Dossier patient partagé : le guide complet pour les ministères et les hôpitaux

Trois mots, trois malentendus. « Dossier » laisse penser à un document unique, alors qu’il s’agit d’un ensemble d’informations venues de multiples sources. « Patient » suggère que le patient en est le simple objet, alors qu’il y détient des droits. « Partagé » ne dit pas avec qui, ni à quelles conditions. Une bonne part des difficultés que rencontrent les projets de dossier patient partagé vient de ce que ces trois questions n’ont pas été tranchées avant de choisir une technologie.

Ce guide s’adresse aux ministères de la santé, aux agences nationales et régionales et aux directions d’hôpitaux. Il suit l’ordre dans lequel les décisions se posent réellement, de la définition du périmètre jusqu’à l’exploitation.

Ce qu’est un dossier patient partagé, et ce qu’il n’est pas

Chaque établissement de santé tient un dossier pour chacun de ses patients, aujourd’hui le plus souvent informatisé. Ce dossier sert d’abord l’établissement : il contient le détail des soins, les notes de l’équipe, les prescriptions internes. Le dossier patient partagé est d’une autre nature. Il rassemble, d’un établissement à l’autre et entre la ville et l’hôpital, les informations utiles à la continuité des soins : synthèses, comptes rendus d’hospitalisation, résultats d’examens, traitements en cours, allergies, vaccinations.

Il ne remplace donc pas les dossiers des établissements. Il les relie. Et il ne contient pas tout : un dossier partagé qui recevrait chaque note de chaque professionnel deviendrait illisible, et dangereux à protéger.

Plusieurs pays ont déjà fait ce choix. En France, le dossier médical partagé est intégré depuis 2022 à « Mon espace santé ». Dans l’Union européenne, le règlement (UE) 2025/327 sur l’espace européen des données de santé, entré en vigueur le 26 mars 2025, organise progressivement l’échange de catégories prioritaires de données entre États membres : les dossiers de patients résumés, les prescriptions et délivrances électroniques, les images médicales et leurs comptes rendus, les résultats de laboratoire et les rapports de sortie d’hospitalisation. Cette liste constitue un bon point de départ pour tout pays qui définit le contenu de son propre dossier partagé.

Pourquoi les projets échouent rarement sur la technique

Les outils pour stocker et échanger des documents médicaux existent et sont éprouvés. Les projets qui piétinent butent presque toujours sur cinq obstacles, qu’il vaut mieux regarder en face dès le départ.

L’identité. Si un même patient apparaît sous trois identités différentes dans trois établissements, ou si deux patients sont confondus, le partage devient un risque pour la sécurité des soins.

L’alimentation. Un dossier partagé ne vaut que par ce qu’il contient. Si les établissements ne l’alimentent pas régulièrement, automatiquement et rapidement, les soignants cessent de le consulter.

L’usage. Un dossier consultable seulement depuis un portail séparé, avec un identifiant de plus, au milieu d’une consultation chargée, sera peu utilisé. L’accès doit se faire depuis le logiciel du professionnel.

La confiance. Les patients doivent savoir qui voit leurs données ; les soignants, que les informations sont fiables et à jour.

Le financement de l’exploitation. Beaucoup de dossiers partagés ont été lancés grâce à un financement d’investissement, puis se sont dégradés faute de budget de fonctionnement pour l’hébergement, le support et les évolutions.

Trois architectures possibles

Le choix d’architecture n’est pas qu’une question d’informaticiens : il détermine qui détient les données, qui est responsable en cas d’incident et comment le système résiste à la défaillance d’un acteur.

Fédérée Index données restées chez chaque établissement

Hybride Résumé central + index l’essentiel copié, le détail consulté

Dans les pays où beaucoup d’établissements ont une connectivité irrégulière, l’architecture fédérée pure est risquée : un document stocké dans un hôpital momentanément hors ligne est indisponible pour celui qui en a besoin. L’architecture hybride, qui centralise un résumé du patient et les documents les plus utiles, est souvent le compromis le plus réaliste.

L’identité du patient, socle de tout le reste

Avant de partager des données, il faut être certain qu’elles concernent la bonne personne. Deux approches existent, souvent combinées.

La première repose sur un identifiant national de santé, attribué à chaque personne à partir d’un registre de référence. En France, l’identifiant national de santé, adossé aux données d’état civil, doit être utilisé pour référencer les données de santé. Cette approche est robuste, à condition que le registre de référence soit lui-même fiable et complet.

La seconde repose sur un index des patients (souvent appelé « index maître ») qui rapproche les identités connues des différents établissements à partir de traits d’identité : nom, prénoms, date et lieu de naissance, sexe. Les rapprochements automatiques doivent être prudents et les cas douteux traités par des personnes formées. Deux erreurs sont à surveiller : le doublon (un patient, deux dossiers, donc un historique incomplet) et la collision (deux patients, un dossier, donc des informations erronées), bien plus grave.

