité : le cadre à connaître
Un audit des accès commence par la règle que ces accès doivent servir. Le Code de la santé publique pose le principe du secret : « Toute personne prise en charge par un professionnel de santé, un établissement ou service, un professionnel ou organisme concourant à la prévention ou aux soins dont les conditions d’exercice ou les activités sont régies par le présent code, le service de santé des armées, un professionnel du secteur médico-social ou social ou un établissement ou service social et médico-social mentionné au I de l’article L. 312-1 du code de l’action sociale et des familles a droit au respect de sa vie privée et du secret des informations la concernant. » Parmi les structures visées, le texte nomme les établissements et services sociaux et médico-sociaux.
Le même article encadre le partage entre professionnels : « Lorsque ces professionnels appartiennent à la même équipe de soins, au sens de l’article L. 1110-12 , ils peuvent partager les informations concernant une même personne qui sont strictement nécessaires à la coordination ou à la continuité des soins ou à son suivi médico-social et social. » Pour la définition de l’équipe de soins, le texte renvoie à un autre article du même code, que cet article ne détaille pas.
La partie réglementaire du même code précise le périmètre de ce partage : « Les professionnels participant à la prise en charge d’une même personne peuvent, en application de l’article L. 1110-4 , échanger ou partager des informations relatives à la personne prise en charge dans la double limite : 1° Des seules informations strictement nécessaires à la coordination ou à la continuité des soins, à la prévention, ou au suivi médico-social et social de ladite personne ; 2° Du périmètre de leurs missions. »
Du côté de l’action sociale, le Code de l’action sociale et des familles garantit à la personne accueillie : « L’exercice des droits et libertés individuels est garanti à toute personne accueillie et accompagnée par des établissements et services sociaux et médico-sociaux. Lui sont assurés : » Parmi les droits énumérés figure : « 4° La confidentialité des informations la concernant ; »
Enfin, le Code pénal prévoit : « La révélation d’une information à caractère secret par une personne qui en est dépositaire soit par état ou par profession, soit en raison d’une fonction ou d’une mission temporaire, est punie d’un an d’emprisonnement et de 15 000 euros d’amende. »
La rédaction en tire trois questions à poser, compte par compte, lors de l’audit. Cette personne relève-t-elle du périmètre de mission qui justifie l’accès ? L’information consultée est-elle strictement nécessaire à ce qu’elle fait ? L’accès laisse-t-il une trace exploitable ? Ce sont des questions de la rédaction, pas une règle. Elles s’inscrivent dans l’ensemble des droits des résidents, que le pilier consacré aux droits des résidents en EHPAD déroule.
Analyse : attentes de la HAS, repères de la CNIL, contexte de menace
La HAS : une matrice d’habilitation et l’information de la personne
Le guide de la HAS consacré à l’élaboration du projet personnalisé d’accompagnement dans le DUI vise tous les ESSMS, pas seulement les EHPAD. Il pose : « Les informations du DUI sont accessibles aux professionnels dans le respect d’une matrice d’habilitation : l’ESSMS établit une matrice des droits d’accès des professionnels aux informations, conforme à la règlementation et dans l’intérêt du travail d’équipe autour de la personne accompagnée. »
Le même guide traite de l’information de la personne. Il formule cette invitation : « Informer la personne accompagnée et son entourage de l’identité des professionnels accédant à l’information contenue dans le DUI. Préciser qui connaît quel type d’information »
Notre mode d’emploi du projet personnalisé dans le DUI, écrit pour l’IDEC, détaille l’usage de l’outil ; le présent article se concentre sur les accès.
