Droits d’accès au cabinet d’ostéopathie : 5 tests pour chaque profil

Un droit d’accès n’est pas correct parce qu’un menu l’appelle « accueil », « praticien » ou « administrateur ». Il est correct lorsque la personne peut accomplir sa mission sans voir, modifier, exporter ou supprimer davantage de données que nécessaire. Dans un cabinet d’ostéopathie, cinq tests permettent de le démontrer : relier chaque droit à un besoin, identifier chaque personne, essayer le profil sur des dossiers fictifs, fermer les accès au bon moment et retrouver l’action dans un journal exploitable.

Ce guide transforme ces cinq tests en procédure concrète. Il couvre l’agenda, le dossier, la facturation, la messagerie, les espaces partagés, les comptes d’administration et les interventions de support. Il ne propose ni profil universel ni surveillance permanente : les responsabilités et l’organisation varient. Le résultat attendu est une matrice datée, des comptes nominatifs, un cycle d’arrivée et de départ, des scénarios de test et une preuve de revue.

En bref

• Un accès commence par une mission et une date de fin, jamais par la copie du profil d’un collègue.
• Chaque personne utilise un compte nominatif ; une exception partagée doit être justifiée, validée, tracée et revue.
• L’authentification multifacteur est particulièrement pertinente pour les données de santé, les accès distants et les comptes à privilèges.
• Le profil se teste avec des personnes et dossiers fictifs : ce qui est visible, modifiable, exportable et administrable compte davantage que son nom.
• Un changement de rôle retire les anciens droits avant d’ajouter les nouveaux ; un départ ferme les comptes, sessions, clés et accès de support à l’heure convenue.
• Les journaux doivent permettre de relier une action à une identité, une date, une opération et une ressource sans recopier le contenu clinique.
• La CNIL recommande une revue des habilitations au moins annuelle ; un cabinet peut retenir un rythme trimestriel plus prudent en cas de remplacements fréquents.

Appliquer cinq tests à chaque profil

Une matrice de droits n’est utile que si elle produit une décision observable. La première étape consiste donc à écrire les tests avant d’ouvrir les écrans d’administration. Pour chaque profil, consignez la mission, les ressources nécessaires, les actions autorisées, les actions interdites et la preuve attendue.

Test 1 : le droit répond-il à un besoin précis ?

Demandez quelle tâche devient impossible sans ce droit. « Il travaille au cabinet » n’est pas une réponse suffisante. « Il confirme les rendez-vous et modifie les coordonnées de contact » décrit une opération. « Elle prépare les pièces de facturation mensuelles » en décrit une autre. La justification doit préciser les données, l’action et la durée.

Si personne ne sait expliquer le besoin, retirez le droit dans un environnement de test et observez. Cette approche révèle les autorisations héritées, les options activées « au cas où » et les accès maintenus par habitude. Le moindre privilège n’interdit pas de travailler ; il demande que chaque privilège serve une mission actuelle.

Test 2 : l’action est-elle rattachée à la bonne identité ?

Connectez-vous avec le compte de test du profil et vérifiez le nom affiché dans les journaux, les documents et l’historique. Une facture créée par « Cabinet » ou une note modifiée par « Admin » ne permet pas de distinguer les personnes. Un identifiant unique évite aussi de partager un mot de passe lorsqu’un remplaçant arrive.

La CNIL demande de définir un identifiant unique et d’interdire les comptes partagés comme modèle courant. Lorsqu’un identifiant générique reste techniquement incontournable, l’exception doit être validée, documentée, tracée, limitée et réexaminée. Elle ne doit pas devenir une solution de confort.

Test 3 : le profil bloque-t-il réellement les actions interdites ?

Ne vous contentez pas d’un tableau de configuration. Essayez d’ouvrir une note, télécharger une pièce, consulter un journal, modifier un rôle, supprimer un document et lancer un export. Testez aussi les raccourcis : recherche globale, notification, aperçu, lien reçu par courriel, URL conservée dans l’historique et application mobile.

Un profil « accueil » peut masquer l’onglet dossier tout en révélant un motif dans les notifications. Un profil « comptabilité » peut être limité à la facturation mais retrouver des documents par la recherche. Le test doit couvrir l’interface et les chemins indirects.

