Dossier patient informatisé : vos obligations INPDP

Un dossier patient informatisé est un progrès pour les soins et une responsabilité pour celui qui le détient. Les données de santé comptent parmi les plus sensibles qui soient, et en Tunisie l'autorité de protection des données personnelles est l'INPDP. Cet article ne vous dira pas ce que la réglementation exige de vous — cela se demande à l'INPDP. Il vous dira ce qu'un logiciel doit savoir faire pour que vous puissiez y répondre.

Le partage des rôles, et pourquoi il vous concerne

Une distinction pratique commande tout le reste. Le cabinet décide de constituer un dossier patient, de ce qu'on y met et de qui y accède : c'est lui qui répond de ces choix. L'éditeur héberge et fait fonctionner l'outil pour son compte.

La conséquence est directe, et elle mérite d'être dite par un éditeur : aucun logiciel ne vous rend conforme. Un bon logiciel vous en donne les moyens — traçabilité, chiffrement, droits d'accès, export — et vous restez celui qui doit pouvoir expliquer ses choix. Renseignez-vous auprès de l'INPDP sur ce qui vous incombe en propre, puis faites écrire à votre éditeur ce qu'il prend en charge.

Ce que contient un dossier patient informatisé complet

Un dossier n'est pas une pile de comptes rendus. Il est utile quand il répond, en un geste, aux questions qu'on se pose avant de prescrire. Dans Doctopass, il réunit les antécédents médicaux en onze sections, les allergies, les pathologies en cours, les traitements, les résultats d'analyses, l'imagerie, les vaccinations et les antécédents familiaux, avec la chronologie des consultations et le compte rendu de consultation de chacune.

Le test pratique est toujours le même : le patient s'assoit, vous avez trente secondes. Voyez-vous ses allergies, ses traitements en cours et ce qui s'est passé la dernière fois, sans changer d'écran ? Si oui, le dossier travaille pour vous. Sinon, il travaille contre vous, et vous finirez par redemander au patient ce que vous savez déjà.

Les questions à poser avant de choisir un hébergeur

Sur l'hébergement, la seule réponse acceptable de la part d'un éditeur est précise. Une réponse vague — « sur le cloud », « c'est sécurisé » — est une réponse négative. Posez celles-ci, et notez-les par écrit.

• Dans quel pays les données sont-elles stockées, chez quel opérateur, et sous quel engagement contractuel ?
• Qui, chez vous, peut techniquement accéder à un dossier patient, et cet accès est-il journalisé comme le mien ?
• Que se passe-t-il si je résilie : sous quel délai, sous quelle forme, et à quel coût mes données me sont-elles rendues ?
• Puis-je exporter l'intégralité d'un dossier à tout moment, sans demande préalable ?
• En cas d'incident de sécurité, comment et sous quel délai suis-je prévenu ?

La dernière question mérite d'être posée avant l'incident, pas pendant. Ce que la réglementation vous impose ensuite de faire, de votre côté, se vérifie auprès de l'INPDP — et cela vaut la peine d'écrire la procédure maintenant plutôt que le jour venu.

Qui accède à quoi, et comment le prouver

La question n'est pas « qui a le mot de passe » mais « qui peut voir quoi, et comment je le démontre ». Un dossier patient est consulté par le médecin, mais aussi par une secrétaire, un remplaçant, parfois un confrère.

Doctopass sépare ces rôles : la secrétaire reçoit des permissions accordées une par une — gérer l'agenda, créer des factures, consulter les notes cliniques, écrire aux patients — chacune activable séparément et journalisée, et le médecin conserve l'autorité clinique. Le sujet est traité en détail dans notre article sur la délégation à une secrétaire.

Chiffrement et journal d'audit : ce que fait Doctopass

Deux mécanismes font la différence entre un dossier informatisé et un dossier informatisé défendable.

Le premier est le chiffrement au niveau des champs. Les catégories les plus sensibles — santé mentale et autres données protégées — sont chiffrées champ par champ avec des clés distinctes, isolées du reste du dossier, de sorte qu'un incident sur une partie du système n'expose pas la plus délicate. Nous l'expliquons sans jargon dans le chiffrement au niveau des champs expliqué aux cliniciens.

Le second est le journal d'audit. Chaque lecture et chaque écriture sont consignées, et les lignes se lisent en langage clair : qui a consulté ce dossier, et quand. C'est ce qui permet de répondre avec certitude, et non de mémoire, à la question d'un patient sur qui a vu son dossier. Le journal d'audit complet est inclus à partir du forfait Pro ; la recherche dans le journal et l'interface d'investigation sont dans Premium.

