RGPD en maison de repos : 10 points à vérifier dans votre logiciel

Les maisons de repos manipulent les données les plus sensibles qui soient

NISS, mutualité, statut BIM, données médicales, prescriptions, allergies, plan de soins, données familiales… Une maison de repos belge gère un patrimoine d’informations ultra-sensibles. Le RGPD et la loi belge sur les droits du patient sont stricts. Voici une checklist pratique pour vérifier que votre logiciel est à la hauteur.

1. Journal d’audit automatique sur toutes les opérations

Création, modification, suppression, export : chaque action sur une donnée résident doit être tracée dans un journal d’audit automatique et immuable.

2. Identification de l’utilisateur, de l’IP et de la session

Le journal doit indiquer qui a fait l’action (utilisateur + employé), depuis quelle adresse IP, et dans quelle session.

3. Une durée de conservation des journaux définie

Combien de temps les journaux sont-ils gardés, et qui peut les consulter ? La durée doit être définie, documentée dans votre registre des traitements, et respectée : pas de purge avant son terme.

4. Conservation des données de soins : 30 ans

Prescriptions, administrations, plans de soins et notes infirmières font partie du dossier du patient : la loi du 22 avril 2019 relative à la qualité de la pratique des soins de santé impose de le conserver au moins 30 ans après le dernier contact, 50 ans au plus.

5. Logs immuables (pas modifiables, pas supprimables)

Un journal d’audit qu’on peut effacer ne sert à rien. Vérifiez que les logs sont vraiment immuables dans votre logiciel.

6. Classification des données par sensibilité

Identité, données médicales, médication, données financières, données familiales : toutes n’ont pas la même sensibilité. Le logiciel doit permettre de traiter chaque catégorie selon son niveau de risque.

7. Droits d’accès par rôle et par secteur

Les aides-soignants ne doivent voir que les résidents de leur secteur. Les infirmiers chefs et médecins ont accès à tous les secteurs. Le personnel cuisine n’a accès qu’aux informations diététiques. Le RGPD impose ce principe de minimisation des accès.

8. Droits du patient : la santé, seulement avec accord

La loi relative aux droits du patient protège le dossier médical : un proche n’y a pas accès de plein droit. Un portail famille ne doit montrer des informations de santé qu’avec l’accord de la personne ou de son représentant.

9. Traçabilité du consentement

Coordonnées familiales, données de contact, transmission à des tiers : chaque consentement doit être tracé.

10. Possibilité d’exporter et de supprimer (dans la limite des obligations légales)

Les résidents (ou leur représentant) ont le droit d’accès à leurs données et le droit à la portabilité. Votre logiciel doit pouvoir exporter facilement.

Comment WideCare y répond

Dans WideCare, chacun voit les applications de son rôle. Le portail famille s’ouvre rubrique par rubrique, et le résumé des soins n’y apparaît qu’avec l’accord de la famille.

Chaque établissement a sa propre base, hébergée en Suisse, chez Infomaniak : la Suisse bénéficie d’une décision d’adéquation de la Commission européenne au titre du RGPD. La base est sauvegardée chaque nuit : sept nuits sur le serveur, trente hors du serveur, chiffrées, avec une restauration de test chaque jour.

Hébergement, sauvegardes et sécurité en détail →