Logiciel métier SPST et conformité RGPD : les critères essentiels

Le logiciel métier constitue le coeur du système d’information d’un Service de Prévention et de Santé au Travail. Il centralise les données de santé de milliers de salaries : dossiers médicaux, avis d’aptitude, fiches d’exposition, résultats d’examens complémentaires. Le choix et la configuration de ce logiciel ont un impact direct sur la conformité RGPD du SPST. Ce guide détaille les critères à vérifier et les bonnes pratiques à mettre en oeuvre.

Les principaux logiciels métier du marché SPST

Le marché des logiciels métier pour les SPST est dominé par quelques éditeurs spécialisés : Padoa, Preventiel, Stetho, Medtra, GIM Santé. Chacun propose des fonctionnalités spécifiques, mais tous doivent répondre aux mêmes exigences RGPD en matière de protection des données de santé. Le choix d’un logiciel ne doit pas se faire uniquement sur des critères fonctionnels, mais aussi sur la robustesse des mesures de sécurité et de conformité.

L’évaluation d’un logiciel métier sous l’angle RGPD doit porter sur plusieurs dimensions : gestion des droits d’accès, traçabilité des actions, sécurité des données, interopérabilité, hébergement et durées de conservation. Chaque dimension mérite une analyse approfondie avant tout choix ou renouvellement de solution.

Hébergement de données de santé (HDS)

L’hébergement des données de santé est encadré par l’article L. 1111-8 du code de la santé publique. Le logiciel métier SPST doit être hébergé chez un hébergeur certifié HDS (Hébergeur de Données de Santé). Cette certification, délivrée par un organisme accrédité par le COFRAC, garantit un niveau de sécurité adapté à la sensibilité des données.

Le SPST doit vérifier que la certification HDS de l’hébergeur couvre bien les activités concernées (hébergeur d’infrastructure physique, hébergeur infogeur, hébergeur d’application). La localisation des données doit également être vérifiée : les serveurs doivent être situés dans l’Union européenne, voire en France, pour éviter les problématiques de transfert international de données.

En cas de solution SaaS (Software as à Service), l’éditeur du logiciel et l’hébergeur peuvent être distincts. Le SPST doit s’assurer que l’ensemble de la chaîne d’hébergement est certifiée HDS, y compris les éventuels sous-traitants techniques (sauvegarde, reprise d’activité).

Gestion des droits d’accès et profils utilisateurs

Le logiciel métier doit permettre une gestion fine des droits d’accès, conforme au principe de minimisation du RGPD. Chaque catégorie de professionnel du SPST (médecin du travail, infirmier, secrétaire médicale, ergonome, psychologue, assistant social) doit disposer d’un profil d’accès adapté à ses missions.

Le médecin du travail accède à l’intégralité du DMST. L’infirmier accède aux informations nécessaires à ses protocoles de suivi. La secrétaire médicale gère les aspects administratifs (planification, convocations) sans accéder aux données médicales détaillées. L’ergonome accède aux informations relatives aux postes de travail et aux restrictions fonctionnelles, sans connaître les diagnostics.

Le logiciel doit également gérer les habilitations au niveau des données individuelles. Un médecin du travail ne doit accéder qu’aux dossiers des salariés relevant de son secteur. Les fonctionnalités de « bris de glace » (accès exceptionnel au dossier d’un salarié hors secteur en cas d’urgence) doivent être tracées et justifiées.

Traçabilité et journalisation des accès

Le RGPD impose de pouvoir démontrer la conformité des traitements (principe de responsabilité). Le logiciel métier doit intégrer une journalisation complète des accès et des actions : qui a consulté quel dossier, quand, quelles données ont été modifiées, quelles informations ont été exportées. Ces journaux doivent être conservés pendant une durée suffisante (3 ans minimum) et protégés contre toute modification.

La journalisation doit couvrir les tentatives d’accès échouées, qui peuvent révéler des tentatives d’intrusion ou des erreurs de configuration des droits. Un système d’alertes automatiques doit signaler les comportements anormaux : nombre inhabituel de consultations de dossiers, accès en dehors des horaires de travail, tentatives d’accès à des dossiers hors secteur.

Les journaux d’accès doivent être accessibles au DPO du SPST et au responsable de la sécurité des systèmes d’information (RSSI). Ils constituent un outil essentiel pour les audits de conformité et les investigations en cas d’incident de sécurité.