S'y ajoutent l'anonymisation des identifiants avant tout traitement par l'IA — le modèle voit le tableau clinique, pas l'identité du patient —, l'authentification à deux facteurs, les autorisations par rôle et par dossier, la détection des anomalies de session et la suppression réversible plutôt que la destruction. L'ensemble est documenté sur la page sécurité et conformité.

Effacement, export, conservation : ce que le logiciel permet

Trois capacités techniques comptent, indépendamment de ce que la réglementation vous impose par ailleurs.

L'export. Un dossier Doctopass s'exporte intégralement en JSON structuré accompagné des PDF générés. C'est ce qui vous permet de répondre à un patient qui demande une copie, et de partir chez un autre éditeur sans rien perdre.

La suppression réversible. Les données cliniques ne sont pas détruites d'un clic : l'accès est restreint, la donnée n'est plus exploitée, et la trace reste. C'est ce qui permet de traiter une demande d'effacement sans se retrouver démuni si un dossier doit être produit plus tard.

La durée de conservation. Celle que Doctopass applique dans son propre service est écrite dans la politique de confidentialité ; celle qui s'impose à vous en tant que praticien se vérifie auprès des autorités compétentes. Les deux doivent être compatibles, et c'est une question à poser avant de signer, pas après.

Partager un dossier avec un confrère

Le partage est le moment où la protection se joue vraiment, parce qu'il se fait souvent dans l'urgence et par le canal le plus rapide. Une photo de compte rendu envoyée par messagerie grand public sort le dossier de tout dispositif de protection : plus de traçabilité, plus de contrôle d'accès, une copie sur un serveur dont personne ne sait rien.

Les alternatives raisonnables tiennent en trois : un accès conditionné au consentement du patient, accordé confrère par confrère, révocable et journalisé ; une lettre d'orientation générée depuis la consultation — à partir du forfait Pro — et transmise par un canal maîtrisé ; ou un export structuré remis au patient, qui reste maître de ce qu'il communique. La règle de conduite est constante, et elle ne dépend d'aucun texte : ne partagez que ce qui est nécessaire, à une personne identifiée, en laissant une trace.

Questions fréquentes

Le logiciel me met-il en conformité ?

Non, et méfiez-vous de celui qui l'affirme. Un logiciel vous donne les moyens techniques — traçabilité, chiffrement, contrôle d'accès, export — mais les obligations qui vous incombent en tant que responsable de vos fichiers se vérifient auprès de l'INPDP. Prévoyez-les comme une étape du projet, au même titre que la migration des données.

Un patient peut-il obtenir une copie de son dossier ?

Techniquement, oui : un dossier s'exporte intégralement en JSON structuré accompagné des PDF générés. Pour la forme que doit prendre la demande et le délai dans lequel vous devez y répondre, renseignez-vous auprès de l'INPDP.

Que se passe-t-il si un patient demande la suppression de ses données ?

La demande est honorée par une suppression réversible et traçable : l'accès est restreint et la donnée n'est plus exploitée. Cette approche existe précisément parce qu'un dossier clinique peut devoir être produit plus tard — détruire immédiatement et sans retour n'est presque jamais la bonne réponse, et c'est un point à clarifier avec l'INPDP pour votre situation.

Que dois-je faire en cas de fuite de données ?

Deux choses en parallèle : circonscrire l'incident avec votre éditeur, et suivre la procédure de notification qui s'applique à vous. Écrivez-la maintenant, en vous renseignant auprès de l'INPDP, parce que le jour venu vous n'aurez pas le temps de la chercher.

Un dossier papier est-il plus sûr, puisqu'il ne peut pas être piraté ?

Il peut brûler, prendre l'eau, être feuilleté par n'importe qui passant derrière le comptoir, et il ne garde aucune trace de l'avoir été. L'armoire fermée à clé protège contre l'intrus, jamais contre l'habitué. Le dossier informatisé, lui, sait dire qui l'a ouvert — et c'est précisément ce qu'on vous demandera de démontrer.

Les patients les plus soucieux de leurs données sont aussi les plus rassurés de les voir bien protégées. Pour parcourir en détail le flux des données, le modèle de chiffrement et le journal d'audit, demandez une démonstration — et venez avec les questions que vous n'osez pas poser à un commercial.