DSI externalisé pour cabinet ou maison de santé : missions, responsabilités et critères de choix

L'article L.1111-8 du Code de la santé publique impose que toute personne qui héberge des données de santé à caractère personnel recueillies à l'occasion d'activités de soins soit certifiée « Hébergeur de données de santé », dès lors que cet hébergement est confié à un tiers. Ce n'est pas un label facultatif, c'est une obligation légale, portée par un référentiel de l'Agence du numérique en santé. La même logique traverse tout votre environnement numérique : le dossier patient, la télétransmission, les échanges entre confrères relèvent d'un cadre exigeant, parce qu'ils portent sur ce que le RGPD range dans les données les plus sensibles.

Pour un cabinet, ces données et ces processus critiques portent des noms très concrets : le dossier patient, la télétransmission Sesam-Vitale, la messagerie sécurisée MSSanté, l'agenda de rendez-vous, l'accès à Mon espace santé et au DMP. Un DSI externalisé, c'est la personne dont le métier est de tenir cet ensemble debout, sans que vous ayez à recruter un informaticien. Voici ce que cela recouvre, où s'arrête mon rôle, et comment choisir.

Une précision de taille avant d'aller plus loin : cette déclaration s'impose aux établissements de santé et aux structures médico-sociales, pas aux cabinets de ville. Autrement dit, aucune statistique ne recense les cabinets libéraux, ce qui ne veut pas dire qu'ils sont épargnés, mais que personne, en dehors d'eux, ne le saura avant eux.

Pourquoi la question se pose

Trois réalités du quotidien rendent le sujet concret, sans qu'il soit besoin de dramatiser.

D'abord, la continuité. Une partie de votre activité passe par des services dont vous ne maîtrisez pas seul la disponibilité : la carte CPS et le lecteur pour télétransmettre, votre logiciel métier qu'il s'agisse de Weda, VEGA, HelloDoc ou Julie, la connexion qui relie tout cela à l'Assurance Maladie. Une consultation continue même si l'informatique tombe, mais la facturation, l'accès au dossier et la prise de rendez-vous, eux, s'arrêtent.

Ensuite, la confidentialité. Les données de santé relèvent de l'article 9 du RGPD, qui les classe parmi les catégories particulières, celles dont le traitement est encadré plus strictement que les autres. Le secret médical, lui, préexiste à l'informatique et s'y prolonge. Limiter les accès, activer l'authentification renforcée, tenir des sauvegardes hors ligne, préparer la continuité : ce sont des moyens techniques, et c'est précisément là qu'un prestataire intervient.

Enfin, l'organisation. Un cabinet ou une maison de santé, ce sont des praticiens, des remplaçants, des secrétaires, parfois plusieurs professions qui partagent un même système d'information. Chaque personne est un accès à ouvrir, à encadrer, puis à refermer le moment venu.

Les risques concrets, nommés sans exagération

En pratique, quand l'informatique d'un cabinet n'est pilotée par personne, quatre risques reviennent :

• l'indisponibilité : ne plus pouvoir accéder au dossier, télétransmettre ou faire tourner la salle d'attente au mauvais moment ;
• la divulgation : une donnée de santé qui circule par un canal non maîtrisé, une boîte mail personnelle, une clé oubliée ;
• l'altération : un dossier modifié ou corrompu sans qu'on sache par qui ni quand ;
• la perte de preuve ou de traçabilité : ne pas pouvoir reconstituer qui a consulté ou modifié quoi.

Ces quatre risques structurent tout le reste. Les missions ci-dessous s'y rattachent une à une.

Ce que fait, concrètement, un DSI externalisé

La continuité de la télétransmission et du dossier. Je regarde la chaîne dont dépend votre journée, du poste au lecteur de carte, de la carte CPS jusqu'à l'accès à l'Assurance Maladie et à votre logiciel métier. Je m'assure qu'un incident sur un maillon ne met pas tout à l'arrêt. L'objectif n'est pas de promettre qu'il n'arrivera jamais rien, mais que ce qui doit repartir vite reparte vite.

La gouvernance des accès. Qui accède à quel dossier, avec quel niveau ? L'authentification renforcée, la création d'un accès à l'arrivée d'un remplaçant ou d'une secrétaire, et surtout sa révocation au départ. D'expérience, c'est le point le plus souvent négligé dans les cabinets qui n'ont pas de prestataire dédié.

La sauvegarde testée et hors ligne. Une sauvegarde qui n'a jamais été restaurée est une supposition. Je mets en place des copies dont une hors ligne, et je teste la restauration, avec un résultat que je vous communique. Ce point n'est pas théorique : Cybermalveillance.gouv.fr souligne que les rançongiciels ne se contentent plus de chiffrer, ils cherchent aussi à copier les données et à détruire les sauvegardes accessibles.