Test 4 : l’accès s’ouvre-t-il et se ferme-t-il au bon moment ?

Créez un compte de remplacement fictif avec une date de début et de fin. Vérifiez qu’il est inutilisable avant la mission, actif pendant la période prévue, puis fermé avec ses sessions révoquées. Si l’outil n’automatise pas l’échéance, créez une tâche datée et attribuée à une personne nommée.

Rejouez ensuite un changement de rôle. Les anciens droits doivent être retirés avant l’ajout des nouveaux, sans accumulation silencieuse. Cette vérification est importante dans les groupes où une personne peut successivement assurer l’accueil, l’administration et une mission clinique.

Test 5 : l’action laisse-t-elle une trace exploitable ?

Effectuez une consultation, une modification, un export et un changement de rôle sur un dossier fictif. Recherchez chaque événement. La preuve minimale associe l’identité, la date et l’heure, la nature de l’opération et la référence de la ressource. Elle ne doit pas recopier la note clinique dans le journal.

Vérifiez qui peut lire ou effacer ces traces, leur durée, leur export et les alertes disponibles. Un journal existe parfois uniquement pour le prestataire et n’est communiqué qu’après plusieurs jours. Cette limite doit être connue, contractualisée et comparée au délai nécessaire pour traiter un incident.

Cartographier les ressources avant les rôles

Les logiciels proposent des rôles, mais le cabinet connaît les tâches. Commencez donc par les ressources et les actions. Cette cartographie évite de donner un profil trop large simplement parce que son nom semble correspondre à une personne.

Lister les données et espaces

Recensez l’agenda, les coordonnées, les motifs éventuels, les notes de suivi, les documents joints, les consentements ou informations remises, la facturation, les règlements, les exports, les modèles, les paramètres, les utilisateurs et les journaux. Ajoutez les boîtes de messagerie, les espaces cloud, les dossiers locaux, les sauvegardes, les outils de paiement et les appareils mobiles.

La même donnée peut apparaître à plusieurs endroits. Un téléphone figure dans le dossier, le rappel de rendez-vous et le carnet d’adresses. Une pièce peut être dans le logiciel et dans un répertoire de téléchargement. La matrice doit donc couvrir le parcours, pas seulement l’application principale.

Séparer lire, créer, modifier, partager et administrer

Un droit de lecture ne justifie pas une suppression. La création d’un rendez-vous ne justifie pas l’export de tous les rendez-vous. La correction d’une adresse ne nécessite pas la modification d’une note. Utilisez au moins les actions suivantes : voir, créer, corriger, joindre, partager, exporter, supprimer, paramétrer, administrer les comptes et consulter les journaux.

Ajoutez les opérations massives. Exporter un dossier sur demande et exporter toute la base n’ont pas le même impact. Modifier un rendez-vous et déplacer une semaine entière non plus. Si l’outil ne distingue pas ces niveaux, inscrivez la limite et compensez par une procédure, une alerte ou un choix de produit différent.

Nommer le décideur et la preuve

Chaque droit sensible a un propriétaire fonctionnel. Dans un cabinet individuel, ce sera souvent le titulaire. Dans un groupe, la décision peut relever d’un responsable désigné ou d’une règle collective. Le prestataire technique exécute la configuration ; il ne devrait pas décider seul qui peut lire quoi.

La preuve associe la demande, la validation, la date d’activation, le test et l’échéance. Une capture peut compléter le registre, mais elle ne doit contenir aucune donnée réelle. Conservez plutôt un export des rôles, un identifiant de ticket ou une fiche signée et datée.

Individualiser les comptes et renforcer l’authentification

L’habilitation décide ce qu’une identité peut faire ; l’authentification vérifie que la bonne personne utilise cette identité. Les deux contrôles sont complémentaires. Un profil parfaitement limité reste fragile si plusieurs personnes connaissent le même secret.

Créer un compte nominatif par personne et par service

Un remplaçant, un membre de l’accueil, un prestataire et un associé reçoivent chacun leur compte. Ne dupliquez pas mécaniquement les droits du titulaire. Évitez aussi d’utiliser une adresse électronique collective comme unique identité lorsque le service peut proposer des utilisateurs distincts.

