Déployer une plateforme de coordination en EHPAD : cadre réglementaire et enjeux pratiques

Pourquoi un cadre réglementaire strict pour les plateformes numériques en EHPAD ?

Le secteur médico-social manipule quotidiennement des données sensibles : santé, dépendance, parcours de soins, situations sociales… Face à la montée des cyberattaques (+50% en 2023 selon l’ANSSI) et à la multiplication des acteurs qui accèdent à ces informations (infirmiers, médecins, aidants…), la réglementation vise à garantir la confidentialité, la sécurité et la bonne utilisation des données des résidents. Cette vigilance accrue est d’autant plus nécessaire dans les EHPAD, où la vulnérabilité des publics impose une protection renforcée (source : ANSSI, Panorama de la cybersécurité 2023).

Le RGPD : socle incontournable des traitements de données de santé

Le Règlement Général sur la Protection des Données (RGPD), entré en vigueur en mai 2018, s’applique à tout traitement de données personnelles, et avec encore plus d’exigence dès qu’il s’agit de données de santé, dites « sensibles ». Les obligations pour un EHPAD qui met en œuvre une plateforme de coordination sont les suivantes :

• Base légale du traitement :
  • L’intérêt légitime et, dans de nombreux cas, le consentement explicite des résidents ou de leurs représentants légaux, sont requis pour le traitement de leurs données de santé.
• Information des personnes concernées :
  • Les résidents, familles et professionnels doivent être clairement informés (par écrit, via une notice spécifique) de l’usage de la plateforme, des finalités de traitement, des droits d’accès, de rectification et d’opposition (article 13 RGPD).
• Minimisation des données :
  • La collecte de données doit se limiter au strict nécessaire pour la coordination des soins.
• Tenue d’un registre des activités de traitement :
  • Indispensable pour tout établissement, ce registre doit décrire précisément les modalités de collecte, d’accès, de conservation, de sécurisation et de suppression des données via la plateforme (CNIL, Guide RGPD secteur médico-social).
• Analyse d’impact (DPIA) :
  • Pour les traitements susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes, une analyse d’impact est obligatoire selon l’article 35 du RGPD.
• Gestion des sous-traitants :
  • Le fournisseur de la plateforme numérique agit souvent en tant que sous-traitant : l’EHPAD doit formaliser contractuellement ses engagements de sécurité et de conformité.

À noter : la CNIL a prononcé plusieurs sanctions contre des établissements n’ayant pas sécurisé ou informé correctement sur l’utilisation des plateformes médicales (CNIL, 2023).

Respecter l’hébergement et la sécurité des données de santé : le HDS

Déployer une solution numérique dans un EHPAD implique d’héberger les données sur des serveurs conformes à la réglementation. Depuis le décret n°2018-137 du 26 février 2018, toute donnée de santé à caractère personnel manipulée par un établissement de santé ou médico-social doit être hébergée chez un Hébergeur de Données de Santé (HDS) certifié par l’Agence du Numérique en Santé (ANS). Cette obligation concerne :

• La plateforme elle-même (serveurs, stockage de bases de données, sauvegardes),
• Les communications électroniques des comptes-rendus médicaux, résultats de laboratoire, etc.,
• L’archivage des données (historique des échanges, dossiers télétransmis).

Le recours à un hébergeur non certifié, même hors Union Européenne, expose l’EHPAD à des sanctions importantes et à la perte de la confiance des familles (cf. Annuaire HDS, esante.gouv.fr). En avril 2024, plus de 90 solutions étaient certifiées HDS en France.

Interopérabilité et référentiels de la e-santé : répondre au Ségur numérique

Pour éviter le cloisonnement des outils, toute plateforme de coordination doit pouvoir s’intégrer avec les systèmes existants de l’EHPAD, du territoire et du secteur hospitalier. La doctrine du Ségur numérique, déployée depuis 2021, a accéléré l’adoption de référentiels tels que l’INS (Identité Nationale de Santé), le DMP (Dossier Médical Partagé), les messageries sécurisées MSSanté, et la compatibilité avec Pro Santé Connect. Les obligations pour l’établissement sont :

• Gestion de l’identité des résidents avec l’INS, obligatoire depuis janvier 2021 pour garantir l’exactitude des dossiers échangés (Arrêté du 27 mai 2021).
• Mise en conformité Ségur, souvent soutenue financièrement dans le cadre du programme ESMS numérique (plus de 85 millions d’euros engagés selon la CNSA).
• Interopérabilité technique avec d’autres logiciels métiers (dossier de soins, gestion administrative, systèmes régionaux de coordination), facilitant un continuum de prise en charge du résident (source : ANS, “La doctrine du numérique en santé”, 2023).

