Quelles données ont le droit d'entrer dans Microsoft 365 ?
C'est la première question à trancher, avant tout paramétrage. La donnée de santé à caractère personnel est une donnée sensible au sens du RGPD, et son hébergement pour le compte d'autrui relève en principe du régime de l'hébergement de données de santé (HDS), défini par le code de la santé publique. Autrement dit : lorsque vous confiez ces données à un tiers qui les héberge pour votre compte, ce tiers doit en principe être certifié pour cette activité. Le champ exact du régime, ses exclusions et les activités qu'il couvre s'apprécient au cas par cas et sont à faire confirmer par votre délégué à la protection des données ou par un conseil juridique.
Microsoft communique sur une certification HDS portant sur une partie de son offre. Le périmètre exact, les services couverts et les conditions associées évoluent : ils sont à vérifier à date dans la documentation de conformité de Microsoft, et à faire confirmer par écrit avant tout projet. Une réponse commerciale orale ne vaut rien devant un contrôle.
En pratique, nous conseillons de raisonner par nature de donnée plutôt que par outil.
| Type de contenu | Emplacement recommandé | Pourquoi |
|---|---|---|
| Dossier patient, dossier usager, transmissions ciblées | Logiciel métier hébergé chez un hébergeur certifié HDS | Régime HDS, interopérabilité, traçabilité réglementaire |
| Échange de données de santé entre professionnels | Messagerie sécurisée de santé (espace de confiance MSSanté) | Cadre imposé pour les échanges de soins |
| Planning, notes de service, procédures, comptes rendus de réunion | SharePoint et Teams | Aucune donnée de santé nominative |
| RH, paie, contrats, achats, facturation fournisseurs | SharePoint avec accès restreint | Données personnelles classiques, pas de régime HDS |
| Démarche qualité, protocoles, gestion documentaire ISO | SharePoint avec gestion de versions | Documents non nominatifs |
La frontière n'est jamais parfaitement nette. Un compte rendu de réunion de coordination peut contenir des noms de résidents ; une photo prise pour un signalement aussi. C'est précisément pourquoi la règle doit être écrite, diffusée, et rappelée à chaque arrivée.
Comment tenir le secret professionnel dans un outil aussi ouvert que Teams ?
Teams est conçu pour faciliter le partage. En établissement, c'est à la fois l'intérêt et le risque. Un canal créé pour une réunion de coordination devient un fil où circulent des informations couvertes par le secret, accessible à des personnes qui ne font pas partie de l'équipe de soins.
Trois garde-fous suffisent dans la plupart des cas. Restreindre la création d'équipes à un petit nombre de personnes formées, ce qui évite la prolifération de canaux orphelins. Interdire l'ajout d'invités externes par défaut, et n'ouvrir cette possibilité que sur demande motivée. Et appliquer des étiquettes de confidentialité Purview qui marquent visiblement les documents sensibles et limitent leur diffusion.
Ajoutez une politique de rétention explicite. Sans elle, une conversation Teams reste indéfiniment consultable, ce qui contredit le principe de limitation de la conservation. Ces mécanismes sont détaillés dans notre page sécurité Microsoft 365.
Comment articuler Outlook et la messagerie sécurisée de santé ?
Vous aurez deux messageries, et il faut l'assumer plutôt que d'essayer de les fusionner. La messagerie sécurisée de santé sert aux échanges de données de soins entre professionnels habilités. Outlook sert au reste : convocations, échanges avec les fournisseurs, relations avec les autorités de tarification, communication interne.
La difficulté n'est pas technique, elle est comportementale. Sous pression, un professionnel enverra par le canal le plus rapide. Deux mesures réduisent nettement le risque : une mention automatique en bas des mails Outlook rappelant que ce canal n'est pas destiné aux données de santé, et une règle de prévention de perte de données qui bloque ou avertit lorsqu'un message sortant contient des motifs typiques d'un dossier patient.