Les échanges sécurisés. L'Agence du numérique en santé opère MSSanté, un espace de confiance où les données de santé circulent entre boîtes aux lettres identifiées, sans interopérer avec les messageries grand public. Mon rôle est de faire en sorte que les résultats, les comptes rendus et les courriers passent par ce canal maîtrisé, et non par une boîte personnelle.

La préparation à l'incident. Un incident se gère mieux quand quatre questions ont une réponse écrite avant qu'il survienne : qui isole les systèmes, qui alerte, qui évalue ce qui a fuité, qui communique. Cybermalveillance recommande d'isoler les équipements touchés, de ne pas les éteindre pour préserver les preuves, et d'alerter immédiatement son prestataire. Et si l'incident touche des données personnelles avec un risque pour les droits et libertés des personnes, la notification à la CNIL doit intervenir dans les meilleurs délais et, en principe, au plus tard dans les 72 heures suivant sa découverte.

Le pilotage et la feuille de route. C'est ce qui sépare une direction informatique d'un simple dépannage. Au delà des interventions, je tiens une vision d'ensemble dans la durée : je rassemble les contrats, les coûts, les risques et les projets numériques dans une feuille de route priorisée et budgétée, revue chaque année, avec un point de suivi remis au responsable de la structure. Elle vous permet d'arbitrer les investissements, de coordonner vos éditeurs et prestataires, d'anticiper les échéances comme un changement de version référencée, et de savoir ce qui doit être traité cette année, plus tard, ou pas du tout. On ne se contente pas de régler les incidents un par un, on pilote.

Où s'arrête mon rôle

C'est une limite que je tiens à poser clairement, parce qu'elle vous protège. Je mets en place et j'exploite les moyens techniques. Je ne me substitue pas à vous sur le terrain du soin.

Le soin, le diagnostic, la tenue clinique du dossier, l'appréciation de ce que couvre le secret médical, la décision de partager une information avec un confrère : cela reste votre responsabilité de praticien, avec votre délégué à la protection des données le cas échéant. Décider s'il faut notifier une violation à la CNIL et informer les patients relève aussi de vous. Mon travail est de vous donner, vite et proprement, les éléments techniques dont vous avez besoin pour décider. Pas de décider à votre place.

Une grille pour évaluer votre situation, ou un prestataire

Ces questions n'exigent aucune compétence technique. Leurs réponses disent beaucoup.

• Une secrétaire ou un remplaçant peut-il, aujourd'hui, consulter l'ensemble des dossiers patients ?
• Le compte d'un remplaçant parti l'an dernier est-il désactivé ?
• Des résultats ou des comptes rendus transitent-ils par une messagerie personnelle plutôt que par MSSanté ?
• Des dossiers sont-ils copiés sur un ordinateur familial en télétravail ou en visite ?
• Qui peut révoquer immédiatement un accès perdu ou compromis, et en combien de temps ?
• Une restauration de sauvegarde a-t-elle déjà été testée cette année ?
• Si votre logiciel métier tombe en panne, pouvez-vous continuer à télétransmettre et à consulter les dossiers du jour ?
• Existe-t-il un document qui dit qui isole, qui alerte, qui évalue et qui communique en cas d'incident ?

Les critères pour choisir

D'expérience, ce qui compte davantage que le prix mensuel affiché :

• un interlocuteur identifié et joignable, pas un centre d'appel anonyme ;
• la connaissance des contraintes du métier : Sesam-Vitale, CPS, MSSanté, INS, référencement Ségur, secret médical ;
• la réversibilité : pouvoir récupérer vos données dans un format exploitable si vous changez de prestataire ou d'éditeur ;
• des sauvegardes réellement testées, dont le résultat vous est communiqué ;
• une frontière claire entre l'informatique et le soin, comme celle posée plus haut ;
• l'absence de promesse de résultat garanti : un prestataire sérieux parle de réduire des risques, pas de les supprimer.

Par où commencer

Le plus simple est de commencer par un point concret et vérifiable, mené en quelques heures : une revue des accès, un test de restauration de vos sauvegardes, ou une cartographie de votre continuité de télétransmission. Vous en repartez avec un compte rendu écrit indiquant ce qui fonctionne, ce qui manque et les corrections prioritaires, une décision claire, et une première brique de votre feuille de route, sans engagement de suite.

Sur l'hébergement, un mot pour finir : une fois la continuité et la sécurité en place, la question de savoir où vivent vos données devient utile. Elle se vérifie en trois points distincts, qu'on confond souvent : la certification HDS du prestataire, la localisation contractuelle des données et des sauvegardes, et vos conditions de réversibilité. La certification HDS, à elle seule, ne prouve ni que tout est hébergé en France ni que vous en gardez le contrôle. C'est une destination à préparer, pas un préalable.

Si vous voulez en discuter, écrivez-moi le point qui vous préoccupe le plus dans la grille ci-dessus, et je vous dis par quoi il serait raisonnable de commencer.