Dossiers numériques en homéopathie : guide de confidentialité
Note éducative, juridique et de sécurité : Ce guide présente des pratiques générales de gouvernance documentaire et d’évaluation logicielle. Il ne constitue pas un avis juridique, de cybersécurité ou médical. Les obligations varient selon la juridiction, le statut professionnel et le traitement réel. Sollicitez un conseil local qualifié ; les contrôles logiciels ne remplacent ni diagnostic, ni protection des personnes vulnérables, ni orientation, ni procédure d’urgence.
Réponse rapide : comment protéger les dossiers numériques des clients ?
Traitez les dossiers clients numériques comme un cycle de vie gouverné, pas comme un dossier protégé par mot de passe. Cartographiez d’abord ce qui est collecté, pourquoi, où cela réside, qui y accède, à qui c’est communiqué et quand la conservation prend fin. Limitez ensuite les droits, employez une authentification forte et des appareils maintenus, testez sauvegarde et export, clarifiez le rôle des fournisseurs et formalisez incident et suppression.
Le cadre légal dépend du lieu et du statut. Dans le RGPD, les données concernant la santé sont une catégorie particulière ; leur traitement nécessite une base de l’article 6 et une condition de l’article 9. Aux États-Unis, HIPAA ne s’applique pas automatiquement à tout praticien ou toute application de santé. Un badge commercial ne décide pas de l’applicabilité.
Principes à retenir
- Minimiser avant de sécuriser : une donnée inutile non collectée ne pourra être divulguée ni conservée trop longtemps.
- Préserver la provenance : distinguer récit du client, observation, interprétation, rubrique et proposition d’IA.
- Concevoir la continuité : export exploitable et restauration testée protègent en cas de panne ou de disparition du fournisseur.
- Exiger des preuves précises — contrat, sous-traitants ultérieurs, périmètre et date d’audit — plutôt qu’un vague « conforme ».
Pourquoi ces dossiers exigent un modèle délibéré
Un cas classique peut contenir antécédents, médicaments, relations familiales, sommeil, peurs, expériences intimes, propos de tiers et interprétations. Le préjudice peut venir d’une divulgation, mais aussi d’une altération, d’une attribution erronée ou d’une indisponibilité au suivi.
Le guide de prise de cas et documentation du suivi traite de la traçabilité du contenu. Ici, la question est différente : comment gouverner ce dossier de la collecte à la suppression ? Davantage de détails ne signifie pas toujours meilleur dossier, et une sécurité renforcée ne justifie pas une collecte sans finalité. Le workflow de gestion du cabinet d’homéopathie structure états, responsables, transmissions et prochaines actions.
Étape 1 : dresser une carte des données sur une page
Incluez formulaires papier et scans, courriels, messagerie, agenda, visioconférence, paiements, tableurs, exports du répertoire, sauvegardes et supports pédagogiques — pas seulement l’application principale.
| Ensemble | Finalité | Emplacement courant | Accès | Déclencheur de conservation |
|---|---|---|---|---|
| Identité et contact | identifier et communiquer | profil client | praticien ; administration nécessaire | fin de relation + délai applicable |
| Recueil initial et consentement | contexte, portée, autorisations | dossier initial | praticien | changement ou calendrier |
| Note de séance | récit, observation, chronologie | séance datée | praticien | règle professionnelle/légale |
| Analyse répertoriale | rubriques, sources, raisonnement | analyse liée | praticien | avec le dossier du cas |
| Agenda et facturation | faire fonctionner le cabinet | agenda/comptabilité | minimum nécessaire | délai fiscal/contractuel |
| Messages et fichiers | coordonner le suivi et recevoir des documents | courriel/portail/appareil | destinataires désignés | verser le nécessaire au dossier ; supprimer les doublons |
| Sauvegarde et export | reprise ou migration | stockage protégé | rôle restreint | rotation et suppression vérifiée |
Pour chaque ligne : quoi, pourquoi, où, qui, avec qui, jusqu’à quand ? Ajoutez la base juridique ou la justification locale avec un conseil qualifié et signalez les inconnues. Un sous-traitant inconnu ou un dossier Téléchargements oublié est une anomalie à traiter, pas un blanc à combler par supposition.
Des couches reliées mais distinctes
Séparez : (1) identité, (2) mots et documents datés du client, (3) observation directe, (4) interprétation de travail, (5) rubriques et sources, (6) comparaison de suivi, (7) événements système : accès, correction, export, suppression. La personne chargée du rendez-vous peut avoir besoin de l’heure et du contact, pas du récit intime.
Étape 2 : limiter finalité et volume
L’article 5 du RGPD pose notamment limitation des finalités, minimisation, exactitude, limitation de conservation, intégrité, confidentialité et responsabilité. Ces principes offrent de bonnes questions de conception hors UE, sans remplacer le droit local.
Avant d’ajouter un champ :
- Quelle décision ou obligation sert-il ?
- Une formulation moins sensible suffit-elle ?
- Identifie-t-il inutilement un tiers ?
- Est-ce un fait d’une séance plutôt qu’un attribut permanent ?