Certains opérateurs de messagerie sécurisée proposent une intégration dans le client Outlook. C'est confortable, mais cela rend la frontière moins visible : à peser selon la maturité de vos équipes. Le choix de l'opérateur référencé et de son mode d'intégration vous appartient. Notre intervention porte sur le côté Microsoft 365 : le paramétrage d'Outlook, les règles de prévention de perte de données et la consigne écrite qui sépare les deux canaux.
Personnel en roulement et postes partagés : comment ne pas sacrifier la traçabilité ?
Un service qui tourne en trois-huit, des remplaçants, des intérimaires, des étudiants en stage : la population de comptes bouge en permanence. Deux réflexes dangereux apparaissent presque toujours.
Le premier est le compte générique de service, du type « soins-etage2 ». Il règle un problème pratique et en crée un plus grave : plus aucune action n'est rattachable à une personne. Le second est le mot de passe collé sous le clavier, conséquence directe d'une politique d'authentification pensée pour des cadres de bureau.
Le dispositif qui fonctionne repose sur quatre points. Un compte nominatif pour chacun, même sans boîte aux lettres. Un poste partagé configuré pour un changement de session rapide et une déconnexion automatique après inactivité courte. Une méthode d'authentification qui ne dépend pas du téléphone personnel du salarié. Et surtout, une procédure de sortie appliquée le jour même : le compte d'un remplaçant parti la semaine dernière ne doit plus exister.
Cette discipline d'entrée et de sortie relève de l'exploitation quotidienne, décrite dans notre page infogérance Microsoft 365.
Sommes-nous concernés par NIS2 ?
Pas automatiquement. La directive NIS2 vise le secteur de la santé, mais elle ne s'applique qu'aux entités atteignant certains seuils : à partir de 50 salariés ou 10 millions d'euros de chiffre d'affaires ou de total de bilan. Une petite structure médico-sociale peut donc se trouver hors du champ, sauf désignation particulière par l'autorité nationale.
Par ailleurs, la transposition française n'est pas entièrement publiée à ce jour. Les obligations précises, les délais de déclaration d'incident et les modalités de contrôle sont encore susceptibles d'évoluer : toute information chiffrée sur ce point est à vérifier à date.
Ce que nous conseillons entre-temps est indépendant du texte : sauvegarde testée, authentification multifacteur généralisée, revue des accès à privilèges, plan de continuité écrit. Ces mesures serviront quel que soit le calendrier réglementaire. Notre page me mettre en conformité NIS2 détaille ce qui est certain et ce qui ne l'est pas encore.
Comment nous travaillons avec un établissement
Une mission en santé commence par un cadrage juridique et documentaire, pas par un paramétrage.
- Atelier de qualification des données (une demi-journée), avec la direction, le délégué à la protection des données et un référent soignant. Livrable : la matrice « quelle donnée, dans quel outil, pour quelle durée ».
- Audit technique du tenant existant. Accès à privilèges, partages externes ouverts, rétention, journalisation, postes partagés.
- Plan de remédiation priorisé, distinguant ce qui doit être corrigé sous quinze jours et ce qui relève d'un chantier de fond.
- Déploiement accompagné, avec des formations courtes calées sur les relèves d'équipe et non sur les horaires administratifs.
Ce qui fait dérailler ce type de mission, c'est la commodité : dès qu'un outil facilite un geste, il sert à tout, y compris à ce qu'il ne doit pas porter. La règle écrite ne tient que si elle est répétée, ce que nous traitons dans notre page adoption et formation.
La charge de ce type de mission tient à trois facteurs : le nombre de postes partagés à reprendre, la rotation du personnel à absorber dans les procédures d'entrée et de sortie, et l'existence ou non d'une matrice de données déjà écrite. Le calendrier et le coût sont arrêtés à l'issue de l'atelier de qualification, une fois ces trois points établis.
