LinkedIn
Systèmes d’information, cybersécurité & qualité
Risques numériques en santé – Cybersécurité, conformité HAS & bonnes pratiques
Sécurité des SI, erreurs numériques, RGPD, traçabilité & préparation à l’évaluation HAS
Les risques numériques en santé touchent désormais tous les établissements : SI de soins, dossiers informatisés, outils connectés, HAD, ESSMS. La Certification HAS renforce ses attentes sur la sécurité des systèmes d’information, la gestion des accès, la traçabilité et la prévention des erreurs numériques impactant la prise en charge. Cette page rassemble l’essentiel : typologie des risques, exigences HAS, bonnes pratiques des équipes, cybersécurité, RGPD et ressources opérationnelles (PDF, replay, webinaire du 10 mars 2026).
Contexte & enjeux
La numérisation des soins (dossiers informatisés, prescriptions connectées, télésanté, outils mobiles) améliore la coordination mais expose les établissements à de nouveaux risques numériques : erreurs de saisie, défauts de traçabilité, cyberattaques, fuites de données, mauvais droits d’accès.
Ces risques peuvent impacter directement la sécurité des patients, la qualité des prises en charge, le secret professionnel et la continuité d’activité. Ils deviennent un axe fort des évaluations HAS et des politiques nationales de cybersécurité en santé.
Risques numériques : définition & périmètre
Les risques numériques en santé recouvrent l’ensemble des incidents et vulnérabilités liés aux systèmes d’information, aux données et aux usages : erreurs de saisie dans le dossier patient, défauts de traçabilité, mauvaise identification, accès inappropriés, intrusions, blocage du SI, fuites d’informations.
- Processus numérisés : prescription, transmissions, planification, résultats, télésuivi.
- Systèmes d’information : DPI, logiciels médicotechniques, serveurs, réseaux, sauvegardes.
- Pratiques humaines : mots de passe, vigilance sur les mails, partage d’accès, usage des terminaux.
- Données sensibles : données de santé, dossiers sociaux, comptes-rendus, résultats, images.
Exigences HAS & cadre réglementaire
La HAS intègre la dimension numérique dans ses référentiels : sécurité du système d’information, qualité de la documentation, identitovigilance, gestion des droits d’accès, traçabilité des actions, gestion des incidents et des événements indésirables numériques.
- Certification sanitaire : attentes sur la maîtrise des SI, la traçabilité, la sécurité des flux.
- Évaluation ESSMS : prise en compte du numérique (dossiers, échanges, droits, confidentialité).
- Cadre réglementaire : RGPD/CNIL, doctrine du numérique en santé, référentiels nationaux (identité, sécurité).
L’objectif n’est pas seulement la conformité : la HAS attend des organisations capables de détecter, analyser et corriger les incidents numériques, et d’en tirer un retour d’expérience.
Risques liés au SI & au dossier patient/usager
Le dossier patient ou dossier usager informatisé est au cœur des risques numériques : une erreur de saisie, une identité erronée ou une information manquante peuvent entraîner un événement indésirable associé aux soins.
- Erreurs de saisie : posologie incorrecte, résultat saisi au mauvais endroit, mauvaise date.
- Problèmes d’identification : dossier doublon, mauvaise identité, confusion entre deux personnes.
- Traçabilité insuffisante : actions non tracées, historique incomplet, décisions non documentées.
- Partage non maîtrisé : documents envoyés au mauvais destinataire, pièces jointes inadaptées.
Pratiques des équipes & risques humains
La majorité des incidents numériques impliquent des facteurs humains : pratiques de connexion, organisation des postes, partage d’accès, vigilance sur les mails, gestion des urgences. La prévention passe par la formation, des règles simples et des rappels réguliers.
- Mots de passe : trop simples, réutilisés, partagés au sein d’une équipe.
- Sessions ouvertes : postes non verrouillés, usage de comptes génériques.
- Matériel : clé USB non sécurisée, accès sur appareil personnel non maîtrisé.
- Mails & phishing : clic sur un lien suspect, pièce jointe infectée, usurpation d’identité.
Une culture de sécurité numérique se construit par des campagnes de sensibilisation, des messages réguliers, des exemples concrets issus du retour d’expérience (CREX, RMM).
Cybersécurité & gestion des accès
La cybersécurité englobe la protection contre les intrusions, les rançongiciels, les fuites de données et les détournements de comptes. Elle repose sur des mesures techniques, mais aussi sur une gestion rigoureuse des accès et des droits.
