Non-conformité archivage

Non-conformité archivage : le piège de l’externalisation du DMST

L’archivage externalisé du DMST papier est l’une des non-conformites les plus courantes, et les plus graves, constatees lors des audits SPEC 2217. Beaucoup de SPST ont historiquement confie leurs archives à des societes d’archivage externes sans mesurer les implications juridiques. Voici pourquoi c’est un probleme et comment le résoudre.

Le cadre juridique : pourquoi c’est non conforme

Deux textes fondamentaux rendent l’archivage externe du DMST papier problématique :

Article L.4624-8 du Code du travail, Le DMST est constitue et tenu par le médecin du travail. L’accès aux informations médicales est réservé au médecin du travail et aux professionnels de santé de l’équipe pluridisciplinaire. Confier des dossiers à un archiviste externe signifie qu’une personne non habilitee à un accès physique à des informations médicales.
Article L.1110-4 du Code de la santé publique (secret médical), Les informations de santé sont couvertes par le secret médical. Toute personne non autorisée ayant accès a ces informations viole ce secret. Un employe d’une société d’archivage qui manipule des DMST papier est en situation de violation du secret médical, meme s’il ne lit pas les dossiers.

Attention : la certification HDS (Hébergement de Données de Santé, Art. L.1111-8 du CSP) concerne exclusivement les données de santé numériques hébergées pour le compte de tiers. Elle ne s’applique pas à l’archivage de dossiers papier. Le probleme juridique de l’archivage papier externe n’est donc pas un probleme de HDS, mais de secret médical et d’accès non autorisé à des données de santé par des personnes non professionnels de santé.

Le probleme concret

Quand un SPST confie des DMST papier à un archiviste externe :

Des personnes non professionnels de santé ont un accès physique à des dossiers médicaux, c’est une violation du secret médical (Art. L.1110-4 CSP), passible de sanctions pénales (Art. 226-13 du Code pénal)
Le SPST n’a aucun controle effectif sur qui manipule les cartons, les deplace, les ouvre en cas de reconditionnement
Les conditions de conservation (temperature, humidite, sécurité physique) ne sont pas toujours conformes aux exigences de conservation de dossiers médicaux
En cas de demande d’accès d’un salarié, le délai de restitution peut dépasser le mois réglementaire (Art. 12.3 RGPD)
L’archiviste est un sous-traitant au sens du RGPD : un contrat Article 28 est obligatoire, mais ne resout pas le probleme du secret médical

Ce que l’auditeur SPEC 2217 vérifié

L’auditeur pose systématiquement la question : « Avez-vous des DMST papier ? Si oui, où sont-ils conserves ? » Si la réponse est « chez un archiviste externe », il demandera :

Le contrat Article 28 RGPD avec l’archiviste (sous-traitance)
Les mesures de restriction d’accès physique aux dossiers (qui peut ouvrir les cartons ? comment est controle l’accès ?)
La procédure de restitution en cas de demande d’accès d’un salarié (délai, circuit, traçabilité)
La justification du respect du secret médical : comment le SPST garantit-il que des personnes non habilitees n’accedent pas au contenu des dossiers ?

Dans la grande majorité des cas, le SPST ne peut pas démontrer que le secret médical est respecte, l’archiviste manipule physiquement les dossiers. C’est un écart majeur.

Les solutions concretes

Plusieurs options s’offrent au SPST pour régulariser la situation :

Option 1 : Rapatriement des archives

Rapatrier les DMST papier dans un local sécurisé au sein du SPST. Le local doit etre :

Accessible uniquement par les médecins du travail et les professionnels de santé habilites (cle ou badge spécifique)
Protégé contre l’incendie et l’inondation
Équipe d’un inventaire à jour des dossiers conserves
Soumis à une procédure d’accès tracée (registre des entrees/sorties de dossiers)

Option 2 : Numérisation et destruction

Numériser les DMST papier et les intégrer dans le logiciel métier (hébergé chez un hébergeur certifié HDS, puisque la on est bien dans le numérique), puis détruire les originaux papier. Cette operation doit etre :

Réalisée par des personnes habilitees (professionnels de santé ou personnel soumis au secret médical)
Tracée (PV de numérisation et de destruction, avec liste des dossiers traites)
Conforme aux normes de numérisation fidèle (NF Z42-013)
Validee par le médecin du travail responsable des dossiers

Option 3 : Maintien chez l’archiviste avec renforcement

Si le rapatriement est impossible a court terme, le SPST peut tenter de renforcer les garanties :

Contrat Article 28 avec clauses spécifiques au secret médical
Cartons scellés avec controle d’intégrité (si un carton est ouvert, c’est tracable)
Interdiction contractuelle pour l’archiviste d’ouvrir les cartons
Audit sur site de l’archiviste au moins annuel

Attention : cette option est un palliatif, pas une solution définitive. L’auditeur SPEC 2217 pourra considerer que le risque résiduel reste trop élevé.

Conseil pratique

La solution la plus simple et la plus pérenne est la numérisation progressive. Commencez par les dossiers les plus recents (ceux susceptibles de faire l’objet de demandes d’accès) et procedez par lots. Documentez l’ensemble du processus : c’est une preuve de bonne foi et de démarche d’amélioration continue que l’auditeur valorisera lors de l’audit SPEC 2217.

N’oubliez pas : une fois les DMST numérisés et intégrés dans votre logiciel métier hébergé en HDS, le probleme du secret médical lie à l’archiviste externe disparait. Les habilitations d’accès sont gerees par le logiciel, et l’hébergeur est certifié HDS.