- Comment corriger sans masquer l’historique ?
- Quel événement déclenche la durée de conservation ?
Le texte libre mérite un contrôle particulier : messages copiés, données de tiers et étiquettes spéculatives peuvent s’y pérenniser sans visibilité.
Étape 3 : définir les rôles et auditer le fournisseur
Les rôles suivent les faits, non le marketing. Souvent le cabinet détermine les finalités et moyens essentiels tandis que le service hébergé agit sur instruction. Intégrations, analytique, accès support et IA peuvent modifier l’analyse. Les lignes directrices du CEPD recommandent donc une appréciation fonctionnelle du responsable et du sous-traitant.
Lorsque ces règles s’appliquent, examinez le contrat : objet et durée, confidentialité, sécurité, sous-traitants ultérieurs, aide aux droits et incidents, restitution/suppression en fin de contrat et audit.
| Domaine | Demander | Signal d’alerte |
|---|---|---|
| Localisation | régions, transferts et lieux de sauvegarde | seulement « dans le cloud » |
| Accès | rôles, MFA, procédure du support, journal | comptes partagés |
| Sécurité | portée du chiffrement, mises à jour, vulnérabilités | « niveau militaire » non défini |
| Sous-traitants | liste à jour et avis de changement | aucune liste |
| Contrat | conditions du traitement, responsabilités et notification des incidents | politique de confidentialité proposée à la place du contrat pertinent |
| Reprise | fréquence, tests et responsabilités | sauvegarde automatique jamais restaurée |
| Portabilité | export exemple, format, pièces et métadonnées | PDF seul ou extraction payante |
| Sortie | restitution, suppression, expiration des sauvegardes | conservation indéfinie |
| IA | entraînement, rétention des requêtes, désactivation | entraînement par défaut sur les notes |
Une certification n’est probante que pour l’entité, le produit, la période et le périmètre audités. Datez l’examen et consignez le risque résiduel accepté.
Étape 4 : établir un socle de sécurité proportionné
Le NIST Cybersecurity Framework 2.0 regroupe les résultats sous Govern, Identify, Protect, Detect, Respond et Recover. Un petit cabinet n’a pas besoin de bureaucratie d’entreprise, mais d’un responsable et d’une action répétable par domaine.
- comptes nominatifs, mots de passe uniques, gestionnaire et MFA ;
- moindre privilège et retrait immédiat à la fin d’une collaboration ;
- chiffrement et verrouillage des appareils, systèmes maintenus et mises à jour ;
- corrections datées et historique d’activité utile ;
- sauvegarde protégée séparément du compte principal ;
- restauration périodique d’un échantillon et export exploitable ;
- procédure en cas d’indisponibilité ou fermeture du fournisseur.
La synchronisation n’est pas toujours une sauvegarde : effacement ou corruption peuvent se propager. Documentez périmètre, fréquence, chiffrement, accès aux clés, rotation, dernier test et suppléant du praticien. Utilisez si possible des données fictives afin de ne pas créer une nouvelle copie de production non maîtrisée.
Étape 5 : maintenir les productions de l’IA provisoires
Avant d’envoyer un récit, identifiez le fournisseur destinataire, le lieu et la durée de conservation des requêtes et sorties, l’usage pour l’entraînement, la suppression et la désactivation. Retirer le nom n’anonymise pas forcément un cas riche : dates, métier, famille et événements rares peuvent réidentifier.
Appliquez la règle S-R-C :
- Source : chaque suggestion importante renvoie à la note datée.
- Relecture : le texte généré reste visiblement provisoire jusqu’à acceptation, modification ou rejet.
- Changement visible : l’acceptation n’efface pas les mots d’origine ; les corrections restent datées.
La fluidité d’une inférence n’en fait pas un fait du profil. Les rubriques proposées doivent aussi suivre le guide de répertorisation et choix des rubriques. L’IA peut aider la recherche et l’organisation ; elle ne doit ni diagnostiquer ni prescrire automatiquement.
Étape 6 : concevoir conservation, rectification et suppression
« Tout garder toujours » n’est pas une politique. Un calendrier précise catégorie et responsable, finalité et autorité, événement initial, phase active et archive restreinte, exceptions comme un litige, méthode de suppression des exports et copies, et extinction des sauvegardes.
La rectification doit concilier exactitude et traçabilité : ajout daté, auteur et motif plutôt que réécriture silencieuse. L’articulation entre droits de la personne et obligations professionnelles doit être examinée localement.
Étape 7 : tester la portabilité et une sortie ordonnée
Un export échantillon doit comprendre profils, séances chronologiques, pièces jointes, rubriques et sources, relations, horodatages, auteurs et historique disponible. Un format lisible par machine doit compléter les copies lisibles. Des PDF se lisent mais migrent mal ; un format propriétaire sans documentation n’assure pas davantage la continuité.
Pour migrer : fixer un point d’arrêt ou réconcilier les changements, compter les dossiers, vérifier un échantillon, transférer par un canal approuvé, limiter l’ancien accès et obtenir la position du fournisseur sur suppression et expiration des sauvegardes. Ne supprimez l’ancien système qu’après validation du nouveau.
