Guide
Habilitations et droits d'accès à la documentation qualité : la procédure pour définir qui voit quoi
Un agent d'accueil qui consulte des données médicales, un compte partagé impossible à rattacher à une personne, une matrice des habilitations jamais mise à jour après un départ : la CNIL a multiplié les contrôles ces dernières années sur ce sujet précis dans les établissements de santé. Cet article détaille une procédure en 8 étapes pour définir, documenter et faire vivre les habilitations d'accès à votre documentation qualité et à vos déclarations d'évènements indésirables, avec un modèle de matrice à adapter à votre organisation. À la fin, vous saurez construire cette matrice, l'appliquer dans votre outil et la tenir à jour.
Envie de voir comment les habilitations se configurent concrètement dans un logiciel qualité ? Une démo de 20 minutes suffit.
Réserver une démoCe que dit la réglementation sur les habilitations d'accès
La CNIL a rappelé aux établissements de santé les mesures attendues pour sécuriser l'accès au dossier patient informatisé, après avoir mené 13 contrôles entre 2020 et 2024 à la suite d'alertes sur des accès illégitimes, et mis plusieurs établissements en demeure de corriger la situation[1]. Elle recommande de combiner deux critères pour construire les habilitations : le critère du métier exercé (un agent d'accueil n'accède qu'au dossier administratif, un soignant accède aux données médicales) et le critère de l'équipe de soins, au sens de l'article L1110-12 du code de la santé publique, qui limite l'accès aux données couvertes par le secret médical aux seuls professionnels effectivement impliqués dans la prise en charge du patient[1][3]. Elle demande également que les accès soient tracés et fassent l'objet de contrôles réguliers.
Ce même sujet est encadré par un autre texte lorsque les données sont hébergées par un tiers : l'article L1111-8 du code de la santé publique impose que tout hébergement de données de santé à caractère personnel soit réalisé auprès d'un hébergeur certifié HDS[2]. Le référentiel de cette certification, publié par l'Agence du Numérique en Santé, intègre des exigences de contrôle des accès et de gestion des habilitations[4]. Cette certification porte sur l'hébergeur, pas sur l'établissement lui-même : elle ne dispense donc pas votre structure de définir ses propres règles internes d'habilitation, ce qui est précisément l'objet de cet article.
Précision utile : il n'existe pas de critère HAS isolé intitulé "gestion des habilitations". La sécurité des systèmes d'information de santé, dont la gestion des habilitations, relève du corpus PGSSI-S (politique générale de sécurité des systèmes d'information de santé) piloté par l'Agence du Numérique en Santé, qui publie un guide pratique dédié à ce sujet[5].
OxcaSanté publie, pour chaque rôle, une cartographie des habilitations qui liste automatiquement les droits réellement configurés sur les modules déclarations, bibliothèque qualité, administration et statistiques. Voir la cartographie des habilitations d'OxcaSanté.
Étape 1 : cartographier les documents et données sensibles
Avant de définir qui accède à quoi, il faut lister à quoi on peut accéder. Recensez les grandes catégories : documents de la bibliothèque qualité (protocoles, procédures), déclarations d'évènements indésirables, dossier administratif et données médicales des patients, statistiques et exports. Notez pour chacune son niveau de sensibilité.
Qui
Responsable qualité, avec le référent sécurité des systèmes d'information si l'établissement en a désigné un.
Livrable
Une liste des catégories de documents et données avec leur niveau de sensibilité.
Piège à éviter
Oublier les pièces jointes (comptes rendus, photos) qui peuvent contenir des données patients alors que le document parent est classé "interne".
Étape 2 : définir les profils métiers et leur besoin d'en connaître
Pour chaque fonction de l'établissement, déterminez à quelles catégories de documents et données elle doit accéder pour exercer sa mission. C'est le critère du métier exercé mis en avant par la CNIL : un accès large n'est justifié que si le métier l'exige réellement[1].
Qui
Direction et responsable qualité, avec les cadres de chaque service qui connaissent le quotidien de leurs équipes.
Livrable
Un référentiel des profils ou rôles et de leur périmètre d'accès.
Piège à éviter
Calquer les habilitations sur l'organigramme hiérarchique plutôt que sur le besoin réel : un cadre n'a pas automatiquement besoin d'accéder à tout ce qui concerne son service.
