Comment sont gérées les données de santé au sein d’un groupe hospitalier ?

Le Groupement hospitalier de territoire (GHT) Est-Hérault et Sud-Aveyron comprend dix établissements dont le CHU de Montpellier. Plus de 11 000 personnes y travaillent au quotidien sans compter les éventuels prestataires extérieurs. Médecins, infirmiers, aides-soignants, préparateurs en pharmacie, cuisiniers, agents d’entretien, secrétaires ou encore comptables s’y croisent. Ainsi qu’une autre catégorie de professionnels dont l’importance est capitale : le personnel rattaché aux systèmes d’information. Le GHT en emploie plus de 80.

Leur mission est très sensible puisqu’ils sont notamment chargés de veiller sur la base de données de santé des divers établissements du groupe, centre de référence de certaines pathologies, sur un territoire de plus de 900 000 habitants qui brasse, par ailleurs, une population touristique dense. Plusieurs millions de dossiers médicaux y sont informatisés.

« Il est impossible de quantifier ce flux en nombre de données. Le système d’information est une grosse machinerie de mille serveurs, de plusieurs centaines d’applications et de matériel biomédical associé. Il encadre aussi la logistique industrielle, celle des transports, la sécurité incendie… », observe Vincent Templier, responsable de la sécurité des systèmes d’information et délégué à la protection des données de santé du groupement hospitalier de territoire Est-hérault et Sud Aveyron.

L’accès aux données de santé est restreint au maximum

Les données de santé collectées et numérisées lors des admissions dans les divers services des établissements passent par des procédés de chiffrement et autres sécurisations. Elles sont utilisées à différents stades du parcours de soin du patient. Elles sont consultées par les équipes de soignants et elles peuvent s’avérer utiles, par exemple, à la confection des repas.

« On en sert un million chaque année. La préparation et les aliments peuvent différer en fonction des caractéristiques et des pathologies des patients. La bonne adaptation du processus de préparation des repas implique d’en avoir connaissance », explique Laurent Wilmann-Courteau, directeur du pôle numérique en santé et de la protection des données du CHU de Montpellier.

Dans l’ensemble des processus à gérer, la consultation des données est limitée à l’objectif et à la mission de celui qui y a recours. Ce dernier est tenu à une obligation de confidentialité. « C’est restreint au maximum. Un médecin, par exemple, n’aura accès qu’aux données médicales », ajoute Vincent Templier. Une commission d’habilitation décide de la pertinence de la délivrance de ces accès. Un code nominatif est attribué aux personnes habilitées.

Toute opération effectuée sur un dossier de patient est tracée

À l’ouverture du contrat de travail d’un agent hospitalier, la matrice d’habilitation va le positionner sur sa mission et sa spécificité. Toutes les opérations effectuées sur les dossiers médicaux des patients sont tracées. Le personnel n’a que le visu des données de santé des personnes dont il a la charge. En fin de contrat, le compte de l’agent est automatiquement verrouillé.

Les données de santé incluses dans la base gérée par le GHT Est-Hérault et Sud-Aveyron restent strictement réservées aux établissements membres. « L’hôpital de Millau, qui fait partie du groupe, pourra consulter le dossier d’un patient de Montpellier si ce dernier est admis dans ses services. Un établissement privé ou public qui n’est pas dans le GHT, même s’il est proche géographiquement, ne le pourra pas », précise Vincent Templier.

En principe, les dossiers des patients sont conservés vingt ans. Il peut exister des variantes. « Quand un patient décède, on doit garder ses données de santé durant un certain temps car elles peuvent, par exemple, être consultées à la demande de la justice ou pour le besoin de la recherche si la pathologie dont souffrait le patient représente un intérêt », poursuit le responsable de la sécurité des systèmes d’information.

La numérisation des données est un gain de temps considérable

La numérisation des données de santé est récente. Auparavant, tout se faisait sur du papier. « C’était très compliqué. On pouvait mettre des jours pour accéder au dossier d’un patient, avec toutes les conséquences que cela impliquait, alors qu’aujourd’hui cela ne prend que quelques secondes », témoigne Laurent Wilmann-Courteau.

De surcroît, les dossiers numérisés peuvent être lus par plusieurs services à la fois alors qu’il était difficile, voire impossible, de dupliquer les données de santé consignées sur le papier. Le GHT Est-Hérault et Sud Aveyron a massivement informatisé son dossier patient.

Toute cette gestion de collecte, de consultation et de conservation répond à une réglementation lourde et stricte et implique un budget important. « Ces lois, consignes et autres aménagements contraignants le sont encore plus pour les petites structures, notamment les cabinets libéraux qui ne disposent pas d’autant de moyens », reconnaît Vincent Templier.

Sensibiliser les personnels aux dangers des cyberattaques

Le piratage des données de santé est un sujet très sérieux pour les responsables des systèmes d’information. Les établissements de santé sont une cible de choix pour les hackers. Les hôpitaux de Versailles et de Brest en ont fait récemment les frais. « C’est dur d’échapper aux attaques toujours plus offensives. Notre objectif est d’essayer de mettre des difficultés supplémentaires aux cybercriminels pour qu’ils abandonnent leur forfait et de diminuer l’impact de la fuite de données sur le parcours de soins », admet Vincent Templier.

Les cyberpirates, très bien organisés, recrutent des experts qu’ils paient royalement et sont souvent localisés à l’étranger. « Cela complique les poursuites judiciaires ». Ils sont friands du phishing, autrement dit des techniques de l’hameçonnage. « Ils vont envoyer des mails en invitant au clic. Auparavant, on pouvait les distinguer à l’œil nu, grâce aux fautes d’orthographe. Les progrès de l’intelligence artificielle ont amélioré les procédés », constate Laurent Wilmann-Courteau.

Les solutions performantes de détection de spams et de phishing permettent d’éliminer le plus gros des messages suspects. Les personnels de tous les services du GHT sont sensibilisés au piratage. « On les forme à être vigilants, à choisir de bons mots de passe, à faire le distinguo entre les sphères numériques professionnelle et privée, à ne pas utiliser n’importe quelle clé USB… ».

Les établissements de santé épaulés par l’Etat pour plus de cybersécurité

La sécurité des postes de travail est renforcée en permanence. « Il ne faut pas y laisser transiter des données. Nous avons déjà eu des vols d’ordinateurs », continue le responsable de la sécurité des systèmes d’information. Avec son collègue et leurs équipes, il planche sur des exercices de crises pour anticiper au mieux les attaques et l’absence de connexions. « On réapprend à travailler comme dans les années 90 si l’on devait se passer du numérique pendant un temps ».

La cybersécurité est l’une des priorités des établissements de santé depuis peu d’années. « Nous accusons un certain retard en France du fait de la récente informatisation des données. Nous le rattrapons progressivement face à un ennemi toujours plus performant. En haut lieu, on a enfin pleinement conscience de cette problématique », se félicitent les deux responsables qui saluent le soutien financier dont ils bénéficient au sein du GHT et l’accompagnement de l’Etat avec des plans comme France relance.

Légende : Laurent Wilmann-Courteau et Vincent Templier sont les responsables d’un service très sensible au sein du Groupement hospitalier de territoire Est-Hérault et Sud-Aveyron.