Lors de la création, faites changer tout secret temporaire à la première connexion. Désactivez les comptes par défaut et les identifiants d’administration connus. N’envoyez pas l’identifiant et le secret définitif dans le même message. Un gestionnaire de mots de passe facilite la création de secrets distincts sans les noter sur un support visible.

Déployer le multifacteur selon le risque

La recommandation de la CNIL du 20 mars 2025 présente l’authentification multifacteur comme une mesure pertinente au regard du risque. Une décision de sanction publiée en janvier 2026 rappelle expressément sa préconisation pour les traitements de données sensibles, notamment de santé, et pour les opérations à risque. Le cabinet doit donc demander la MFA pour les accès au dossier lorsqu’elle est disponible, en priorité pour l’accès distant, l’administration, l’export, la messagerie et les espaces cloud.

MFA signifie au moins deux facteurs de catégories distinctes. Deux secrets connus, par exemple un mot de passe puis un code reçu sur une boîte protégée par ce même mot de passe, ne produisent pas nécessairement la même assurance qu’un facteur de possession indépendant. Le choix doit aussi respecter la minimisation : une solution biométrique ou un téléphone personnel ne doit pas être imposé sans analyser ses données, ses acteurs et ses alternatives.

Tester les sessions, la récupération et le départ

Vérifiez la durée de session, le verrouillage après inactivité, la révocation à distance, le nombre d’appareils et l’historique des connexions. Testez la procédure « mot de passe oublié » : qui reçoit le lien, quelles vérifications sont faites et les autres sessions restent-elles ouvertes ? Une récupération faible peut neutraliser une authentification robuste.

Au départ, retirez les facteurs associés, les clés de sécurité, les appareils approuvés, les codes de secours et les délégations. Le simple changement de mot de passe ne ferme pas toujours une session déjà ouverte. La checklist doit mentionner explicitement la révocation des jetons et connexions.

Construire les profils avec des scénarios réels

Un profil doit être défini par les opérations nécessaires, non par le statut social ou la proximité avec le titulaire. Testez chaque rôle avec le même jeu de personnes et de dossiers fictifs afin de rendre les résultats comparables.

Accueil et secrétariat

L’accueil peut avoir besoin du calendrier, des coordonnées, des préférences de contact et de l’état administratif d’un règlement. Il n’a pas automatiquement besoin des notes de suivi, des pièces cliniques ou des exports de dossiers. Vérifiez les aperçus, les notifications et la recherche globale, qui révèlent parfois plus que l’écran principal.

Testez l’annulation, le déplacement et la création d’un rendez-vous. Définissez si l’accueil peut modifier une identité, fusionner un doublon ou envoyer un document. Une action rare peut être transmise au praticien au lieu d’élargir durablement le profil.

Praticien, collaborateur et remplaçant

Le praticien accède aux dossiers nécessaires à son exercice, mais l’étendue dépend de l’organisation et des responsabilités. Dans un cabinet partagé, l’accès à toute la patientèle n’est pas une conséquence automatique du partage des locaux ou de l’agenda. Écrivez la règle et testez le cloisonnement.

Pour un remplacement, définissez le périmètre, la période et la continuité nécessaire. Programmez la fin dès le départ. Ne donnez jamais le compte du titulaire. Le guide sur le remplacement, la collaboration et la cession traite les choix organisationnels ; la présente page se limite à la traduction de ces choix en droits testables.

Comptabilité et gestion

La comptabilité reçoit les montants, factures, règlements et pièces nécessaires. Elle ne devrait pas ouvrir les notes de suivi pour rapprocher une facture. Si les factures contiennent des informations superflues, corrigez le modèle plutôt que d’étendre le droit.

Testez les exports comptables séparément des exports de dossiers. Vérifiez les périodes, les filtres et les pièces jointes. Les droits de suppression ou d’annulation doivent être attribués selon la procédure du cabinet et laisser une trace.

Lecture seule et urgence

Un profil de lecture seule peut servir à une consultation limitée, à une transition ou à la continuité, mais il doit réellement empêcher modification, export massif et partage. Certains produits appellent « lecture » la possibilité de télécharger chaque document ; testez cette nuance.

