Dossier Médical Électronique : Normes de Sécurité 2026

Le dossier médical électronique cumule deux régimes qui ne se recouvrent pas : celui de la protection des données personnelles, qui traite les informations de santé comme une catégorie particulière soumise à une interdiction de principe, et celui du Code de la santé publique, qui impose ses propres durées de conservation et ses propres droits d'accès. Une conformité au premier ne vaut pas conformité au second, et l'essentiel des manquements constatés vient de cette confusion.

L'hébergement : une certification obligatoire

Toute personne qui héberge des données de santé à caractère personnel pour le compte de tiers, à l'occasion d'activités de prévention, de diagnostic ou de soins, doit être certifiée à cet effet.

Cette obligation est structurante et souvent découverte tardivement. Elle ne dépend pas du volume de données ni de la taille de la structure : un cabinet qui confie son logiciel métier à un prestataire en ligne doit s'assurer que l'hébergement des données est assuré par un acteur certifié. La responsabilité de cette vérification incombe au responsable du traitement, c'est-à-dire au professionnel ou à l'établissement, et non au prestataire.

Deux points pratiques en découlent : le contrat de sous-traitance doit mentionner explicitement cette certification et son périmètre, et un changement de prestataire ou d'infrastructure suppose de revérifier cette couverture.

Le régime des données de santé

Les données concernant la santé relèvent d'une catégorie particulière dont le traitement est en principe interdit. Le traitement n'est licite que s'il relève d'une des exceptions limitativement prévues — notamment la prise en charge sanitaire, la médecine préventive, ou le consentement explicite de la personne.

Cette architecture inversée a une conséquence directe : pour chaque traitement, il faut être capable de désigner l'exception qui le fonde. Un usage secondaire des données — statistiques internes, amélioration d'un outil, recherche — ne se déduit pas de la licéité du traitement de soins ; il exige son propre fondement.

S'y ajoutent les obligations générales : registre des traitements, information des personnes, durées de conservation définies, analyse d'impact lorsque le traitement présente un risque élevé — ce qui est fréquemment le cas pour un dossier patient informatisé.

Les durées de conservation

Elles relèvent du Code de la santé publique et non du seul principe de limitation.

Le dossier médical constitué dans un établissement de santé se conserve vingt ans à compter du dernier séjour ou de la dernière consultation externe. Deux règles particulières s'y superposent :

• Pour un patient mineur au moment de la prise en charge, la conservation se prolonge jusqu'à son vingt-huitième anniversaire lorsque ce terme est plus éloigné.
• En cas de décès du patient moins de dix ans après le dernier passage, le dossier est conservé au moins dix ans à compter de la date du décès.

Ces délais sont suspendus par tout recours gracieux ou contentieux tendant à mettre en cause la responsabilité de l'établissement ou des professionnels.

L'articulation avec les délais d'action en responsabilité est directe : l'action se prescrit par dix ans à compter de la consolidation du dommage, et un dossier détruit prématurément prive le professionnel de son principal moyen de défense — enjeu détaillé dans notre article sur la responsabilité civile professionnelle.

La traçabilité des accès

C'est l'exigence la plus opérationnelle, et celle dont l'absence est la plus difficile à rattraper.

Chaque accès au dossier doit être journalisé : qui a consulté, quel élément, à quelle date. Cette journalisation remplit deux fonctions distinctes et complémentaires.

Elle prévient et détecte les accès indus, qui constituent l'une des violations les plus fréquentes en établissement — consultation du dossier d'un collègue, d'un proche, d'une personne connue.

Elle protège le professionnel, en permettant de démontrer qu'un accès reproché n'a pas eu lieu, ou qu'un accès contesté relevait bien de la prise en charge. Sans journal, un soupçon ne peut être ni établi ni écarté.

Les habilitations doivent en outre être différenciées selon les missions : l'appartenance à l'équipe de soins n'ouvre pas l'accès à l'ensemble du dossier, mais aux seules informations nécessaires, comme l'expose notre article sur le secret médical.

Le droit d'accès du patient

Le patient accède directement à l'ensemble des informations concernant sa santé, sans avoir à motiver sa demande.

La communication intervient au plus tôt après un délai de réflexion et au plus tard dans un délai qui s'allonge lorsque les informations datent de plus de cinq ans. Les frais éventuels se limitent au coût de reproduction et d'envoi.

Deux limites encadrent ce droit : les informations recueillies auprès de tiers n'intervenant pas dans la prise en charge en sont exclues, de même que celles concernant de tels tiers. Après le décès, l'accès des ayants droit obéit à un régime distinct, limité aux informations nécessaires au motif invoqué.

Scénarios d'usage

Changement de logiciel métier. Vérifier la certification d'hébergement du nouveau prestataire, la réversibilité des données, et le format d'export. Une migration sans plan de récupération expose à une perte de dossiers dont les délais de conservation courent toujours.

Cabinet de groupe. Différencier les habilitations par praticien et par patient plutôt que d'ouvrir l'ensemble du dossier à tous. C'est le point de contrôle le plus fréquent, et il relève de l'organisation autant que de la technique — sujet abordé dans notre article sur la conformité administrative d'un cabinet médical.

Demande d'accès d'un patient. Vérifier l'identité, isoler les informations exclues, respecter le délai applicable selon l'ancienneté. Tracer la demande et la réponse : le respect du délai se prouve.

Questions fréquentes

Faut-il un hébergeur certifié ? Oui, dès que des données de santé sont hébergées pour le compte d'un tiers dans un contexte de prévention, de diagnostic ou de soins. La vérification incombe au responsable du traitement, pas au prestataire.

Combien de temps conserver un dossier médical ? Vingt ans à compter du dernier passage en établissement, avec prolongation jusqu'aux vingt-huit ans du patient s'il était mineur, et dix ans minimum à compter du décès survenu dans les dix ans.

Le patient peut-il consulter son dossier ? Oui, directement et sans motif, dans les délais prévus, qui s'allongent pour les informations de plus de cinq ans. Seuls les frais de reproduction et d'envoi peuvent être demandés.

La journalisation des accès est-elle obligatoire ? Oui, et elle protège autant le professionnel que le patient : sans journal, un accès contesté ne peut être ni établi ni écarté.

Un professionnel peut-il consulter tout dossier de la structure ? Non. L'accès se limite aux informations nécessaires à sa mission dans la prise en charge du patient concerné. Les habilitations doivent être différenciées en conséquence.

Peut-on utiliser les données à des fins statistiques ? Pas au titre du traitement de soins. Tout usage secondaire exige son propre fondement de licéité, et le cas échéant une information spécifique des personnes.

À retenir

Deux régimes se superposent et doivent être traités séparément. La protection des données impose de désigner, pour chaque traitement, l'exception qui le rend licite — la finalité de soins ne couvre pas les usages secondaires. Le Code de la santé publique impose ses durées de conservation, qui se comptent en décennies et se suspendent en cas de recours.

Entre les deux, un dispositif sert les deux régimes à la fois : la journalisation des accès, associée à des habilitations différenciées. C'est ce qui permet de démontrer que la limite du « nécessaire à la mission » a été respectée, et c'est aussi ce qui protège le professionnel lorsqu'un accès lui est reproché. Le raisonnement rejoint celui applicable au recueil du consentement : ce qui n'est pas tracé ne peut être ni prouvé ni réfuté.