DMP / Mon espace santé, carte CPS, MSSanté, logiciel métier : qui a accès à quoi dans votre cabinet ?
Le dossier médical de Mon espace santé ne s'ouvre qu'aux professionnels que le patient n'a pas bloqués, selon une grille par profession, et chaque accès est tracé et notifié au patient. Le point faible est rarement là : c'est l'intérieur du cabinet, avec une carte CPS laissée dans le lecteur, un code confié au secrétariat ou le compte d'un remplaçant parti. La règle à appliquer est simple : chacun son compte et son moyen d'identification, et chacun ne voit que ce dont il a besoin pour travailler.
Deux portes vers les données de vos patients
Dans un cabinet, les données de santé passent par deux portes bien différentes. La première donne sur les données partagées : le dossier médical partagé (DMP) de Mon espace santé, alimenté notamment par les hôpitaux, les médecins et les pharmacies, et la messagerie sécurisée de santé (MSSanté), qui sert aux échanges entre soignants.
La seconde porte, c'est votre logiciel métier et les ordinateurs du cabinet. Là, ce n'est plus l'Assurance Maladie qui contrôle : c'est vous. Qui a un compte, qui voit les notes cliniques, qui peut ouvrir un dossier depuis le secrétariat : tout dépend des réglages que vous (ou votre informaticien) avez faits, ou pas faits.
La première porte est plutôt bien gardée. La seconde l'est souvent beaucoup moins. C'est elle qui mérite votre attention.
Ce qui ouvre le dossier médical de Mon espace santé
L'Assurance Maladie résume les règles ainsi : seuls les professionnels qui soignent le patient, et qu'il n'a pas bloqués, accèdent à son dossier, et chacun ne voit que ce que son métier justifie.
- Une grille d'autorisation par profession. Chaque professionnel ne voit que les documents nécessaires à la prise en charge de son patient, selon sa spécialité.
- Le patient décide. Il peut autoriser ou bloquer un professionnel précis, masquer un document à certains professionnels, ou masquer tous ses documents.
- Tout est tracé. Chaque action d'une autre personne que le titulaire apparaît dans l'historique d'activité du profil et déclenche une notification par courriel.
- L'urgence est encadrée. Le patient choisit à l'avance si le médecin régulateur du SAMU-Centre 15, ou un professionnel face à un risque immédiat pour sa santé, peut consulter ses documents.
Pour accéder aux données de santé, le professionnel s'identifie avec sa carte CPS (carte de professionnel de santé) ou sa version sur téléphone, l'e-CPS, par exemple via le service d'identification Pro Santé Connect. C'est ce qui permet de savoir qui a ouvert quoi. À une condition : que la carte serve à une seule personne.
Les clés et leurs pièges
| Clé | À quoi elle sert | Le piège au cabinet |
|---|---|---|
| Carte CPS ou e-CPS | Prouve quel professionnel est connecté | Carte laissée dans le lecteur, code confié au secrétariat |
| Carte de personnel d'établissement (CPE) | Identifie un membre du personnel non soignant | Ne pas en demander et faire travailler l'accueil sur la carte du médecin |
| Boîte de messagerie sécurisée (MSSanté) | Échanger des données de santé entre soignants | Une délégation au secrétariat ou à un remplaçant jamais retirée |
| Compte du logiciel métier | Ouvrir les dossiers du cabinet | Une session « cabinet » partagée par tout le monde |
La CNIL est explicite dans son référentiel pour les cabinets médicaux et paramédicaux : la carte CPS reste strictement personnelle, sans communication du code secret au personnel du cabinet, par exemple au secrétariat. Pour l'équipe, elle propose une authentification renforcée par code à usage unique, ou une carte CPE à demander à l'Agence du numérique en santé.
MSSanté : la délégation, oui, mais sous votre responsabilité
Depuis fin 2025, la messagerie sécurisée Mailiz (proposée par l'Agence du numérique en santé et les Ordres) permet au titulaire d'une boîte de déléguer l'accès à un secrétaire, un assistant médical ou un médecin remplaçant. Les conditions d'utilisation sont claires : le délégataire agit sous la responsabilité et pour le compte du titulaire. C'est une bonne nouvelle, car cela évite de partager sa carte. Encore faut-il retirer la délégation quand la personne s'en va.
Le vrai trou : l'intérieur du cabinet
Exemple, inventé pour illustrer. Un cabinet de groupe fictif : trois médecins, une secrétaire, un remplaçant pendant l'été. Le matin, le premier médecin arrivé ouvre sa session sur le poste de l'accueil, insère sa carte CPS et la laisse dans le lecteur pour que la secrétaire puisse « préparer les dossiers ». Le compte du remplaçant, parti en septembre, est toujours actif dans le logiciel. Sa délégation sur la messagerie sécurisée aussi.
Rien de tout cela ne déclenche d'alerte : toutes les connexions se font au nom d'un médecin. Mais en pratique, n'importe qui passant derrière le comptoir peut lire le dossier complet de n'importe quel patient, et l'historique dira que c'était le médecin. Le jour où un patient vous demande qui a consulté son dossier, vous ne pourrez pas répondre.