Le manuel d’évaluation de la HAS, applicable à tous les ESSMS, aborde la sécurité des accès dans son critère consacré à la stratégie numérique : « L’ESSMS s’assure de la sécurisation des données et des accès. » Le critère sur la confidentialité et la protection des informations formule cette attente : « L’ESSMS définit l’organisation et les pratiques qui garantissent la confidentialité et la protection des informations et données relatives à la personne accompagnée. »
La CNIL : habilitations documentées, profils, revue régulière, journalisation
Le référentiel de la CNIL sur l’accueil, l’hébergement et l’accompagnement social et médico-social des personnes âgées, des personnes en situation de handicap et de celles en difficulté pose : « Les données personnelles ne peuvent être rendues accessibles qu’aux seules personnes habilitées à en connaitre au regard de leurs attributions. » Il ajoute : « D’une manière générale, les habilitations d’accès doivent être documentées par les organismes, et les accès aux différents traitements doivent faire l’objet de mesures de traçabilité. »
Le guide de sécurité de la CNIL s’adresse à tous les organismes, pas aux seuls ESSMS. Il formule cette recommandation : « Définir des profils d’habilitation dans les systèmes en séparant les tâches et les domaines de responsabilité, afin de limiter l’accès des utilisateurs aux seules données strictement nécessaires à l’accomplissement de leurs missions. » Il ajoute : « Réaliser une revue régulière, au moins annuelle, des habilitations afin d’identifier et de supprimer les comptes non utilisés et de réaligner les droits accordés sur les fonctions de chaque utilisateur. »
Sur la conservation des traces, la recommandation de la CNIL sur la journalisation s’adresse à tous les organismes publics ou privés et se présente elle-même comme non prescriptive : « La Commission recommande de conserver ces données pendant une durée comprise entre six mois et un an. »
Un dernier repère demande de la prudence. Une publication de la CNIL porte sur l’accès au dossier patient informatisé des établissements de santé, pas sur les ESSMS. La rédaction la retient comme repère de méthode transposable, sans la présenter comme une règle de la CNIL pour l’EHPAD. La CNIL y écrit : « il est nécessaire de tracer les accès au DPI (journalisation) : cette traçabilité doit non seulement permettre d’indiquer qui s’est connecté à la base de données à quel moment, mais, plus précisément, qui a accédé à quoi. » Elle ajoute : « Des contrôles réguliers de ces accès doivent être opérés, afin d’identifier ceux susceptibles d’être frauduleux ou illégitimes. »
Le contexte de menace : comptes inutilisés, journaux absents
Les chiffres qui suivent portent sur des périmètres larges, la santé ou les établissements de santé, et non sur les seuls EHPAD. Dans son panorama de la cybermenace 2025, l’ANSSI indique, à propos des incidents par rançongiciel : « la proportion d’incidents de ce type ayant touché des établissements de santé (8 %) est de nouveau en hausse par rapport à 2024. » Elle précise : « Les petites structures de santé telles que les EHPAD et les cliniques sont également affectées par ce type d’incident. »
Dans son bilan des cinq premières années du RGPD consacré aux violations de données personnelles, la CNIL indique, pour l’ensemble de la période : « les activités en lien avec la santé humaine représentent aussi 12 % des notifications. » Ce périmètre couvre la santé humaine au sens large, pas les seuls EHPAD.
Le rapport de l’ANSSI sur la menace dans le secteur de la santé décrit, à propos des attaques par rançongiciel visant ce secteur, un vecteur d’intrusion : « dans la majorité des cas observés et quand celui-ci a pu être identifié, les attaquants parviennent à pénétrer les réseaux des établissements via la compromission de comptes Virtual Private Network (VPN) ou réseau privé virtuel », comptes appartenant, précise l’agence, « à des prestataires ou à des personnels dont les comptes ne sont plus utilisés. » La rédaction en retient une question pour l’audit : les comptes d’accès à distance des prestataires et des anciens agents sont-ils tous encore justifiés ?
Qui pilote quoi : une répartition proposée par la rédaction
La répartition ci-dessous est une proposition de la rédaction. Elle découle de l’organisation courante d’un EHPAD et doit être adaptée à la vôtre.
| Profil | Contribution proposée | Pièce à produire |
|---|---|---|
| Direction | Décider du périmètre de l’audit, obtenir de l’éditeur et du prestataire informatique les exports nécessaires, inscrire la revue au calendrier qualité | Lettre de mission de l’audit, calendrier des revues |
| Médecin coordonnateur | Vérifier que les profils donnant accès aux données médicales correspondent aux missions de chacun, relire un échantillon de journaux de consultation | Avis sur la matrice, compte rendu de lecture des journaux |
| IDEC | Relayer auprès des équipes les arrivées, départs et remplacements, organiser l’information des résidents et de leur entourage | Liste des mouvements de personnel, support d’information |
Le pilier consacré au rôle du médecin coordonnateur situe ses missions ; pour les droits sur les données médicales, voir aussi les fonctions médicales à vérifier dans un logiciel DUI. Côté équipes, notre article sur les référents par étage décrit un relais de formation possible.
Mettre en œuvre l’audit : quatre étapes et des indicateurs proposés
Étapes et indicateurs ci-dessous sont des propositions de la rédaction, construites à partir des repères cités plus haut.
Première étape : cartographier les profils
Listez les profils paramétrés dans le logiciel, puis rapprochez-les des fonctions réelles : la rédaction suggère un tableau croisant métiers, profils et types d’information consultables (administratif, soins, médical, projet personnalisé). La matrice que décrit le guide de la HAS : « l’ESSMS établit une matrice des droits d’accès des professionnels aux informations, conforme à la règlementation et dans l’intérêt du travail d’équipe autour de la personne accompagnée. ». Pour la logique des profils, la CNIL recommande de « limiter l’accès des utilisateurs aux seules données strictement nécessaires à l’accomplissement de leurs missions. ». Pour situer les fonctions de l’outil, le pilier Logiciel EHPAD et DUI sert de point de départ.
