eHealth, Recip-e, dossier patient : qui a accès à quoi dans votre cabinet ?
Les données partagées (réseaux de santé, Recip-e) ne s'ouvrent qu'à un soignant qui a le consentement du patient, une relation thérapeutique avec lui et le droit de voir ce type de données selon son métier. Le point faible est rarement là : c'est l'intérieur du cabinet, avec une session ouverte au nom d'un médecin à l'accueil, une carte eID laissée dans le lecteur ou le compte d'un remplaçant parti. La règle à appliquer est simple : chacun son compte, et chacun ne voit que ce dont il a besoin pour travailler.
Deux portes vers les données de vos patients
Dans un cabinet, les données de santé passent par deux portes bien différentes. La première donne sur les données partagées : le dossier que les hôpitaux, les médecins et les pharmaciens mettent en commun par les réseaux de santé régionaux, et les prescriptions électroniques stockées sur Recip-e. La plateforme eHealth est l'institution publique fédérale qui relie tout cela et vérifie qui frappe à la porte.
La seconde porte, c'est votre logiciel de dossier médical et les ordinateurs du cabinet. Là, ce n'est plus l'État qui contrôle : c'est vous. Qui a un compte, qui voit les notes cliniques, qui peut ouvrir le dossier d'un patient depuis l'accueil : tout dépend des réglages que vous (ou votre informaticien) avez faits, ou pas faits.
La première porte est plutôt bien gardée. La seconde l'est souvent beaucoup moins. C'est elle qui mérite votre attention.
Ce qui ouvre la porte des données partagées
Pour qu'un soignant consulte les données partagées d'un patient, plusieurs conditions doivent être réunies en même temps. La plateforme eHealth et les réseaux de santé appliquent ces règles automatiquement.
- Le consentement du patient au partage électronique de ses données. Il est global : il vaut pour tous les soignants qui le prennent en charge. Le patient le gère sur MaSanté.
- Une relation thérapeutique, c'est-à-dire la preuve électronique que vous soignez réellement ce patient. La lecture de sa carte d'identité électronique (eID) la crée pour 15 mois, renouvelés à chaque nouvelle lecture.
- Le bon métier. Une grille d'accès fixe ce que chaque profession peut voir. Un médecin qui soigne le patient a accès à l'essentiel des données partagées ; les autres professions n'en voient qu'une partie, définie métier par métier.
- L'absence d'exclusion. Le patient peut exclure un soignant précis depuis MaSanté, et lever cette exclusion plus tard.
Si la carte du patient n'est pas disponible, le médecin peut encoder à la main son numéro de registre national et le numéro de sa carte. La plateforme eHealth le rappelle sans ambiguïté : cela ne peut jamais se faire à l'insu du patient. C'est un premier point à vérifier à l'accueil : personne ne doit « créer des liens » pour gagner du temps.
Les clés et leurs pièges
| Clé | À quoi elle sert | Le piège au cabinet |
|---|---|---|
| Carte eID du patient | Crée la relation thérapeutique (15 mois) | Encoder le numéro à la main sans le patient |
| Carte eID + code PIN du soignant | Prouve qui est la personne connectée | Carte laissée dans le lecteur, code connu de l'accueil |
| Certificat eHealth | Identifie le cabinet ou le soignant auprès d'eHealth, valable 3 ans | Mot de passe partagé, noté sur un papier, certificat expiré |
| Preuve de prescription (code-barres Recip-e) | Permet au pharmacien de retrouver l'ordonnance | Traitée comme un simple papier alors qu'elle concerne un traitement |
Le certificat eHealth mérite une phrase de plus. C'est un fichier installé dans votre logiciel, protégé par un mot de passe, qui permet au cabinet de dialoguer avec les services eHealth. Il est valable 36 mois et son titulaire est responsable de son usage. Pour une organisation, eHealth exige aussi que le fonctionnement interne garantisse que seules les personnes autorisées ont accès au système.
Recip-e : qui voit les prescriptions ?
Les prescriptions de médicaments sont stockées sur le serveur Recip-e. Le pharmacien les retrouve en scannant le code-barres de la preuve de prescription, ou avec la carte eID du patient. Depuis le 11 décembre 2023, un médecin peut aussi consulter les prescriptions faites par d'autres prescripteurs, toujours sur la base d'une relation thérapeutique (INAMI).
Le patient garde la main : dans l'application MaSanté de l'INAMI, il peut rendre une prescription invisible pour le pharmacien. Il la retire alors en montrant lui-même le code-barres.
Le vrai trou : l'intérieur du cabinet
Exemple, inventé pour illustrer. Un cabinet de groupe fictif : trois médecins, une secrétaire, un remplaçant pendant l'été. Le matin, le premier médecin arrivé ouvre sa session sur le PC de l'accueil, insère sa carte eID et la laisse dans le lecteur pour que la secrétaire puisse « préparer les dossiers ». Le compte du remplaçant, parti en septembre, est toujours actif. Le mot de passe du certificat eHealth est collé sous l'écran.
Rien de tout cela ne viole les contrôles d'eHealth : toutes les connexions se font au nom d'un médecin, avec ses liens thérapeutiques. Mais en pratique, n'importe qui passant derrière le comptoir peut lire le dossier complet de n'importe quel patient, et le journal dira que c'était le médecin.