Étape 3 : appliquer le critère de l'équipe de soins pour les données patients
Pour les données couvertes par le secret médical, restreignez l'accès aux professionnels effectivement impliqués dans la prise en charge du patient concerné, au sens de l'équipe de soins défini par la loi[3]. Ce critère est distinct du précédent : deux soignants peuvent avoir le même métier sans appartenir à la même équipe de soins pour un patient donné.
Qui
Responsable qualité, en lien avec le délégué à la protection des données (DPO) si l'établissement en a désigné un.
Livrable
Une règle d'accès écrite précisant qui appartient à l'équipe de soins pour chaque type de prise en charge.
Piège à éviter
Laisser un accès "par défaut" à tout un service, sans distinction selon l'implication réelle dans la prise en charge du patient.
Étape 4 : construire la matrice des habilitations
Croisez les profils métiers avec les catégories de documents et fonctionnalités pour obtenir, dans chaque case, le niveau d'accès : aucun accès, consultation, ou accès complet. Un exemple commenté est proposé plus bas dans cet article.
Qui
Responsable qualité, matrice validée par la direction.
Livrable
La matrice des habilitations, datée et validée.
Piège à éviter
Une matrice construite une fois puis jamais mise à jour après une réorganisation de service.
Étape 5 : attribuer les habilitations nominatives dans l'outil
Configurez, dans le système d'information qualité, un compte nominatif par utilisateur avec le rôle et l'affectation (lieu, service) correspondant à la matrice validée.
Qui
Administrateur applicatif ou responsable qualité disposant des droits d'administration des comptes.
Livrable
Des comptes utilisateurs configurés, un par personne, conformes à la matrice.
Piège à éviter
Utiliser des comptes génériques partagés (par exemple "accueil@..."), qui rendent impossible de savoir qui a réellement consulté quoi.
Étape 6 : tracer et contrôler les accès
Assurez-vous que chaque consultation ou modification est journalisée, et organisez des contrôles réguliers de ces journaux : c'est ce que recommande la CNIL, qui insiste sur le fait que la traçabilité doit être exploitée, pas seulement activée[1].
Qui
Responsable qualité ou référent sécurité, à une fréquence à définir (par exemple trimestrielle).
Livrable
Un journal des accès consultable et un compte rendu de contrôle daté.
Piège à éviter
Activer la journalisation sans jamais consulter les journaux : la traçabilité ne protège que si elle est exploitée.
L'historique d'OxcaSanté trace chaque création, modification et transition de statut par utilisateur, consultable par enregistrement ou par personne, pour appuyer vos contrôles d'accès. Voir l'historique et la traçabilité OxcaSanté.
Étape 7 : réviser la matrice à chaque changement
Mettez à jour la matrice et les comptes concernés dès qu'un salarié arrive, change de poste ou quitte l'établissement, et prévoyez en complément une revue complète au moins annuelle, même en l'absence de mouvement de personnel.
Qui
Service RH pour les mouvements de personnel, responsable qualité pour la mise à jour effective des accès.
Livrable
Une matrice à jour et la preuve datée de la dernière revue.
Piège à éviter
Oublier de révoquer les accès d'un salarié parti, laissant un compte actif sans utilisateur légitime.
Étape 8 : être prêt à présenter la démarche en cas d'inspection
Conservez la matrice, la procédure et un extrait de journal d'accès dans un dossier facilement mobilisable, pour pouvoir répondre à une question de l'ARS, d'un organisme évaluateur ou d'un contrôle CNIL.
Qui
Responsable qualité.
Livrable
Un dossier de preuve : matrice, procédure et extrait de traçabilité.
Piège à éviter
Ne pas savoir expliquer, en entretien, qui a accès à quoi et pourquoi : c'est souvent ce qui est demandé, plus qu'un document parfait.
Exemple de matrice des habilitations
Ce modèle est un point de départ à adapter à l'organisation et à la taille de votre établissement, pas une grille imposée par un texte réglementaire.
| Profil | Dossier admin. patient | Données médicales | Bibliothèque qualité | Déclarations EI | Statistiques |
|---|---|---|---|---|---|
| Accueil / administratif | Accès complet | Aucun accès | Consultation | Aucun accès | Aucun accès |
| Soignant (hors équipe du patient) | Aucun accès | Aucun accès | Consultation | Consultation | Aucun accès |
| Équipe de soins du patient | Consultation | Accès complet | Consultation | Consultation | Aucun accès |
| Cadre de santé / IDEC | Consultation | Consultation (service) | Accès complet (service) | Accès complet (service) | Consultation (service) |
| Responsable qualité | Aucun accès | Aucun accès | Accès complet | Accès complet | Accès complet |
| Direction | Consultation | Aucun accès | Consultation | Consultation | Accès complet |
Exemple illustratif à adapter : dans la plupart des outils qualité, les accès "service" se paramètrent via l'affectation (lieu, secteur, service) de chaque utilisateur, pas via une case unique par ligne.
