Dans un cabinet médical ou dentaire, tout passe par l’ordinateur : les rendez-vous, les dossiers des patients, les comptes rendus, les ordonnances, la facturation. Le jour où le disque de ce poste tombe en panne, ou qu’un virus chiffre ses fichiers, c’est l’historique de milliers de patients qui disparaît. Une bonne sauvegarde n’a rien de compliqué : elle demande surtout d’être automatique, d’avoir une copie hors du cabinet, et d’être vérifiée.
Pourquoi les dossiers patients demandent plus de soin
Au Maroc, la loi 09-08 classe les données de santé parmi les données sensibles (article 1). Leur traitement est soumis à une autorisation préalable de la CNDP, comme l’indique la page des formalités de la Commission.
La même loi demande au responsable du traitement, ici le cabinet, de protéger les données contre la destruction accidentelle ou illicite et la perte accidentelle (article 23). La sauvegarde fait directement partie de ces mesures : un cabinet qui perd ses dossiers faute de copie n’a pas seulement un problème pratique.
Nous ne traitons ici que la partie technique. Pour les formalités, référez-vous à la CNDP.
Étape 1 : savoir où sont vraiment les données
On croit souvent que tout est « dans le logiciel ». En pratique, les données d’un cabinet sont dispersées :
- la base du logiciel médical, sur le poste de l’accueil, sur un petit serveur ou en ligne ;
- les documents scannés : analyses, radiographies, courriers ;
- les comptes rendus rédigés dans un traitement de texte ;
- la messagerie, avec les résultats reçus par email ;
- la comptabilité et les factures.
Faites cette liste une fois, poste par poste. C’est elle qui dit ce qu’il faut sauvegarder.
Étape 2 : appliquer la règle 3-2-1
La règle 3-2-1, recommandée par la fiche « Data Backup Options » publiée en 2012 pour l’US-CERT, tient en trois chiffres :
- 3 copies de chaque donnée importante : l’original et deux sauvegardes ;
- 2 supports différents, pour ne pas dépendre d’un seul type de panne ;
- 1 copie hors du cabinet, en cas de vol, d’incendie ou de dégât des eaux.
Pour un cabinet, cela peut donner : les données sur le poste ou le serveur, une sauvegarde automatique chaque jour sur un disque réseau installé au cabinet, et une copie hors du cabinet.
Étape 3 : une sauvegarde automatique, chiffrée et surveillée
Une sauvegarde qui dépend de la mémoire de quelqu’un finit toujours par être oubliée. Elle doit :
- se lancer toute seule, chaque jour, en dehors des consultations ;
- être chiffrée, pour qu’un disque perdu ou volé ne livre pas les dossiers des patients ;
- prévenir quand elle échoue : une sauvegarde arrêtée depuis trois semaines sans que personne le sache est une situation fréquente.
Vérifiez aussi ce que prévoit votre logiciel médical : beaucoup proposent leur propre fonction de sauvegarde ou d’export, qu’il faut intégrer au dispositif.
Étape 4 : tester la restauration
Une sauvegarde ne vaut que si l’on peut s’en servir. Régulièrement, récupérez un dossier ou un fichier à partir de la sauvegarde et vérifiez qu’il s’ouvre correctement. Pour la base du logiciel médical, faites le test avec l’éditeur ou le prestataire : c’est la seule façon de savoir combien de temps il faudrait pour repartir.
Étape 5 : choisir où mettre la copie externe
La copie hors du cabinet peut être un disque chiffré conservé ailleurs, ou un service de sauvegarde en ligne. Pour des données de santé, ce choix compte :
- si la copie est stockée hors du Maroc, il s’agit d’un transfert de données à l’étranger, encadré par les articles 43 et 44 de la loi 09-08 ;
- un service en ligne doit offrir des garanties de sécurité et de confidentialité suffisantes, écrites dans le contrat.
Renseignez-vous avant de choisir, plutôt que de découvrir après coup où sont hébergées les copies.
Étape 6 : continuer à recevoir les patients si un poste tombe
La sauvegarde protège les données ; il faut aussi penser à la continuité du cabinet :
- un onduleur sur le poste ou le serveur qui héberge le logiciel, pour éviter les coupures brutales et la corruption de la base ;
- un poste de secours identifié, sur lequel le logiciel peut être réinstallé rapidement ;
- une procédure simple pour la journée de panne : planning imprimé, numéros utiles, qui appeler.
Étape 7 : protéger l’accès aux postes
Les sauvegardes ne servent à rien si n’importe qui peut ouvrir les dossiers :
- un compte par personne, avec son propre mot de passe ;
- le verrouillage automatique des postes après quelques minutes d’inactivité ;
- un antivirus à jour et des mises à jour régulières, pour limiter le risque de rançongiciel.
Une routine en cinq minutes
Chaque semaine, vérifiez que la dernière sauvegarde s’est bien terminée. Chaque mois, testez la restauration d’un fichier. Chaque trimestre, vérifiez la copie externe et revoyez la liste des données. Avec un contrat de maintenance, ce suivi est fait pour vous et figure dans le rapport mensuel.
Pour voir comment nous travaillons avec les cabinets et les cliniques, consultez notre page cliniques et cabinets, ou notre offre sauvegarde et protection des données.
Sources
Questions fréquentes
Les dossiers patients sont-ils des données sensibles ?
Oui. La loi 09-08 classe les données de santé parmi les données sensibles, dont le traitement est soumis à une autorisation préalable de la CNDP.
Une sauvegarde sur une clé USB suffit-elle ?
Non. Il faut au moins deux supports différents et une copie hors du cabinet, avec une sauvegarde automatique et chiffrée.
Peut-on stocker la copie dans un service en ligne ?
Oui, avec des garanties de sécurité écrites dans le contrat. Si le stockage est hors du Maroc, il s’agit d’un transfert à l’étranger, encadré par les articles 43 et 44 de la loi 09-08.