L'Autorité de protection des données (APD) a rappelé le principe dans une décision de 2023, à propos d'un hôpital où tout le personnel médical pouvait lire un dossier très sensible : les seules personnes autorisées à accéder aux données sont celles dont la fonction ou les activités professionnelles justifient cet accès. Le principe vaut pour un cabinet de trois personnes comme pour un hôpital.
Le terrain n'est pas mieux préparé que l'exemple. Dans une enquête publiée en juin 2024 auprès de 903 médecins et pharmaciens belges, 19 % disaient avoir été victimes de cybercriminalité au cours des dix dernières années, et huit sur dix n'avaient suivi aucune formation en cybersécurité au cours des cinq années précédentes.
Qui doit voir quoi : la grille à poser
La bonne question n'est pas « qui a un mot de passe ? » mais « de quoi chaque personne a-t-elle besoin pour faire son travail ? ». Voici une grille de départ, à adapter à votre cabinet.
| Rôle | Doit voir | Ne doit pas voir |
|---|---|---|
| Médecin titulaire | Les dossiers de ses patients, les données partagées utiles | Rien à retirer, mais sa carte et son code restent à lui |
| Médecin remplaçant ou collaborateur | Les dossiers des patients qu'il prend en charge, avec son propre compte | Le compte d'un autre médecin ; un accès qui survit à son départ |
| Secrétaire, accueil | Agenda, coordonnées, données de facturation | Notes cliniques, résultats, données partagées |
| Prestataire informatique | Les machines, sur demande, avec un accès tracé | Un accès permanent et non surveillé aux dossiers |
| Ancien collaborateur | Rien | Tout : son compte doit être fermé le jour du départ |
Si votre logiciel ne permet pas de séparer l'administratif du médical, posez la question à son éditeur. C'est une demande légitime, et la réponse vous dira beaucoup sur l'outil.
Lundi matin : sept gestes concrets
- Une personne, un compte. Chaque médecin, chaque remplaçant et la secrétaire ont leur propre identifiant dans le logiciel. Plus de session « cabinet » partagée.
- La carte eID du médecin ne reste jamais dans le lecteur quand il quitte le poste, et son code PIN n'est connu de personne d'autre.
- Verrouillage automatique des écrans après quelques minutes d'inactivité, surtout à l'accueil, visible depuis la salle d'attente.
- Faites la liste des comptes actifs dans le logiciel et fermez ceux des personnes parties. Recommencez à chaque départ.
- Rangez le mot de passe du certificat eHealth dans un gestionnaire de mots de passe, et notez sa date d'expiration (3 ans) dans l'agenda.
- Vérifiez les droits de la secrétaire : qu'elle voie l'agenda et les coordonnées, pas les notes cliniques.
- Demandez à votre prestataire informatique comment il se connecte à vos machines, qui chez lui a cet accès, et si ces connexions sont enregistrées.
Si un patient demande qui a ouvert son dossier
Pour les données partagées, il garde la main : il peut exclure un soignant depuis MaSanté. Pour votre logiciel, c'est vous qui devez pouvoir répondre. Si tout le monde travaille sous le nom du même médecin, vous ne le pourrez pas.
Et si vous découvrez qu'une personne non autorisée a consulté des dossiers, il s'agit d'une violation de données : elle doit être notifiée à l'APD dans les meilleurs délais, si possible dans les 72 heures, sauf si elle ne présente pas de risque pour les patients.
Vérifier les accès de votre cabinet→
Questions fréquentes
Ma secrétaire peut-elle consulter les données partagées d'un patient sur eHealth ?
Non, pas en son nom propre. Les données partagées ne s'ouvrent qu'aux prestataires de soins qui ont une relation thérapeutique avec le patient, selon une grille par profession. Si la secrétaire les voit, c'est qu'elle travaille dans la session d'un médecin : c'est précisément ce qu'il faut éviter.
Combien de temps dure une relation thérapeutique créée avec la carte eID ?
15 mois, renouvelés à chaque nouvelle lecture de la carte. Si la carte n'est pas disponible, le médecin peut encoder le numéro de registre national et le numéro de carte à la main, mais jamais à l'insu du patient.
Un patient peut-il empêcher un soignant de voir ses données ?
Oui. Il peut exclure un soignant précis depuis MaSanté, et lever cette exclusion plus tard. Il peut aussi rendre une prescription invisible pour le pharmacien dans l'application MaSanté.
Que faire du certificat eHealth quand un médecin quitte le cabinet ?
Le certificat est lié à son titulaire, qui reste responsable de son usage. S'il s'agit du certificat personnel du médecin qui part, il ne doit plus servir au cabinet. S'il s'agit du certificat du cabinet, changez son mot de passe et vérifiez qui le connaît. Dans les deux cas, fermez aussi son compte dans le logiciel.
Un ancien collaborateur a consulté des dossiers après son départ : que faire ?
Fermez immédiatement son accès, gardez les traces de connexion et faites le point sur les dossiers consultés. C'est une violation de données : elle doit être notifiée à l'Autorité de protection des données dans les meilleurs délais, si possible dans les 72 heures, sauf absence de risque pour les patients.