Protéger les données de santé sur les plateformes de coordination : enjeux, pratiques et leviers de confiance

En l’espace de dix ans, plus de 80 % des EHPAD selon la FNADEPA (FNADEPA, 2023) se sont dotés d’outils numériques pour coordonner les soins, partager les dossiers des résidents et échanger avec les familles. Cette transformation est un levier d’efficacité :

• Meilleure continuité des soins grâce au dossier médical partagé
• Réduction des erreurs de transmission (ordonnances, bilans, comptes-rendus…)
• Fluidification des échanges entre médecins, infirmiers, direction et aidants

Cependant, elle multiplie les points d’entrée potentiels pour d’éventuels accès indus ou cyberattaques. D’après la CNIL, près de 20 incidents graves liés à des fuites de données de santé sont signalés chaque mois en France (CNIL, 2022). Quelques exemples récents :

• En septembre 2022, plus de 500 000 dossiers médicaux français ont été compromis suite au piratage d’un laboratoire d’analyses (Le Monde).
• Les hôpitaux, mais aussi les EHPAD et cabinets privés, figurent aujourd’hui parmi les cibles privilégiées des ransomware, avec des demandes de rançon de plus en plus fréquentes.

Garantir la protection des données de santé commence par une parfaite connaissance des obligations légales. Trois piliers fondamentaux régissent la sécurité des plateformes de coordination :

1. Le RGPD (Règlement Général sur la Protection des Données) : applicable depuis 2018, il impose notamment le consentement explicite du patient, la minimisation des données et la notification obligatoire des failles de sécurité (CNIL).
2. L’article L1110-4 du Code de la santé publique, qui pose le caractère strictement confidentiel des données de santé : leur accès est réservé aux professionnels impliqués dans la prise en charge.
3. Hébergement HDS (Hébergeur de Données de Santé) : tout prestataire technique stockant des données de santé doit être certifié HDS depuis 2018 – un gage d’exigence et de contrôles réguliers (ANS).

La non-conformité peut exposer les établissements et éditeurs à des sanctions très lourdes : en 2023, la CNIL a prononcé une amende record de 1,5 million d’euros à l’encontre d’un acteur stockant des données médicales de manière non sécurisée.

La sécurisation des plateformes s’appuie sur une gouvernance claire. Les rôles sont bien définis :

• Le responsable de traitement (souvent l’établissement) : définit les finalités, décide des moyens, forme le personnel et construit le registre des activités de traitement.
• Le sous-traitant (éditeur de la plateforme) : suit les instructions du responsable, garantit un hébergement sécurisé, met à disposition les mesures techniques nécessaires.
• Le DPO (Data Protection Officer), obligatoire au sein de chaque structure traitant des données de santé, supervise la conformité et gère les éventuelles violations de données.

La collaboration étroite entre éditeur, établissement et DPO est indispensable, notamment pour organiser l’accès (gestion des droits), les audits de sécurité, la traçabilité (log des accès), et les procédures d’effacement à la demande du résident.

Au-delà de la conformité, plusieurs mesures techniques s’avèrent essentielles pour réduire les risques :

• Authentification renforcée : l’usage de l’authentification à double facteur (2FA) se généralise. Selon une étude menée par IBM Security en 2022, cela réduit de 99 % les risques d’accès frauduleux (IBM Security).
• Chiffrement fort des données, aussi bien en transit (lors des échanges entre professionnels) qu’au repos (stockées sur les serveurs HDS) : le chiffrement AES-256 reste la norme industrielle.
• Gestion fine des droits d’accès : limitation stricte des habilitations selon le rôle (médecin, soignant, agent administratif, aidant), avec des revues régulières.
• Traçabilité et alertes en temps réel : toutes les actions sensibles doivent être enregistrées, des alertes déclenchées en cas d’accès inhabituel ou suspect.
• Mises à jour logicielles automatisées pour corriger rapidement les failles exploitées par les cybercriminels (plus de 40 % des attaques exploitent des failles connues selon l’ANSSI en 2023 : ANSSI).

Les chiffres sont éloquents : 90 % des incidents de cybersécurité dans la santé résultent d’erreurs humaines (source : Ministère de la Santé, 2023).

Même avec des solutions techniques robustes, la vigilance du personnel reste la première ligne de défense. La formation régulière est donc capitale :

• Programmes annuels de sensibilisation (risques d’hameçonnage, gestion des mots de passe, détection des tentatives de fraude)
• Simulations d’incidents (« phishing tests », exercices d’alerte)
• Affichage des procédures de signalement et rappels réguliers sur les bonnes pratiques

Certaines plateformes de coordination intègrent désormais des modules de formation courts et interactifs, directement accessibles par les utilisateurs, ou des notifications « rappel » lors de connexions sensibles.

La qualité de la protection doit faire partie des critères de sélection d’une plateforme de coordination. Voici les points à vérifier de façon systématique :

1. Détention de la certification HDS valide (vérifiable sur le site de l’ANS)
2. Documentation claire sur la gestion du consentement des résidents et la possibilité d’exercer leurs droits (accès, rectification, effacement)
3. Procédures d’audit et de tests de sécurité réalisées par des tiers indépendants (Pen Test, audit RGPD)
4. Options de paramétrage fin des accès selon des groupes d’utilisateurs
5. Réactivité du support en cas d’incident et engagement de notification rapide

De plus en plus d’appels d’offres dans le secteur médico-social exigent la présentation d’un plan de gestion des incidents de sécurité et des preuves de tests réguliers en conditions réelles.

Plusieurs établissements pionniers témoignent de l’importance d’adopter une approche globale :

• Un groupe de trois EHPAD du Sud-Ouest, après un incident lié à un accès non autorisé, a mis en place une revue mensuelle des profils actifs et supprimé systématiquement les comptes inactifs. En trois mois, diminution de 70 % des accès inutiles signalés.
• Une résidence services a opté pour une plateforme permettant une personnalisation très fine des permissions : accès en lecture seule pour certains intervenants, archivage automatique des dossiers, logs accessibles par le DPO à tout moment.
• Certains établissements ont fait appel à des sociétés externes pour réaliser des audit « red team » : des tests d’intrusion simulés, permettant d’identifier en situation réelle les vulnérabilités humaines et techniques.

La sécurité des plateformes de coordination en établissements ne se limite pas au respect des normes techniques ou juridiques. C’est un mouvement global, qui implique la direction, les soignants, les partenaires technologiques et les familles. L’enjeu, au-delà de la conformité, est de bâtir une véritable culture de la vigilance, en gardant le cap sur l’innovation et la qualité de vie des résidents.

À l’heure où le nombre de cyberattaques ciblant la santé a été multiplié par 4 en cinq ans (ANSSI, 2023), la question n’est plus de savoir si une attaque arrivera, mais quand. Structurer la protection, documenter les choix, et faire de chaque utilisateur un acteur de la cybersécurité : voici les clés pour faire de la transition numérique une opportunité véritablement bénéfique et durable pour tous.