- Gestion des comptes : création, modification, suppression à jour (arrivées/départs/mobilités).
- Mots de passe & authentification : politique de robustesse, double authentification si possible.
- Sauvegardes : planifiées, testées, accessibles en cas de crise.
- Plan de réponse : procédure en cas d’attaque ou panne majeure, rôle de chacun.
Erreurs numériques : typologie & prévention
Les erreurs numériques pouvant impacter la prise en charge sont nombreuses. Les identifier aide à configurer les barrières de sécurité et les formations ciblées.
- Erreurs d’identification : utilisation du mauvais dossier, confusion d’identité.
- Erreurs de saisie : donnée médicale ou médicamenteuse incorrecte ou incomplète.
- Erreurs de transmission : information non transmise, ou à la mauvaise personne.
- Erreurs d’accès : accès non autorisé, consultation de données sans lien avec la prise en charge.
- Erreurs de gestion des fichiers : suppression, perte, diffusion non maîtrisée.
La prévention combine procédures claires, formation, double contrôle, audits ciblés et amélioration continue des interfaces logicielles lorsque c’est possible.
RGPD & confidentialité des données
Le RGPD et le secret professionnel s’appliquent pleinement aux données de santé. L’établissement doit démontrer une gouvernance claire : DPO identifié, registres de traitements, gestion des droits, information des personnes, procédures en cas de violation de données.
- Principe de minimisation : ne collecter que ce qui est nécessaire.
- Droits des personnes : accès, rectification, limitations, modalités de réponse.
- Confidentialité : accès restreints, locaux sécurisés, impression maîtrisée.
- Traçabilité : journalisation des accès, suivi des actions.
Management qualité & pilotage du risque numérique
Le risque numérique doit être intégré au management global de la qualité et de la gestion des risques : cartographie, plan d’actions, indicateurs, revue de direction, CREX.
- Cartographie des risques : identification des scénarios à forts enjeux (identité, médicament, continuité SI).
- Plan d’actions : priorisation, responsables, échéances, suivi.
- Indicateurs : incidents SI, erreurs numériques, temps d’indisponibilité, formation des équipes.
- Retour d’expérience : intégration des incidents numériques dans les CREX/RMM.
Préparer l’évaluation HAS sur le risque numérique
Étape 1 : diagnostic & écarts
Commencez par un diagnostic ciblé : état des SI, pratiques de connexion, droits d’accès, gestion des incidents, traçabilité, indicateurs existants. Identifiez les écarts par rapport aux exigences HAS et aux référentiels nationaux.
- Revue documentaire (charte, procédures, habilitations, registre incident SI).
- Entretiens avec le SI, les cadres, les équipes de terrain.
- Analyses d’incidents numériques déjà survenus.
Étape 2 : plan d’actions & preuves
Construisez un plan d’actions réaliste : priorités sur l’identitovigilance, la gestion des accès, la traçabilité, la sensibilisation des équipes. Préparez un référentiel de preuves facilement accessible pour les experts-visiteurs.
- Tableau maître : critères ↔ risques numériques ↔ actions ↔ preuves.
- Suivi des formations (sessions, taux de couverture, supports).
- Exemples de CREX / REX intégrant des incidents numériques.
Ressources, replay & webinaire
Formations et accompagnements finançables via QUALIOPI, OPCO et, selon les dispositifs, DPC. Référente : Séverine BOICHOT.
FAQ – Risques numériques en santé
Quels sont les principaux risques numériques en santé ?
Erreurs de saisie, défauts de traçabilité, mauvaise identification, accès inappropriés, cyberattaques, pertes ou fuites de données, transmission erronée de documents.
Pourquoi la HAS s’intéresse-t-elle au risque numérique ?
Parce qu’un incident numérique peut compromettre la sécurité du patient, la qualité de la prise en charge, la continuité des soins et le respect de la confidentialité.
Comment préparer l’évaluation HAS sur ce thème ?
En réalisant un diagnostic, en intégrant le risque numérique dans la cartographie des risques, en formant les équipes, en structurant les procédures et en documentant les preuves attendues.
Les professionnels de terrain sont-ils concernés ?
Oui, tous : soignants, administratifs, cadres, SI. Les pratiques quotidiennes de connexion, de saisie, de partage et de traçabilité sont au cœur de la prévention des risques numériques.