Deuxième étape : passer les comptes en revue
Exportez la liste des comptes actifs et comparez-la aux plannings et aux contrats : départs, remplacements, intérimaires, stagiaires, prestataires. La rédaction suggère de repérer aussi les comptes génériques ou partagés, car un compte partagé empêche de savoir qui a consulté quoi. La revue de la CNIL vise à « identifier et de supprimer les comptes non utilisés et de réaligner les droits accordés sur les fonctions de chaque utilisateur. ».
Troisième étape : lire les journaux
Demandez à l’éditeur du logiciel ou au prestataire informatique ce que la journalisation enregistre : identité de l’utilisateur, horodatage, dossier consulté, action réalisée. Le repère de la CNIL sur le dossier patient informatisé, transposé à titre de méthode par la rédaction, attend une traçabilité qui indique « qui a accédé à quoi. ». La rédaction suggère de contrôler par échantillon : dossiers de résidents sortis, accès hors des heures de travail, volume de consultations par compte. La CNIL écrit, pour les établissements de santé : « Des contrôles réguliers de ces accès doivent être opérés, afin d’identifier ceux susceptibles d’être frauduleux ou illégitimes. ».
Vérifiez aussi la durée de conservation des journaux au regard de la recommandation de la CNIL rappelée plus haut, et la façon dont ils sont archivés : voir notre article sur la gestion documentaire, l’archivage et la conservation. En cas de changement d’outil, le devenir de ces journaux se pose : notre article sur le contrat et la portabilité des données du DUI aide à poser la question.
Quatrième étape : informer les résidents et leur entourage
Prévoyez une information écrite sur qui accède à quoi, présentée à la personne et à son entourage, et une réponse type lorsqu’un résident ou un proche demande qui a consulté son dossier. Elle prolonge l’invitation du guide de la HAS à « Préciser qui connaît quel type d’information ». Si votre DUI alimente le dossier médical partagé, la rédaction suggère d’étendre cette information à ce partage ; voir Mon espace santé et le DUI en EHPAD.
Indicateurs proposés par la rédaction
- Part des comptes actifs rattachés à un agent identifié présent à l’effectif.
- Nombre de comptes inutilisés désactivés lors de la dernière revue.
- Nombre de comptes génériques ou partagés restants.
- Accès atypiques relevés à l’échantillon, et suite donnée à chacun.
- Part des résidents ou proches informés sur les accès.
Perspectives : des accès à réexaminer à chaque évolution de l’outil
La CNSA définit le DUI ainsi : « Le DUI est l’outil qui permet de recueillir toutes les données et écrits professionnels utiles pour rendre compte des besoins d’une personne afin de faciliter la conception, la mise en œuvre et l’évaluation de plans personnalisés d’accompagnement. » Cette définition est celle de la CNSA ; la rédaction ne la présente pas comme une obligation réglementaire. Dans son programme ESMS numérique, la CNSA indique aussi que les solutions proposées par les éditeurs doivent être conformes « aux exigences techniques, fonctionnelles, de sécurité et d’ergonomie qui répondent aux besoins des établissements et services médico-sociaux. »
La rédaction suggère d’inscrire la revue des accès au calendrier annuel, au même titre que les autres revues de la démarche qualité, et de réexaminer la matrice à chaque évolution majeure de l’outil.
Mini-FAQ : accès et traçabilité du DUI
Faut-il tracer les consultations du DUI ?
Les résidents doivent-ils être informés de qui accède à leur dossier ?
Qui doit pouvoir consulter le dossier d’un résident ?
Sources officielles
- HAS — manuel d’évaluation de la qualité des ESSMS
- HAS — guide sur le projet personnalisé d’accompagnement dans le DUI
- CNIL — référentiel pour le suivi social et médico-social
- CNIL — guide pratique de sécurité des données personnelles
- CNIL — recommandation relative à la journalisation
- CNIL — accès au dossier patient informatisé
- CNIL — bilan des violations de données personnelles
- ANSSI — état de la menace informatique dans le secteur de la santé
- ANSSI — panorama de la cybermenace
- CNSA — programme ESMS numérique
- Légifrance — respect de la vie privée et secret des informations (Code de la santé publique)
- Légifrance — échange et partage d’informations entre professionnels (Code de la santé publique)
- Légifrance — droits et libertés des personnes accueillies (Code de l’action sociale et des familles)
- Légifrance — atteinte au secret professionnel (Code pénal)