Dans de nombreux pays, la qualité de l’état civil est le premier facteur limitant. Là où des naissances ne sont pas enregistrées, où les dates de naissance sont approximatives, où les noms s’écrivent de plusieurs manières, aucun algorithme ne compense l’absence d’une source fiable. Le chantier du dossier partagé rejoint alors celui de l’identité, et c’est souvent par lui qu’il faut commencer.

Les standards : ne rien inventer

Le dossier partagé doit échanger avec des logiciels nombreux, développés par des éditeurs différents, sur des décennies. La seule manière d’y parvenir à un coût raisonnable est de s’appuyer sur des standards internationaux, plutôt que de définir un format national propre.

Pour l’échange, HL7 FHIR s’est imposé comme la référence : il décrit les données de santé sous forme de ressources (patient, observation, médicament, document) échangées par des interfaces web. La version R4 est la plus déployée ; la R5 a été publiée en 2023. Les profils d’IHE, comme le partage de documents entre établissements (XDS) ou l’identification croisée des patients, décrivent comment assembler ces standards pour des cas d’usage précis.

Pour le résumé du patient, le résumé international (International Patient Summary), normalisé par l’ISO (ISO 27269) et décliné par HL7 en FHIR, définit le minimum d’informations utiles en cas de soins imprévus : allergies, problèmes de santé, traitements, vaccinations.

Pour le sens des données, les terminologies partagées sont indispensables : la classification internationale des maladies de l’OMS (CIM-10, et la CIM-11 entrée en vigueur en 2022), LOINC pour les examens de laboratoire, SNOMED CT pour la terminologie clinique, DICOM pour l’imagerie. Un résultat d’analyse codé de manière propre à chaque laboratoire ne peut pas être comparé d’un établissement à l’autre.

Imposer ces standards dans les cahiers des charges de tous les nouveaux logiciels achetés par les établissements est l’une des décisions les plus efficaces qu’un ministère puisse prendre, et l’une des moins coûteuses.

Consentement, droits et confiance

Les données de santé figurent parmi les plus sensibles qui soient. Dans l’Union européenne, leur traitement relève des catégories particulières de données du RGPD, et le règlement sur l’espace européen des données de santé renforce les droits des personnes, notamment le droit d’accéder gratuitement à leurs données et de restreindre l’accès de certains professionnels. Hors de l’Union, la plupart des législations nationales sur la protection des données suivent des principes comparables.

Deux modèles de consentement coexistent. Dans le premier, le dossier n’est créé ou alimenté qu’avec l’accord explicite du patient. Dans le second, il est créé par défaut et le patient peut s’y opposer. Le second produit une couverture plus large ; il exige une information du public d’autant plus soignée.

Au-delà du modèle choisi, quatre règles fondent la confiance :

• Accès selon le rôle : un professionnel ne voit que ce qui est utile à sa fonction et à la prise en charge en cours.
• Accès d’urgence encadré : quand le patient ne peut pas consentir, un accès exceptionnel (souvent appelé « bris de glace ») est possible, motivé et systématiquement contrôlé a posteriori.
• Transparence envers le patient : il peut consulter la liste des accès à son dossier, avec la date et la qualité de la personne.
• Masquage : dans les limites prévues par la loi, le patient peut demander que certaines informations ne soient pas visibles de tous.

Sécurité : un système critique

Les établissements de santé sont devenus des cibles fréquentes des attaques informatiques, en particulier par rançongiciel ; l’ENISA a d’ailleurs consacré une analyse spécifique aux menaces visant ce secteur. Un dossier partagé, qui relie de nombreux systèmes, doit être conçu comme une infrastructure critique.

Les mesures de base sont connues : authentification forte des professionnels, idéalement par une carte ou un moyen d’identification professionnelle ; chiffrement des échanges et du stockage ; journalisation complète et exploitable des accès ; séparation des environnements ; sauvegardes testées ; plan de continuité qui prévoit un fonctionnement dégradé. Dans l’Union européenne, la directive NIS 2 inclut les établissements de santé parmi les entités soumises à des obligations renforcées.

La journalisation mérite une mention particulière. Elle sert à la sécurité, mais aussi à la confiance et au droit : pouvoir dire, des années après, qui a consulté quoi, quand et à quel titre, est une condition de l’acceptation du système par les patients comme par les soignants.

Gouvernance et financement

Un dossier partagé engage de nombreux acteurs : le ministère, une ou plusieurs agences, les établissements publics et privés, les professionnels libéraux, les éditeurs de logiciels, l’autorité de protection des données, les représentants des patients. Sa gouvernance doit dire qui fixe les règles (contenu, standards, droits d’accès), qui exploite le service, qui contrôle et qui arbitre les conflits.