Évitez un compte d’urgence partagé en permanence. Si une procédure exceptionnelle est nécessaire, définissez le déclenchement, l’identité qui l’autorise, la durée, l’alerte et la revue après usage. L’exception ne doit pas contourner les règles quotidiennes.

Piloter l’arrivée, le changement et le départ

La plupart des droits excessifs apparaissent moins lors de la création que pendant les mouvements. Une personne change de mission, un remplacement est prolongé, un prestataire revient ou un ancien compte reste actif. Une procédure courte et datée réduit ces oublis.

Préparer avant l’arrivée

La demande indique l’identité, la mission, le responsable, les outils, le profil, la date de début, la date de fin lorsqu’elle est connue et les validations requises. Créez le compte sans donnée réelle et testez-le avec le jeu fictif. Préparez l’activation de la MFA et le canal de récupération.

La personne reçoit les règles : usage du compte nominatif, confidentialité, verrouillage, interdiction de partager un secret, signalement d’un appareil perdu, conduite en cas de message suspect et interlocuteur. L’information sur la journalisation doit expliquer sa finalité de sécurité.

Activer le premier jour

Activez au moment prévu, changez le secret temporaire et vérifiez les facteurs. Faites exécuter deux ou trois scénarios. Le profil théorique peut différer du résultat après une mise à jour ou une configuration héritée. Corrigez immédiatement les écarts.

Consignez la validation sans recopier les données fictives inutiles. Une fiche peut mentionner « profil accueil : note inaccessible, agenda modifiable, export global bloqué, testé le 29 août 2026 ».

Changer de mission sans cumuler

Traitez un changement comme un départ partiel suivi d’une arrivée. Retirez les anciens groupes, délégations et appareils, puis ajoutez le nouveau profil. Testez à nouveau. Évitez d’empiler un rôle « temporaire » sur un rôle permanent sans date de fin.

Vérifiez aussi les espaces externes : dossier partagé, messagerie, outil de paiement, console d’hébergement, sauvegarde, porte du cabinet. Une matrice centralisée n’administre pas automatiquement ces systèmes ; elle sert de liste de contrôle.

Fermer au départ

À l’heure convenue, désactivez le compte, révoquez les sessions, retirez les facteurs, transférez si nécessaire les éléments professionnels selon une procédure autorisée, récupérez le matériel et fermez les accès physiques. Ne supprimez pas précipitamment les traces utiles : distinguez la fermeture du compte de la politique de conservation des journaux.

Contrôlez vingt-quatre heures plus tard que l’identité n’apparaît plus parmi les comptes actifs, administrateurs, délégations et appareils. Un compte désactivé dans le logiciel peut rester actif dans la messagerie ou l’espace cloud.

Encadrer l’administration et le support

Les comptes à privilèges peuvent modifier les rôles, exporter les données, désactiver les protections ou intervenir sur les journaux. Ils exigent donc une séparation nette des usages courants.

Séparer le compte de travail du compte administrateur

Le titulaire peut avoir besoin d’administrer le cabinet sans travailler toute la journée avec ces privilèges. Utilisez deux comptes distincts si le service le permet. Le compte d’administration reçoit une authentification renforcée, des alertes et un usage limité aux opérations prévues.

Réduisez le nombre d’administrateurs. Vérifiez les administrateurs cachés : propriétaire initial, compte de déploiement, ancien associé ou prestataire. Une adresse de récupération contrôlée par une seule personne peut devenir un privilège indirect.

Ouvrir le support pour une durée limitée

La CNIL recommande d’ouvrir les accès de télémaintenance à la demande, pour une durée définie, puis de les refermer. Avant l’intervention, consignez l’identité, le motif, le périmètre, la date et l’autorisation. Préférez une session visible ou supervisée lorsqu’elle peut exposer des données.

Après l’intervention, fermez l’accès et récupérez le compte rendu. Vérifiez les actions dans le journal. Un outil installé en permanence peut rester désactivé, mais sa présence, ses mises à jour et ses possibilités doivent être maîtrisées. Un compte support partagé et permanent est un signal d’arrêt.

