Un cabinet médical ou dentaire manipule chaque jour des informations parmi les plus sensibles qui soient : identités, antécédents, ordonnances, imagerie, comptes rendus opératoires. Ces données de santé ont une valeur particulière — pour le patient d’abord, mais aussi, malheureusement, pour ceux qui cherchent à les voler ou à les prendre en otage. Une perte, une fuite ou un blocage ne se résume jamais à une matinée de rendez-vous décalés : c’est la confiance de vos patients et votre responsabilité de professionnel qui sont en jeu.

Depuis 1994, à Ostwald, AMR Informatique accompagne des cabinets et des professionnels de santé de l’Eurométropole de Strasbourg et du Bas-Rhin sur ces questions. Ce guide rassemble les points concrets à vérifier pour protéger les données patients, sans jargon inutile. Il reste volontairement technique et pratique : il ne remplace pas l’avis d’un juriste ou d’un délégué à la protection des données, mais il vous aide à poser de bonnes bases côté informatique.

Sauvegarde : votre filet de sécurité numérique

La sauvegarde est le socle de tout le reste. Sans elle, une panne de disque, un vol de matériel ou un rançongiciel peut effacer des années de dossiers en quelques secondes. Le principe à retenir est simple et éprouvé : plusieurs copies, sur des supports différents, dont au moins une conservée hors du cabinet.

Les points à cocher :

  • Une sauvegarde automatique et quotidienne, pas un copier-coller manuel qu’on finit toujours par oublier un vendredi soir.
  • Une copie déportée (site distant ou hébergement sécurisé), pour survivre à un incendie, un dégât des eaux ou un cambriolage.
  • Des sauvegardes chiffrées, afin qu’un disque égaré reste illisible pour un tiers.
  • Un test de restauration régulier : une sauvegarde qu’on n’a jamais réussi à relire ne vaut rien le jour de l’incident.

C’est souvent sur ce dernier point que les cabinets sont pris au dépourvu. On croit être protégé, jusqu’au moment où il faut vraiment récupérer les données.

Contrôle des accès : chacun voit ce dont il a besoin

Le secrétariat, l’assistant(e), le praticien remplaçant et le titulaire n’ont pas les mêmes besoins. Ouvrir tous les droits à tout le monde, c’est multiplier les risques d’erreur et rendre impossible de savoir qui a consulté quoi.

Quelques règles de bon sens :

  • Des comptes nominatifs, jamais une session unique « cabinet » partagée par toute l’équipe.
  • Des mots de passe robustes, idéalement gérés par un gestionnaire dédié, avec une double authentification là où le logiciel le permet.
  • Le verrouillage automatique des sessions dès qu’un poste reste sans surveillance, notamment à l’accueil, où le public passe.
  • La révocation immédiate des accès lors d’un départ ou de la fin d’un remplacement.

Ce cloisonnement des droits est au cœur de la démarche pour sécuriser les données de votre cabinet : il limite la casse en cas de mot de passe compromis et donne une traçabilité claire des consultations de dossiers.

Postes de travail et logiciel métier : la sécurité au quotidien

Les dossiers patients transitent par des postes bien réels, et c’est souvent là que se joue la sécurité. Un ordinateur d’accueil laissé à jour approximative reste une porte d’entrée facile.

À surveiller de près :

  • Un antivirus tenu à jour sur chaque poste (nous déployons ESET chez nos clients professionnels).
  • Un système d’exploitation et un logiciel métier à jour, car les correctifs bouchent des failles activement exploitées.
  • Une séparation du réseau : le wifi mis à disposition en salle d’attente ne doit jamais donner accès au même réseau que les postes de soins.
  • Un pare-feu correctement configuré et une messagerie filtrée, la plupart des attaques arrivant encore par un e-mail piégé.

Cette hygiène s’inscrit dans une maintenance suivie plutôt que dans des interventions ponctuelles au coup par coup : sur des postes qui tournent toute la journée, la régularité fait la différence.

Où sont hébergées vos données de santé ?

La question de l’hébergement mérite d’être posée clairement, car elle détermine une partie de vos obligations. Si vos dossiers sont hébergés chez un prestataire externe pour votre compte — logiciel métier en ligne, plateforme de sauvegarde infogérée — cet hébergeur doit être certifié HDS (Hébergeur de Données de Santé). C’est un point à vérifier noir sur blanc auprès de votre éditeur, pas à supposer.

Si, à l’inverse, tout reste sur un serveur installé dans vos murs, la certification HDS ne s’applique pas au poste local, mais la sécurité physique (local fermé, onduleur, sauvegarde déportée) devient d’autant plus importante. Les deux approches se défendent ; l’essentiel est de savoir précisément où vivent vos données et qui y a réellement accès. Un réseau bien pensé entre vos postes, votre serveur et vos accès distants fait partie de l’équation.

Ce que le RGPD attend, côté technique

Le RGPD ne dicte pas une liste de logiciels à installer, mais il attend des mesures « appropriées » au regard de la sensibilité des données de santé. Traduit en langage d’atelier, cela recoupe largement les bonnes pratiques déjà citées.

Côté technique, on retrouve :

  • Le chiffrement des sauvegardes et, quand c’est possible, des postes mobiles.
  • La gestion fine des accès et la traçabilité des consultations de dossiers.
  • Une capacité à restaurer les données rapidement après un incident.
  • La maîtrise des sous-traitants : savoir qui héberge, qui maintient, avec quelles garanties contractuelles.

Ce volet technique n’est qu’une partie du sujet. Le registre des traitements, l’information des patients et les aspects juridiques relèvent d’un accompagnement dédié : cet article reste informatif et ne se substitue pas au conseil d’un professionnel du droit.

Continuité : rester opérationnel malgré la panne

Un cabinet ne peut pas se permettre de fermer plusieurs jours parce qu’un serveur a lâché. La continuité se prépare avant l’incident, pas pendant.

Les réflexes utiles :

  • Un onduleur pour absorber les coupures et micro-coupures de courant sans corrompre les fichiers en cours.
  • Du matériel de secours ou une procédure de remplacement rapide, pour ne pas rester bloqué en attendant une pièce.
  • Une sauvegarde restaurable ailleurs, afin de redémarrer même si le poste principal est hors service.
  • Un interlocuteur unique joignable, qui connaît déjà votre installation et peut intervenir sans repartir de zéro.

C’est précisément ce que nous constatons auprès des professionnels de santé que nous suivons dans le Bas-Rhin : ce qui les rassure, ce n’est pas d’accumuler des équipements, mais de savoir qu’en cas de coup dur, quelqu’un connaît leur cabinet et répond vite.

Si vous souhaitez faire le point sur la sécurité et la sauvegarde de vos dossiers patients, échangeons simplement sur votre situation : contactez l’atelier AMR à Ostwald pour un premier diagnostic sans engagement.

Article rédigé par Tolgahan Turan, gérant d’AMR Informatique.