Étape 8 : préparer une fiche d’incident
- Contenir sans détruire les preuves : révoquer un accès, isoler un appareil, arrêter une intégration.
- Noter heure, systèmes, personnes, catégories et actions.
- Évaluer étendue, conséquences et obligations de notification.
- Communiquer par la voie requise sans assurance non étayée.
- Restaurer les données vérifiées et surveiller la récidive.
- Corriger le contrôle et mettre à jour cartes des données et risques.
Seuils et délais dépendent du droit. Les articles 33–34 du RGPD encadrent certaines notifications, sans donner la même obligation à tout événement. Suivez une procédure et un conseil qualifié.
Plan sur 30 jours
- Semaine 1 — Découvrir : inventaire des systèmes, appareils, intégrations, sauvegardes et doublons ; cartographie.
- Semaine 2 — Contrôler : MFA, suppression des comptes partagés, mises à jour, limitation des rôles.
- Semaine 3 — Vérifier : contrat, sous-traitants, IA, hébergement ; test de restauration et d’export.
- Semaine 4 — Pérenniser : correction des écarts, responsables, fiche d’incident et calendrier de revues.
Checklist réutilisable
Gouvernance
- Chaque catégorie possède finalité, responsable, lieu et déclencheur de conservation
- Les règles locales de confidentialité, dossier et profession ont été vérifiées
- L’information client décrit le traitement réel
- Les communications à des tiers ont une base et un périmètre minimum
Logiciel et sécurité
- Comptes nominatifs, moindre privilège et MFA sont actifs
- Appareils et applications sont maintenus, à jour et chiffrés si approprié
- Preuves contractuelles, d’hébergement et de sous-traitance sont conservées
- Restauration et export complet ont été testés
- Journal d’activité et comportement des corrections sont compris
IA et continuité
- Rétention, entraînement, localisation et suppression des requêtes sont vérifiés
- L’IA reste liée à la source, provisoire et relue
- Indisponibilité, incident, migration et sortie sont documentés
- Conservation et suppression sécurisée sont revues périodiquement
Questions fréquentes
Le cloud est-il assez sûr ?
« Cloud » n’est pas une évaluation. Examinez authentification, appareils, hébergement, chiffrement, accès du fournisseur, sous-traitants, contrat, reprise, export et pratiques internes. Un service bien géré réduit certains risques locaux, mais crée des dépendances à gouverner.
Le RGPD concerne-t-il tout homéopathe ?
Non, une analyse de l’établissement, du traitement lié aux personnes dans l’UE, du droit national et du statut est nécessaire. S’il s’applique, les données de santé bénéficient d’une protection particulière. L’emplacement d’un serveur ne suffit pas.
HIPAA s’applique-t-il parce que les notes contiennent des informations de santé ?
Pas automatiquement. Les règles fédérales HIPAA définissent des entités couvertes (« covered entities ») et des partenaires commerciaux (« business associates ») précis. Un praticien aux États-Unis doit déterminer son statut et ses obligations au titre du droit de l’État avec un conseil qualifié. La mention « HIPAA-ready » d’un fournisseur ne décide pas si le cabinet est couvert et ne remplace pas les accords requis.
Retirer les noms suffit-il avant d’utiliser l’IA ?
Pas nécessairement. Dates, profession, famille et événements rares peuvent réidentifier. Les données pseudonymisées restent personnelles au sens du RGPD lorsqu’une réattribution reste possible grâce à des informations supplémentaires.
À quelle fréquence exporter ?
Elle dépend de la perte acceptable, des capacités de reprise du fournisseur, de la charge et des obligations. Un calendrier documenté et un test de complétude, lisibilité, protection et restauration comptent davantage qu’un intervalle arbitraire.
À qui « appartient » le dossier ?
Propriété contractuelle, contrôle, garde et droits de la personne sont distincts. Vérifiez accès, export, rectification, conservation et suppression dans le contrat et le droit plutôt qu’un slogan.
Assurer la continuité sans créer une archive de surveillance
Un bon dossier est disponible au besoin, limité à sa finalité, traçable après modification et supprimable lorsque sa durée justifiée s’achève. Le but n’est pas la collecte maximale, mais une continuité fiable avec l’empreinte de données minimale défendable.
Sources et lectures
- Union européenne, Règlement (UE) 2016/679 (RGPD), notamment articles 5, 6, 9, 25, 28 et 32–34
- Comité européen de la protection des données, Lignes directrices 07/2020 sur responsable et sous-traitant
- CEPD, Sécuriser les données personnelles : guide pour petites entreprises
- ICO, Contenu du contrat responsable–sous-traitant
- Règles fédérales HIPAA des États-Unis, 45 CFR §160.102 — champ d’application et §160.103 — définitions, Cornell Legal Information Institute
- NIST, Cybersecurity Framework 2.0
- NIST, Privacy Framework
Cet article HomeoStudio soutient la formation professionnelle, une documentation respectueuse de la confidentialité et l’audit logiciel. Il ne revendique aucune efficacité clinique de l’homéopathie et n’encourage pas l’autoprescription.