Faire correspondre contrat et configuration

Conformément à l’article 28 du RGPD, le contrat de sous-traitance précise notamment les instructions, la confidentialité, les mesures, les autres sous-traitants et le sort des données ; le contrat de maintenance doit encadrer avec la même précision les accès qu’il autorise. La configuration doit raconter la même histoire. Une clause « accès uniquement sur demande » est contredite par un compte permanent non surveillé.

Pour sélectionner ou renégocier un service, utilisez le guide choisir un logiciel de cabinet à partir de preuves. DATA‑04 se concentre sur les comptes et droits une fois les responsabilités définies.

Journaliser pour détecter et comprendre

La journalisation ne sert pas à accumuler des traces « au cas où ». Elle sert à détecter une anomalie, comprendre un incident et démontrer les opérations réalisées. Elle doit être protégée, lisible et effectivement examinée.

Choisir les événements utiles

La CNIL recommande de tracer les créations, consultations, partages, modifications et suppressions, avec l’auteur, la date, l’heure, la nature et la référence des données. Ajoutez les connexions, échecs, exports, changements de rôle, actions administrateur et interventions techniques. Évitez d’enregistrer mots de passe, secrets ou contenu clinique complet.

Testez le fuseau horaire et l’horloge. Une trace décalée ou sans identifiant stable complique l’enquête. Demandez si le journal distingue une action de l’utilisateur, une automatisation et une intervention du fournisseur.

Fixer une durée et une finalité

La fiche sécurité de la CNIL publiée le 14 mars 2024 recommande, pour ces événements, une période glissante comprise entre six mois et un an, sauf justification différente liée notamment à une obligation, un contentieux, un contrôle interne ou une analyse post-incident. Cette fourchette est une recommandation générale, pas une durée universelle pour tous les journaux.

Documentez la durée choisie, les personnes autorisées à consulter les traces et les conditions d’export. Informez les utilisateurs de la journalisation. N’utilisez pas les traces de sécurité pour mesurer sans cadre les horaires ou la productivité : ce serait un changement de finalité.

Analyser plutôt que conserver passivement

Une trace non examinée ne détecte rien. Définissez des alertes possibles : échecs répétés, connexion inhabituelle, export massif, création d’un administrateur, accès support hors fenêtre ou consultation d’un volume anormal. Le seuil dépend du cabinet et de l’outil ; ne transformez pas toute action en alerte.

Lors de la revue, sélectionnez un événement fictif et vérifiez le chemin complet : génération, conservation, recherche, notification et décision. Si le fournisseur détient seul les logs, demandez un délai de réponse et un exemple expurgé.

Ne pas oublier les autres portes d’entrée

Les habilitations du logiciel principal ne protègent pas les copies, messages, appareils et accès physiques. Une politique cohérente applique les mêmes principes partout.

Messagerie, cloud et liens de partage

Vérifiez les délégations de boîte, dossiers partagés, liens publics, comptes invités et appareils connectés. Un lien « toute personne disposant du lien » contourne les profils. Retirez les invités après la mission et limitez la durée des liens lorsque le service le permet.

La page sur la communication par SMS et courriel traite les canaux ; ici, l’objectif est d’identifier qui peut ouvrir, transmettre ou administrer ces canaux.

Postes, mobiles et dossiers locaux

Un utilisateur sans droit d’export peut encore enregistrer un document dans Téléchargements. Limitez les droits locaux, chiffrez les appareils, verrouillez les sessions et définissez le rangement des fichiers. Un mobile perdu doit pouvoir être retiré du compte et, selon les possibilités, effacé à distance.

Ne donnez pas les droits administrateur du poste pour les opérations quotidiennes. Un compte local privilégié peut installer un outil de prise en main ou lire des données mises en cache.

Papier, clés et locaux

La matrice inclut les clés, armoires, archives et zones d’accueil. Le départ ferme les accès physiques en même temps que les comptes numériques. Évitez qu’un document sensible reste visible sur une imprimante ou qu’une clé non restituée ouvre l’archive.

Adapter la méthode à quatre situations de cabinet

Cabinet individuel sans salarié

Même seul, séparez compte courant et compte administrateur, activez la MFA et contrôlez les appareils. Recensez les accès du support, du comptable et des services connectés. Le risque n’est pas le nombre de collègues mais l’oubli d’un prestataire ou d’une ancienne session.

