– L’innovation au service du soin et du lien social
La transformation digitale des EHPAD ne s’accompagne pas seulement d’innovations technologiques : elle accélère aussi l’évolution du cadre juridique. En 2022, près de 8 résidences médicalisées sur 10 disposaient d’une solution de dossier médical informatisé (DREES), contre 52 % seulement dix ans plus tôt.
L’objectif : garantir la continuité des soins, optimiser le suivi pluridisciplinaire et renforcer la traçabilité des décisions médicales. Mais la dématérialisation implique de nouvelles vulnérabilités (cybersécurité, fuite de données) et de nouvelles obligations. Celles-ci sont principalement fixées par le Code de la santé publique, le RGPD, la loi « Informatique et Libertés » et des référentiels sectoriels (HAS, ANSSI, CNIL).
La réglementation impose un contenu structuré pour garantir la qualité des soins et la sécurité des résidents. Les éléments suivants doivent figurer systématiquement dans chaque dossier médical, quel que soit le support :
La numérisation du dossier n’autorise aucune omission. Même les soins courants ou actes réalisés en urgence doivent figurer dans le DME pour satisfaire l’exigence de traçabilité (Conseil d’État, 21 oct. 2013 : n°355386).
La confidentialité n’est pas qu’une bonne pratique, c’est une obligation légale lourde de conséquences. La loi interdit toute consultation, modification ou transmission du DME hors du strict cadre professionnel nécessaire à la prise en charge.
L’accès doit respecter le principe du « besoin d’en connaître » : chaque utilisateur ne peut consulter que ce qui est strictement nécessaire à son intervention. La gestion de ces accès doit être traçable, l’EHPAD devant pouvoir prouver à tout moment qu’il maîtrise les droits d’accès.
Même en cas d’accompagnement par un proche, seul le résident ou son représentant légal bénéficie d’un droit d’accès direct au dossier. Les familles n’ont qu’un droit d’information, pas d’accès automatique.
L’hébergement des données de santé à caractère personnel est soumis à un régime d’agrément strict. En France, les DME doivent être stockés sur des serveurs certifiés « Hébergement de Données de Santé » (HDS), référencés par l’Agence du Numérique en Santé (ANS).
Les autorités compétentes (ARS, CNIL, Ministère) peuvent contrôler à tout moment la conformité des procédures, la robustesse des solutions et le respect des obligations.
Selon la Fédération Syntec Numérique et l’ANS, en 2023, près de 15 % des établissements médico-sociaux ont signalé une exposition à des attaques informatiques – un chiffre en hausse depuis la généralisation du DME.
Le Code de la santé publique est formel : le dossier médical des résidents d’EHPAD doit être conservé au minimum pendant 20 ans à compter de la date du dernier séjour ou de la dernière consultation (article R.1112-7). Ce délai va bien au-delà de la durée effective de présence du résident en établissement.
L’archivage numérique doit garantir l’intégrité, l’authenticité, la lisibilité et la disponibilité de chaque document, selon la norme NF Z42-013 (archivage électronique). Il est interdit de « purger » un dossier avant le terme légal, sous peine de sanctions pénales.
Il existe parallèlement des recommandations sur la destruction physique ou numérique des données à l’issue de la durée légale, notamment pour prévenir tout risque de fuite d’information (ANSSI, 2022).
Tout résident (ou, en cas d’incapacité, son représentant légal) dispose d’un droit permanent d’accès à son dossier médical. Depuis la loi du 4 mars 2002 (« droit des patients »), le délai de transmission ne peut excéder 8 jours (dossiers récents), voire deux mois pour les informations datant de plus de 5 ans. L’accès est gratuit et peut être conditionné à une identification rigoureuse.
Les établissements sont tenus de conserver la preuve de la remise du dossier en cas de demande satisfait ou d’un justificatif de refus motivé.
Un baromètre de la CNIL a mis en avant en 2023 une hausse de plus de 18 % des recours portant sur l’accès aux dossiers médicaux dans les structures médico-sociales (CNIL). Cette tendance souligne l’importance de la formalisation des procédures d’accès et du suivi des demandes.
Le non-respect de la législation expose l’EHPAD à une palette de sanctions, croissantes depuis l’entrée en vigueur du RGPD. Les contrôles sont réalisés par l’ARS, la CNIL ou, en cas de négligence grave, le procureur de la République.
Rappel : une enquête de la CNIL réalisée auprès de 320 établissements en 2022 a relevé que 27 % des EHPAD inspectés n’avaient pas validé le statut HDS de leur prestataire de DME et 15 % n’assuraient pas de suivi documenté des accès. Les sanctions administratives dans ces cas ne sont donc plus théoriques (CNIL).
Plus que jamais, la conformité des dossiers médicaux électroniques devient une composante de la qualité globale. Les EHPAD les plus avancés intègrent un référent « données » ou « DPO » (Data Protection Officer), élaborent un plan annuel de contrôle des accès, réalisent des audits réguliers du logiciel et forment l’ensemble du personnel aux enjeux du numérique en santé.
Quelques axes d’action concrets :
À l’heure où la confiance numérique devient le socle de la relation soignant-résident, renforcer la conformité, c’est répondre à la double exigence d’éthique et d’efficacité attendue par le secteur.
Pour approfondir ce sujet, consulter les référentiels officiels : HAS, CNIL, ANS, ainsi que les retours terrains du Réseau Francophone des Responsables Qualité en EHPAD.