Sécuriser les échanges par email dans les établissements de santé : les bonnes pratiques à adopter
Dans les établissements de santé, l’envoi d’e-mails aux patients est une pratique courante : transmission de comptes rendus médicaux, résultats d’examens, ou encore suivi nutritionnel avec photos à l’appui. Pourtant, ces échanges anodins peuvent exposer des données sensibles à d’importants risques.
Dans cet article, découvrez nos conseils pour sécuriser vos communications électroniques et protéger les données personnelles de vos patients dans le respect des principes du RGPD.
Pourquoi l’utilisation de l’e-mail comme support de communication peut-il poser problème ?
Envoyer un e-mail est pratique et rapide. Mais il est important de comprendre qu’il ne s’agit pas d’un moyen de communication sécurisé.
Vous pouvez envoyer des données de santé au mauvais destinataire en tapant une adresse trop vite, l’e-mail peut être intercepté par un pirate informatique s’il transite sans protection. Pour finir, votre matériel informatique peut finir entre des mains malveillantes et son contenu lu par des personnes non habilitées.
Chacune de ces situations est constitutive d’une violation de données à caractère personnel qu’il faudra encadrer, notifier et éventuellement communiquer aux personnes concernées. Prenons le problème à la racine et adoptons dès à présent les bonnes habitudes afin d’éviter de tels cas de figure.
Quelles données doivent être protégées ?
Dans le cadre de votre activité vous pouvez être amené à traiter des informations sensibles. Par exemple : nom, prénom, adresse email, poids ou antécédents médicaux, compte-rendu de consultation, photos avant/après une perte de poids, plan alimentaire personnalisé.
Même si ces documents vous semblent « anodins », ils sont considérés comme des données personnelles de santé et doivent être traités avec précaution.
Les bonnes pratiques avant, pendant et après l’envoi
Voici les réflexes à adopter pour envoyer un document par email en toute sécurité :
Avant d’envoyer :
- Vérifiez bien l’adresse e-mail du destinataire.
- Assurez-vous, dans le cas d’un envoi groupé (plusieurs destinataires) de renseigner les adresses dans « Cci » afin qu’elles ne soient pas visibles (A n’a pas à savoir que B est suivi pour perdre du poids dans un centre minceur).
- Envoyez uniquement les informations nécessaires à la situation.
Évitez d’envoyer un document en pièce jointe non protégée.
Privilégiez :
- Une plateforme de messagerie sécurisée (si vous en avez une via votre logiciel métier).
- Le chiffrement du fichier (par exemple un fichier PDF protégé par mot de passe).
- Le partage via un lien sécurisé, avec expiration automatique et protection par mot de passe (ex. : Zed, WeTransfer Pro, Dropbox Business, ou des outils de santé).
Ne partagez jamais le mot de passe dans le même e-mail : envoyez-le par tout autre moyen à votre correspondant (SMS, téléphone…)
Après l’envoi :
- Supprimez les e-mails contenant des données sensibles, s’ils ne sont plus utiles.
- Archivez les documents dans un espace sécurisé (dossier patient dans un logiciel conforme, cloud sécurisé, etc.).
- Ne transférez pas les documents à d’autres personnes, sauf accord explicite du patient.
Des outils simples pour sécuriser vos envois
Vous n’avez pas besoin d’être experts en sécurité pour sécuriser vos envois ! Voici quelques solutions accessibles :
- Zed : conteneurs chiffrés dont l’ouverture est conditionnée par la communication d’un mot de passe
- ProtonMail ou Tutanota : services de messagerie chiffrée.
- PDF protégé par mot de passe (Adobe Acrobat, Word, etc.).
- WeTransfer Pro ou Dropbox Business : permettent un partage sécurisé avec mot de passe.
- 7-Zip ou WinRAR : pour compresser un document et lui ajouter un mot de passe.
Veillez à ne jamais utiliser des services grand public comme WhatsApp, Messenger ou Google Drive sans restriction pour envoyer des données de santé.
Un enjeu de confiance avec vos patients
Adopter de bonnes pratiques dans le traitement des données de santé de vos patients, ce n’est pas seulement se mettre en conformité avec la loi. C’est aussi :
- Veiller à la bonne sécurité de données sensibles.
- Renforcer votre relation de confiance.
- Prévenir tout risque de fuite de données qui impliquerait la mobilisation de tiers intervenants (DPO et RSSI dès la survenance de l’incident, CNIL au moment de la notification si la violation est avérée puis vos patients si elle représente un risque élevé pour leurs droits et libertés …)
Quelques gestes simples suffisent à rendre vos échanges par e-mail beaucoup plus sûrs. Mieux vaut prendre quelques minutes pour sécuriser votre envoi, qu’être confronté à la gestion d’une violation de données à caractère personnel.