Checklist récapitulative
Checklist
- ✓ Documents et données sensibles cartographiés, avec leur niveau de sensibilité
- ✓ Profils métiers définis selon le besoin réel d'en connaître
- ✓ Règle d'accès aux données médicales fondée sur l'équipe de soins
- ✓ Matrice des habilitations construite, datée et validée par la direction
- ✓ Comptes nominatifs configurés, sans compte générique partagé
- ✓ Journalisation des accès active et contrôlée périodiquement
- ✓ Procédure de révision immédiate à chaque mouvement de personnel
- ✓ Revue annuelle complète planifiée
- ✓ Dossier de preuve prêt pour une inspection (matrice, procédure, extrait de traçabilité)
Questions fréquentes
Qui doit avoir accès aux documents de la bibliothèque qualité ?
Cela dépend du profil métier et du principe du besoin d'en connaître recommandé par la CNIL : un accès complet est justifié pour les responsables qualité et les cadres sur leur périmètre, un accès en consultation suffit généralement au reste du personnel pour les documents déjà publiés.
Qu'est-ce que le critère de l'équipe de soins ?
C'est un principe défini par la loi, à l'article L1110-12 du code de la santé publique, selon lequel seuls les professionnels effectivement impliqués dans la prise en charge d'un patient peuvent accéder aux données couvertes par le secret médical le concernant.
À quelle fréquence faut-il réviser la matrice des habilitations ?
Il faut la mettre à jour immédiatement à chaque arrivée, changement de poste ou départ d'un salarié, et prévoir en complément une revue complète au moins une fois par an, même en l'absence de mouvement de personnel.
La certification HDS impose-t-elle une gestion des habilitations ?
Oui pour l'hébergeur des données de santé : la certification HDS, obligatoire pour tout hébergement de données de santé à caractère personnel au titre de l'article L1111-8 du code de la santé publique, intègre des exigences de contrôle des accès et de gestion des habilitations. Cela ne dispense pas l'établissement lui-même de définir ses propres règles d'habilitation en interne.
La HAS impose-t-elle un critère spécifique sur les habilitations ?
Non, il n'existe pas de critère HAS isolé intitulé "gestion des habilitations". La sécurité des systèmes d'information de santé, dont la gestion des habilitations, relève du corpus PGSSI-S piloté par l'Agence du Numérique en Santé.
Que risque un établissement en cas d'accès non maîtrisés aux données de santé ?
La CNIL a mené 13 contrôles auprès d'établissements de santé entre 2020 et 2024 à la suite d'alertes sur des accès illégitimes au dossier patient informatisé, et a mis en demeure plusieurs établissements de sécuriser ces accès.
Une matrice à mettre en place dans votre outil qualité ?
Une démo de 20 minutes suffit pour voir comment OxcaSanté configure des comptes nominatifs, une cartographie des habilitations par rôle et un historique tracé de tous les accès.
Réserver une démoArticles connexes
- RGPD et données de santé : les obligations concrètes pour les petites structures en 2026
- Cybersécurité en établissement de santé : obligations et bonnes pratiques pour les petites structures
- Valider et diffuser un protocole qualité : la procédure étape par étape
Sources
- [1] CNIL · Données de santé : la CNIL rappelle les mesures de sécurité et de confidentialité pour l'accès au dossier patient informatisé (DPI) (officiel)
- [2] Légifrance · Article L1111-8 du code de la santé publique (officiel)
- [3] Légifrance · Article L1110-12 du code de la santé publique (définition de l'équipe de soins) (officiel)
- [4] Agence du Numérique en Santé · Certification HDS, hébergement des données de santé (officiel)
- [5] Agence du Numérique en Santé · PGSSI-S, gestion des habilitations d'accès au SI, guide pratique organisationnel (officiel)
La matrice présentée dans cet article est un exemple pédagogique proposé par OxcaSanté, à adapter à chaque établissement : elle ne constitue pas un modèle imposé par la CNIL, la HAS ou un texte réglementaire.