En pratique, une plateforme qui n’est pas référencée Ségur ou labellisée par un GRADeS régional (Groupement Régional d’Appui au Développement de la e-Santé) risque d’être rapidement inopérante, notamment pour l’accès aux aides publiques ou pour répondre aux attentes des ARS lors des audits.

Accès, traçabilité et gestion des droits : la maîtrise des accès utilisateurs

Le principe de “moindre privilège” s’applique dans les plateformes de coordination : chaque utilisateur (aide-soignant, médecin, infirmier, famille) ne doit accéder qu’aux données dont il a besoin, et toute action (modification de dossier, envoi de document) doit être traçable. Ce point est central lors des contrôles de la Haute Autorité de Santé (HAS) ou de l’Agence Régionale de Santé (ARS), qui vérifient lors des inspections :

• La mise en place systématique d’authentifications fortes (MFA, Pro Santé Connect…) : d’après le Panorama de la cybersécurité du ministère de la Santé 2023, 78% des incidents impliquaient des accès non sécurisés.
• La répartition granulée des droits selon les profils utilisateurs.
• Le maintien d’une « piste d’audit » pour justifier des accès et déceler d’éventuelles intrusions ou erreurs.
• Une procédure de gestion rapide des droits lors des arrivées/départs ou changements de fonctions.

La CNIL recommande un contrôle d’audit annuel sur ces accès et la conservation des logs sur plusieurs années.

Information et consentement des résidents et familles

Au-delà des textes, le déploiement d’une plateforme de coordination engage la responsabilité pédagogique de l’établissement. Informer clairement les résidents ou leurs représentants des fonctionnalités, bénéfices, limites et risques du dispositif est exigé à plusieurs niveaux :

• La remise d’une notice explicative dédiée à la plateforme digitale, avec mention des modalités de consentement (nominale ou tacite selon les situations).
• L’organisation de temps d’information ou de réunions pour expliquer l’usage de l’outil : de nombreux EHPAD s’appuient sur leur Conseil de Vie Sociale (CVS) pour recueillir les avis et partager les bonnes pratiques (Le Figaro Santé, « Numérisation en Ehpad : informer d’abord », 2023).
• La possibilité pour un résident ou une famille de refuser que certaines données soient partagées : le RGPD impose le droit d’opposition.

Responsabilités juridiques, assurance et gestion des incidents

La mise en œuvre d’une plateforme ne transfère en rien la responsabilité juridique : l’EHPAD reste légalement responsable du respect des règlementations, même en cas de recours à un prestataire externe. Parmi les obligations à ne pas négliger :

• Déclaration des incidents de sécurité ou des violations de données à la CNIL et à l’ARS sous 72h (art. 33 RGPD et code de la santé publique).
• Réalisation régulière de tests de sécurité (pentest, audit) pour détecter les failles potentielles. En 2022, seulement 38% des établissements avaient réalisé un audit de cybersécurité (ANS, Rapport sur la sécurité des SI médico-sociaux, 2023).
• Souscription à une assurance spécifique cyber-risque : l’augmentation de 25% des fraudes et rançongiciels en 2023 (source : AMRAE, Baromètre du risque cyber 2023) impose de couvrir ce risque.

Du respect des bonnes pratiques à l’anticipation : une opportunité au-delà des contraintes

Ce panorama réglementaire, dense, peut sembler complexe à première vue. Pourtant, il s’inscrit dans un mouvement plus large : garantir la confiance dans l’e-santé pour les résidents, familles et professionnels, et offrir au secteur médico-social les moyens de se prémunir contre les dérives numériques. Si les contrôles (CNIL, ARS, HAS, ANS…) se sont renforcés, ils accompagnent également la structuration d’un écosystème numérique plus mature, interopérable et centré sur l’usager. De plus en plus d’EHPAD voient dans ces obligations une formidable incitation à anticiper, à innover et à faire monter en compétence leurs équipes. L’appropriation collective de la réglementation n’est donc plus un simple “passage obligé”, mais devient un véritable moteur d’attractivité et de qualité de service, au bénéfice des établissements comme des personnes accueillies.