Le référentiel de la CNIL fixe pourtant la règle pour le secrétariat : il ne doit avoir accès qu'aux informations nécessaires à ses missions, c'est-à-dire la gestion du cabinet et des rendez-vous, et seulement à certaines informations médicales, dans des conditions strictement limitées. Ce texte n'est pas obligatoire, mais un cabinet qui s'en écarte doit pouvoir justifier pourquoi (CNIL).
Qui doit voir quoi : la grille à poser
La bonne question n'est pas « qui a un mot de passe ? » mais « de quoi chaque personne a-t-elle besoin pour faire son travail ? ». Voici une grille de départ, à adapter à votre cabinet.
| Rôle | Doit voir | Ne doit pas voir |
|---|---|---|
| Médecin titulaire | Les dossiers de ses patients, le DMP quand c'est utile | Rien à retirer, mais sa carte CPS et son code restent à lui |
| Médecin remplaçant ou collaborateur | Les dossiers des patients qu'il prend en charge, avec son propre compte et sa propre carte | Le compte d'un autre médecin ; un accès qui survit à son départ |
| Secrétaire, accueil | Agenda, coordonnées, facturation, courriers par délégation | Notes cliniques et résultats au-delà du strict nécessaire |
| Prestataire informatique | Les machines, sur demande, avec un accès tracé | Un accès permanent et non surveillé aux dossiers |
| Ancien collaborateur | Rien | Tout : compte et délégations fermés le jour du départ |
Pour le prestataire, la CNIL rappelle qu'il accède aux données dans le respect du secret médical, qu'un contrat de sous-traitance doit être signé avec lui, et que tout stockage de données de santé à distance doit se faire chez un hébergeur certifié pour les données de santé (HDS).
Lundi matin : sept gestes concrets
- Une personne, un compte. Chaque médecin, chaque remplaçant et la secrétaire ont leur propre identifiant dans le logiciel métier. Plus de session « cabinet » partagée.
- La carte CPS ne quitte jamais son titulaire et ne reste pas dans le lecteur quand il quitte le poste. Son code n'est connu de personne d'autre.
- Verrouillage automatique des écrans après quelques minutes d'inactivité, surtout à l'accueil, visible depuis la salle d'attente.
- Faites la liste des comptes actifs dans le logiciel et des délégations sur la messagerie sécurisée. Fermez celles des personnes parties, puis refaites cette revue au moins une fois par an.
- Séparez l'administratif du médical : la secrétaire voit l'agenda et les coordonnées, pas les notes cliniques. Si le logiciel ne sait pas le faire, demandez-le à l'éditeur.
- Équipez le personnel d'une identification propre : carte CPE ou code à usage unique, plutôt que la carte d'un médecin.
- Demandez à votre prestataire informatique comment il se connecte à vos machines, qui chez lui a cet accès, et si ces connexions sont enregistrées.
Si un accès anormal est découvert
Un patient peut voir lui-même, dans l'historique d'activité de Mon espace santé, qui a consulté son dossier partagé. Pour votre logiciel, c'est à vous de pouvoir répondre, d'où l'importance des comptes nominatifs et de la journalisation des accès que recommande la CNIL.
Si une personne non autorisée a consulté des dossiers, c'est une violation de données : la CNIL attend une notification initiale dans les 72 heures si possible, sauf si la violation ne présente pas de risque pour les patients (rare avec des données de santé). Fermez l'accès, gardez les traces de connexion, puis faites le point sur les dossiers concernés.
Vérifier les accès de votre cabinet→
Questions fréquentes
Ma secrétaire peut-elle utiliser ma carte CPS ?
Non. La CNIL recommande que la carte CPS reste strictement personnelle et que son code ne soit pas communiqué au personnel du cabinet. Pour la secrétaire, prévoyez une identification propre : carte de personnel d'établissement (CPE) ou code à usage unique.
Ma secrétaire peut-elle gérer ma messagerie sécurisée de santé ?
Oui, par délégation. Sur Mailiz, le titulaire d'une boîte peut déléguer l'accès à un secrétaire, un assistant médical ou un remplaçant, qui agit sous sa responsabilité. Pensez à retirer la délégation quand la personne quitte le cabinet.
Un patient peut-il empêcher un professionnel de voir son dossier Mon espace santé ?
Oui. Il peut bloquer un professionnel précis, masquer un ou tous ses documents, et choisir à l'avance si les professionnels peuvent y accéder en urgence. Il voit aussi dans l'historique d'activité chaque action faite par une autre personne que lui.
Mon prestataire informatique peut-il voir les dossiers de mes patients ?
Il peut y avoir accès pour la maintenance, dans le respect du secret médical et avec un contrat de sous-traitance signé. Son accès doit être ouvert sur demande et enregistré, jamais permanent et invisible. Si vos données sont stockées chez lui, il doit être certifié hébergeur de données de santé (HDS).
Un ancien collaborateur a consulté des dossiers après son départ : que faire ?
Fermez immédiatement son compte et ses délégations, gardez les traces de connexion et identifiez les dossiers consultés. C'est une violation de données : la CNIL attend une notification initiale dans les 72 heures si possible, sauf si la violation ne présente pas de risque pour les patients (rare avec des données de santé).