Le financement suit la même logique. L’investissement initial est rarement le problème principal : les bailleurs et les budgets d’équipement le couvrent souvent. Le coût durable est celui de l’exploitation (hébergement, support, sécurité, évolutions) et de l’alimentation par les établissements, qui doivent adapter leurs logiciels et leurs pratiques. Des incitations à alimenter le dossier, financières ou réglementaires, sont presque toujours nécessaires.

L’OMS et l’Union internationale des télécommunications ont publié en 2012 une boîte à outils pour l’élaboration des stratégies nationales de cybersanté. Elle reste utile pour articuler le dossier partagé avec la stratégie nationale de santé numérique, et pour éviter la multiplication de projets pilotes financés séparément qui ne se parlent pas.

Déployer par étapes

1. Cartographier. Les systèmes en place dans les établissements, les flux de patients entre eux, les règles d’accès existantes et l’état des référentiels d’identité. Cette carte décide du premier périmètre.
2. Poser le socle. L’identification des patients, l’annuaire des professionnels et des établissements, l’authentification, la journalisation. Sans ce socle, chaque flux ajouté augmente le risque.
3. Ouvrir un premier flux à forte valeur. Les résultats de laboratoire ou les comptes rendus de sortie d’hospitalisation sont de bons candidats : produits par des systèmes déjà informatisés, utiles immédiatement aux médecins de ville, faciles à mesurer.
4. Intégrer dans les logiciels des soignants. La consultation doit se faire depuis l’outil de travail habituel, en un clic, sans nouvelle authentification. C’est la condition de l’usage.
5. Étendre par vagues. D’autres établissements, d’autres types de documents, le résumé du patient, les prescriptions. Chaque vague est décidée sur la base des indicateurs de la précédente.
6. Ouvrir l’accès au patient. Consultation de son dossier, de l’historique des accès, gestion de ses préférences. Cette étape renforce la confiance et la qualité des données, les patients signalant les erreurs.

Les indicateurs qui comptent

Les indicateurs de volume (nombre de dossiers créés, de documents stockés) rassurent mais trompent. Ceux qui disent si le dossier sert sont d’une autre nature : la part des documents consultés au moins une fois par un autre professionnel que leur auteur ; le délai entre la production d’un document et sa disponibilité dans le dossier ; la part des établissements qui alimentent régulièrement ; le taux de doublons et de collisions d’identité détectés ; le nombre d’accès d’urgence et leur taux de justification lors du contrôle.

Ces indicateurs doivent être fixés avant le lancement, mesurés dès le premier flux et publiés aux acteurs. Ils sont aussi les meilleurs arguments pour obtenir le budget d’exploitation des années suivantes.

Le premier pas

Pour un ministère comme pour un groupement hospitalier, la première étape utile n’est ni un appel d’offres ni une plateforme : c’est la cartographie des systèmes, des flux de soins et des identités. Elle prend quelques semaines et révèle presque toujours que le premier chantier n’est pas celui que l’on croyait.

Notre produit Betz est conçu pour ce dossier qui suit le patient d’un établissement à l’autre, avec son consentement, en s’appuyant sur les systèmes existants. Notre expertise santé numérique commence précisément par cette cartographie.

Questions fréquentes

Faut-il remplacer les logiciels des hôpitaux pour créer un dossier patient partagé ?

Non. Le dossier partagé s'alimente à partir des systèmes existants, par des interfaces fondées sur des standards comme HL7 FHIR. Remplacer massivement les logiciels allonge les délais et multiplie les risques ; relier ce qui existe est presque toujours la meilleure première étape.

Que se passe-t-il s'il n'existe pas d'identifiant national de santé ?

On peut démarrer avec un index de patients qui rapproche les identités connues des différents établissements, selon des règles de rapprochement contrôlées. Mais la qualité de l'état civil et des registres d'identité reste déterminante : un dossier partagé hérite de leurs erreurs.

Le patient doit-il consentir au partage de ses données ?

Les règles dépendent du pays. Certains systèmes reposent sur un consentement explicite, d'autres sur une création par défaut avec droit d'opposition. Dans tous les cas, le patient doit être informé, pouvoir savoir qui a consulté son dossier et, dans les limites prévues par la loi, restreindre certains accès.

Combien de temps faut-il pour déployer un dossier patient partagé ?

Un premier flux utile entre quelques établissements peut fonctionner en quelques mois si l'identité et la gouvernance sont prêtes. Une couverture nationale se compte en années. Le calendrier dépend moins de la technique que de l'alimentation régulière par les établissements et de l'adoption par les soignants.