Interopérabilité et échanges de données

La loi du 2 août 2021 renforce les exigences d’interopérabilité des systèmes d’information des SPST. Le logiciel métier doit permettre les échanges avec le DMP (Dossier Médical Partage), Mon Espace Santé et les autres acteurs du système de santé. Ces échanges doivent être sécurisés et respecter les normes techniques en vigueur (HL7 FHIR, CI-SIS).

L’interopérabilité ne signifie pas un accès libre aux données. Chaque échange doit être encadré par des protocoles précis définissant les données échangées, les conditions d’accès et les finalités autorisées. Le logiciel doit permettre de tracer chaque échange de données avec un système externe, en identifiant l’émetteur, le destinataire, la nature des données transmises et la date de l’échange.

Les API (interfaces de programmation) utilisées pour les échanges doivent être sécurisées par des mécanismes d’authentification robustes (OAuth 2.0, certificats). Les données transitant par ces API doivent être chiffrées en transit et, si nécessaire, au repos.

Sauvegardes et plan de reprise d’activité

Les données du logiciel métier doivent faire l’objet de sauvegardes régulières, conformes aux exigences HDS. Le plan de sauvegarde doit définir la fréquence (quotidienne au minimum), la rétention (plusieurs générations), le chiffrement des sauvegardes et les tests de restauration périodiques.

Le plan de reprise d’activité (PRA) doit garantir la continuité du service en cas de sinistre. Les objectifs de temps de reprise (RTO) et de point de reprise (RPO) doivent être définis en fonction de la criticite du logiciel pour l’activité du SPST. Les sauvegardes externalisees doivent être hébergées chez un prestataire certifié HDS distinct du site principal.

Durées de conservation et archivage

Le logiciel métier doit intégrer les règles de conservation spécifiques au DMST : 40 ans après la dernière visite, dans la limite de 10 ans après le départ à la retraite pour les salariés exposés à des agents cancerogenes. Ces durées exceptionnellement longues imposent des choix techniques pérennes en matière de format de stockage et de migration des données.

Le logiciel doit permettre l’archivage automatique des dossiers selon les règles définies, avec une distinction entre base active et base d’archive. Les dossiers archivés doivent rester accessibles en cas de demande d’accès du salarié ou de contentieux, mais avec des conditions d’accès renforcées. La suppression des dossiers à l’expiration de la durée de conservation doit pouvoir être automatisée, avec une validation préalable.

Mise à jour et maintenance du logiciel

La maintenance du logiciel métier est un enjeu de sécurité majeur. Les mises à jour de sécurité doivent être appliquées dans les meilleurs délais pour corriger les vulnérabilités identifiées. Le contrat avec l’éditeur doit prévoir des engagements précis en matière de délai de correction des failles de sécurité.

Les mises à jour fonctionnelles doivent être testées avant déploiement pour vérifier qu’elles ne compromettent pas les mesures de protection des données existantes. Un environnement de test, miroir de la production, est nécessaire pour valider les évolutions sans risque pour les données réelles.

Audit de conformité du logiciel métier

Un audit régulier du logiciel métier sous l’angle RGPD est indispensable. Cet audit doit vérifier les droits d’accès effectivement configurés (et non seulement ceux prévus dans la documentation), la journalisation réelle des accès, la sécurité des échanges avec les systèmes externes, la conformité de l’hébergement HDS et l’application effective des durées de conservation.

L’audit doit également porter sur les pratiques des utilisateurs : utilisation de mots de passe robustes, verrouillage des sessions, absence de contournement des règles d’accès. Les écarts constatés doivent faire l’objet d’un plan d’action correctif avec des échéances précises.

Conclusion

Le logiciel métier est la pierre angulaire de la conformité RGPD d’un SPST. Son choix, sa configuration et sa maintenance doivent intégrer les exigences de protection des données de santé à chaque étape. Certification HDS, gestion fine des droits d’accès, traçabilité des actions, interopérabilité sécurisée et durées de conservation adaptées sont autant de critères qui doivent guider les décisions. Un audit régulier permet de vérifier que la conformité initiale est maintenue dans le temps et que les pratiques des utilisateurs restent alignées sur les exigences du RGPD.

Laurent de Cavel, DPO