Le chiffrement au niveau des champs, expliqué aux cliniciens

Chiffrer une base de données avec une clé unique la protège du vol des disques, et de rien d'autre. Doctopass donne aux catégories les plus sensibles d'un dossier leurs propres clés, isolées du reste du dossier, puis vérifie l'autorisation deux fois à chaque accès — parce qu'une clé n'est pas un jugement sur qui devrait lire.

Une seule clé pour tout l'immeuble

« Chiffré au repos » signifie d'ordinaire un seul stockage derrière une seule clé. C'est une vraie protection : si l'on vole les disques, les données sont illisibles. C'est aussi une protection plate. Une fois le système en marche et cette clé en usage, chaque dossier qu'elle couvre est également atteignable.

Pour la plupart des données, l'arbitrage est le bon. Pour un dossier médical, il ne l'est pas. Une note sur une entorse de la cheville et une note sur une hospitalisation psychiatrique se trouvent derrière la même porte, et la porte a été dimensionnée pour la cheville. Le chiffrement au niveau du champ consiste à donner à des champs nommés, particulièrement sensibles, leurs propres clés plutôt que de les laisser sous celle qui couvre tout.

Des clés distinctes pour les champs sensibles

Les données de santé les plus sensibles, la santé mentale et les autres catégories protégées sont chiffrées au niveau du champ avec des clés distinctes, isolées du reste du dossier. Le transport et le stockage sont couverts à part : données chiffrées en transit par TLS et au repos, fichiers stockés atteints seulement par des URL signées à courte durée de vie.

L'isolement est le mot qui travaille. Les clés de ces catégories ne sont pas celle du dossier autour d'elles : une compromission du chemin ordinaire ne livre pas le contenu extraordinaire avec lui. Le dossier patient informatisé est un seul objet pour le médecin qui le lit, et plusieurs objets diversement protégés en dessous.

Un contrôle voisin mérite d'être nommé, car il protège la même note sur un autre chemin : les identifiants personnels sont retirés avant qu'une invite ne quitte nos serveurs pour un traitement par l'IA ; le modèle voit le tableau clinique, non l'identité. Ce n'est pas du chiffrement et nous ne le présentons pas comme tel ; cela relève du reste de ce que l'IA fait dans un cabinet tunisien.

Deux couches, vérifiées à chaque accès

Qui peut ouvrir un dossier relève de l'autorisation, pas de la cryptographie. Chaque accès aux données de patient passe une vérification à deux couches : une garde fondée sur le rôle, puis une vérification de propriété et de permission par enregistrement dans la couche de service. L'accès aux données de santé est restreint au besoin d'en connaître : un utilisateur n'atteint que les données de santé auxquelles il est autorisé.

Il est tentant de fondre les deux et d'écrire qu'une clé n'est libérée qu'à celui qui détient la bonne permission sur cette note précise. Nous n'écrirons pas cette phrase. Une clé tranche si le champ stocké est lisible hors du système ; qui, dans le système, peut l'ouvrir se règle par la vérification à deux couches. Nous préférons écrire cette limite plutôt que de la laisser découvrir après signature.

Un confrère est encore un autre cas. Un médecin autre que celui qui a créé un enregistrement ne peut le consulter que si le patient a donné un consentement explicite, accordé par médecin et révocable, et chaque accès de ce type est consigné. Une assistante est un troisième cas, traité sous les autorisations de la secrétaire.

Un journal qui retient les lectures

Le journal d'audit complet commence au forfait Pro. Il est immuable, il consigne lectures et écritures des données de patient, y compris l'accès par un autre médecin, et il est mis à la disposition du médecin responsable. La journalisation complète retient qui a consulté un dossier, qui l'a modifié et quand, en lignes de langage clair, nommant qui a ouvert le dossier et à quelle minute.

La suppression est l'autre moitié de la même comptabilité. Les données de patient ne sont jamais supprimées définitivement. La suppression réversible préserve le dossier clinique et légal tout en honorant la volonté du patient — récupérable, redevable, auditable.

Le journal est conditionné par le forfait, et la limite mérite d'être imprimée :

Cette limite porte sur le journal, pas sur les clés. Le reste du modèle — le chiffrement, la liste d'authentification, le journal qui court sous les deux — est exposé dans l'architecture de sécurité.

Ce que le chiffrement au niveau du champ ne fait pas

Il ne remplace pas les contrôles d'accès, la journalisation d'audit ou des permissions soigneuses : il travaille à leurs côtés. Il ne rend pas un champ illisible à qui a le droit de le lire. Et il ne décide de rien : une clé ouvre ou n'ouvre pas, et le jugement sur qui devrait la détenir vit dans la couche d'autorisation au-dessus.

Il achète aussi de la complexité, et tout l'intérêt de bien la porter est qu'un médecin ne la rencontre jamais. Les clés sont le problème du produit, pas celui du cabinet.

Deux choses que nous ne publierons pas. Nous ne mettrons pas de prix sur votre violation de données. Le chiffre habituellement invoqué est celui d'IBM, Cost of a Data Breach Report 2026 : une moyenne mondiale de 4,99 millions de dollars, « en hausse de 12 % sur l'année précédente et à un niveau record » — moyenne tous secteurs confondus, non un chiffre sur un cabinet tunisien, que nous ne transposerons pas. Et nous ne vous dirons pas ce qu'une violation vous oblige ensuite à faire : la réponse appartient à l'INPDP et à votre Ordre, pas à un éditeur.

Questions fréquentes

Quels champs reçoivent leurs propres clés ?

Les données de santé les plus sensibles, la santé mentale et les autres catégories protégées, chiffrées au niveau du champ avec des clés distinctes et isolées du reste du dossier. Nous nommons les catégories que nomme notre architecture de sécurité et nous nous arrêtons là : un inventaire champ par champ serait une affirmation plus impressionnante et moins vérifiable.

Une clé distincte empêche-t-elle un confrère de lire la note ?

Non, et c'est la limite qu'il faut énoncer clairement. La séparation cryptographique n'est pas une décision d'accès. Qu'un confrère puisse ouvrir un dossier se règle par la vérification d'autorisation à deux couches et, lorsque le dossier appartient à un autre médecin, par le consentement explicite du patient, accordé par médecin et révocable, chaque accès étant consigné.

Comment savoir qui a ouvert un dossier ?

Par le journal d'audit, qui consigne chaque lecture et chaque écriture de données de patient, y compris l'accès entre médecins, et qui est mis à la disposition du médecin responsable. Lisez la limite de forfait avant de compter dessus : le journal complet commence à Pro, et la recherche avec l'interface d'investigation est réservée à Premium.

Combien coûtent les trois forfaits ?

69, 159 et 269 DT par médecin et par mois, facturés annuellement. Sans frais d'installation ni facturation à la note, avec la migration des données offerte, et des patients gratuits et illimités sur tous les forfaits. La limite du journal d'audit figure à côté du reste sur les trois forfaits comparés.

Le chiffrement est une frontière, pas un verdict. Pour voir les deux mécanismes travailler séparément — les clés distinctes en dessous, puis la garde de rôle et la vérification par enregistrement à l'entrée — demandez une démonstration de 30 minutes : apportez le dossier que vous aimeriez le moins voir ouvert par la mauvaise personne, et nous le ferons passer par les deux.