Audit des accès aux dossiers cliniques : la checklist du thérapeute au Québec

Un dossier clinique n'est pas seulement protégé par un mot de passe. Il l'est aussi par la liste des personnes, appareils, applications et fournisseurs qui peuvent y accéder aujourd'hui — ou qui le pouvaient encore hier.

Dans une pratique privée, les droits s'accumulent facilement : compte d'un ancien adjoint, accès de démonstration, intégration de calendrier, appareil personnel, partage de fichier créé pour dépanner. Un audit des accès permet de transformer cette zone grise en une vérification courte, répétable et documentée.

Cet article propose une méthode opérationnelle pour les psychologues, travailleurs sociaux, psychoéducateurs, psychothérapeutes et autres professionnels psychosociaux au Québec. Il ne remplace ni les exigences de votre ordre ni un avis juridique.

Pourquoi faire un audit des accès?

La Loi sur la protection des renseignements personnels dans le secteur privé impose aux organisations de prendre des mesures raisonnables pour protéger les renseignements personnels. La Commission d'accès à l'information du Québec rappelle notamment l'importance de la gouvernance et des mesures de sécurité.

Un audit ne consiste pas à chercher un coupable. Il répond à quatre questions :

1. Qui peut voir ou modifier les dossiers?
2. Pourquoi chaque accès existe-t-il encore?
3. Les droits correspondent-ils réellement au rôle de la personne ou du fournisseur?
4. Quelle preuve conserve-t-on de la vérification et des corrections?

Le résultat attendu est une réduction des accès inutiles, pas une pile de rapports que personne ne relit.

La checklist en 30 minutes

1. Faire l'inventaire des points d'accès

Commencez par une liste des endroits où des renseignements cliniques peuvent circuler :

• logiciel de gestion de pratique et dossier client;
• messagerie et portail client;
• stockage de fichiers et sauvegardes;
• calendrier synchronisé;
• plateforme de téléconsultation;
• ordinateur, téléphone et tablette utilisés pour le travail;
• comptes d'administration, de soutien et d'intégration.

Ne vous limitez pas aux applications qui affichent le mot « dossier ». Un calendrier peut révéler un nom de client et une plateforme de réunion peut conserver des métadonnées.

2. Exporter ou noter les utilisateurs

Pour chaque système, notez le nom du compte, le rôle, la dernière connexion connue et le niveau de permission. Utilisez des catégories compréhensibles : lecture seule, modification, exportation, administration ou gestion de la facturation.

Si le système ne fournit pas de journal détaillé, conservez une capture ou une note datée de la page des utilisateurs. L'absence de journal est elle-même une information utile lors de l'évaluation d'un fournisseur.

3. Appliquer le principe du moindre privilège

Une personne devrait avoir uniquement les droits nécessaires à sa tâche. Par exemple, une aide à la facturation n'a pas automatiquement besoin de lire les notes cliniques; un fournisseur de calendrier n'a pas besoin d'un accès d'administrateur au dossier; un compte de démonstration ne devrait jamais contenir de données réelles.

Posez la question simple : si ce compte était compromis aujourd'hui, quelles données pourrait-il exposer? Réduisez la portée lorsque la réponse dépasse le besoin professionnel.

4. Fermer les accès obsolètes

Désactivez les comptes d'anciens employés, stagiaires, consultants et partenaires. Révoquez aussi les liens de partage, clés d'intégration et appareils qui ne sont plus utilisés. Changer un mot de passe ne suffit pas si une session active ou un jeton d'application reste valide.

Après une modification, testez la fermeture avec un compte de vérification ou demandez au fournisseur de confirmer la révocation.

5. Vérifier les comptes privilégiés

Limitez le nombre d'administrateurs. Chaque compte privilégié devrait être nominatif, protégé par l'authentification multifacteur et utilisé uniquement pour les tâches d'administration. Évitez les identifiants partagés : ils rendent l'imputabilité presque impossible.

Le Centre canadien pour la cybersécurité recommande notamment des sauvegardes et des contrôles qui réduisent l'impact d'un accès compromis. L'authentification multifacteur et la gestion des privilèges sont particulièrement importantes lorsque le professionnel est lui-même l'administrateur de la pratique.

Que documenter dans le registre?

Un tableau minimal suffit :

Date	Système	Compte ou rôle	Accès justifié?	Correction	Vérifié par
28-08-2026	Dossier client	Administration	Oui, propriétaire	MFA vérifiée	Équipe
28-08-2026	Calendrier	Intégration	À réduire	Lecture seule	Équipe

Ne copiez pas de données cliniques dans ce registre. Le registre doit démontrer le contrôle sans devenir un nouveau dossier sensible. Conservez-le dans un emplacement protégé et limitez ses accès.

Quand déclencher un audit exceptionnel?

Faites une revue additionnelle après :

• le départ ou le changement de rôle d'une personne;
• l'ajout d'un nouveau fournisseur ou d'une intégration;
• la perte ou le vol d'un appareil;
• une connexion inhabituelle ou une erreur de partage;
• une migration de logiciel;
• un incident de confidentialité réel ou soupçonné.

En cas d'incident, commencez par contenir l'accès et préserver les éléments utiles. La CAI explique les obligations québécoises liées aux incidents de confidentialité, notamment l'évaluation du risque et la tenue d'un registre lorsque les conditions applicables sont réunies.

Les erreurs fréquentes

« Le fournisseur est conforme, donc je n'ai rien à vérifier »

La sécurité du fournisseur ne remplace pas votre gouvernance. Vous devez encore attribuer les rôles, fermer les accès et vérifier les appareils et intégrations utilisés dans votre pratique.

« Tout le monde a le même accès, c'est plus simple »

Cette simplicité transfère le risque vers tous les dossiers. Des rôles séparés sont généralement plus faciles à expliquer et à corriger qu'un accès universel.

« L'audit est terminé quand j'ai regardé la liste »

Un audit inclut les corrections et la date de vérification. Sans preuve datée, il est difficile de savoir ce qui a réellement changé.

Comment FYL.care peut aider

FYL.care centralise les éléments administratifs de votre pratique dans un espace conçu pour réduire la dispersion : clients, rendez-vous, documents et suivis. Utilisez cette checklist comme point de départ, puis vérifiez les paramètres et les contrôles propres à votre configuration.

Prêt à rendre votre gestion plus claire? Découvrez FYL.care gratuitement.

FAQ

À quelle fréquence faut-il auditer les accès?

Chaque trimestre est une bonne cadence de départ, avec une revue immédiate lors d'un changement de rôle, d'un nouveau fournisseur ou d'un incident.

Que faire si mon logiciel n'offre aucun journal d'accès?

Demandez au fournisseur quelles traces sont disponibles, activez les contrôles proposés et documentez vos vérifications manuelles. Cette limite doit entrer dans votre évaluation du fournisseur.

Dois-je supprimer tous les anciens comptes?

Désactivez les comptes qui n'ont plus de justification. Ne supprimez pas une preuve utile avant d'avoir respecté votre politique de conservation et vos obligations professionnelles; documentez plutôt la désactivation.

Dernière mise à jour : 28 août 2026. Ce contenu est informatif et ne constitue pas un avis juridique ou clinique.