Cabinet partagé entre praticiens

Le partage de locaux ne décide pas du partage des dossiers. Écrivez les responsabilités, le cloisonnement et l’administration. Testez l’export d’un périmètre sans inclure les autres. La page sur les règles du cabinet partagé aide à cadrer l’organisation.

Secrétariat ou comptabilité externe

Créez un compte propre, limitez les objets, encadrez le contrat et programmez la revue. Vérifiez l’accès depuis les locaux du prestataire, ses propres utilisateurs et ses sous-traitants. Une seule identité pour toute une équipe externe rend la trace insuffisante.

Remplacements fréquents

Utilisez un modèle de demande avec date de fin obligatoire. Automatisez la désactivation si possible et révisez plus souvent que l’annuel minimal. Ne recyclez pas un ancien compte : une nouvelle personne reçoit une nouvelle identité.

Conduire une revue trimestrielle vérifiable

La CNIL recommande une revue a minima annuelle. Un cabinet soumis à des mouvements fréquents peut choisir une revue trimestrielle, sans présenter ce rythme comme une obligation générale. L’exercice peut tenir en trente minutes si les preuves sont préparées.

Comparer les comptes à la réalité

Exportez ou recopiez la liste des utilisateurs, administrateurs, comptes inactifs, invités et accès support. Comparez-la aux personnes présentes et aux missions. Contrôlez les dates de fin, facteurs MFA et appareils. Traitez immédiatement un compte orphelin.

Tester un profil tournant

Choisissez à chaque revue un profil différent et rejouez les cinq tests sur des données fictives. Un trimestre : accueil ; le suivant : remplaçant ; puis comptabilité et support. Cette rotation produit une couverture réaliste sans simuler tout le système à chaque fois.

Consigner décisions et réserves

Le compte rendu indique date, périmètre, personnes, écarts, corrections, responsables et échéances. Une réserve ouverte ne doit pas disparaître entre deux revues. Si l’outil empêche une séparation nécessaire, inscrivez une mesure temporaire et un choix de remplacement ou d’évolution.

Évaluer un logiciel sur sa capacité à séparer

Avant de signer, exigez un environnement d’essai fictif et vérifiez comptes nominatifs, rôles personnalisables, opérations massives, dates de fin, MFA, sessions, journaux et accès support. Une interface simple avec deux profils trop larges peut être inadaptée.

Demandez un export de la matrice ou de la liste des comptes. Vérifiez qui peut créer un administrateur et si cette action déclenche une alerte. Contrôlez les appareils et sessions. Refusez les réponses « tout est sécurisé » sans démonstration ni document.

La méthode générale de sélection et de réversibilité figure dans le guide de choix logiciel. Le présent test d’habilitation peut devenir un critère bloquant de cette décision.

Réagir à un accès douteux

Si un ancien compte fonctionne, si une session inconnue apparaît ou si un export semble anormal, ne commencez pas par effacer les traces. Contenez l’accès : suspendre le compte, révoquer les sessions, protéger les secrets et contacter le prestataire selon la procédure. Conservez les éléments nécessaires à l’analyse.

Notez l’heure, l’identité, les opérations et les données potentiellement concernées. Évaluez ensuite avec la compétence adaptée les obligations, notamment la qualification d’une violation de données. Le guide réagir à un incident de données détaille cette conduite ; DATA‑04 prépare les preuves qui la rendent possible.

Installer la méthode en trente jours

Semaine 1 : inventorier

Listez les services, données, comptes, appareils, accès physiques et prestataires. Identifiez les administrateurs et comptes partagés. Ne modifiez pas tout immédiatement : sécurisez d’abord un compte manifestement orphelin ou compromis, puis préparez la matrice.

Semaine 2 : décider

Définissez les profils et actions. Nommez le valideur. Fixez les exceptions et dates de fin. Préparez le jeu fictif et les résultats attendus. Choisissez les accès prioritaires pour la MFA.

Semaine 3 : configurer et tester

Créez les comptes nominatifs, séparez l’administration, activez la MFA, fermez les accès inutiles et rejouez les cinq tests. Documentez les limites du produit. Ne versez aucune donnée patient dans un bac d’essai non encadré.

Semaine 4 : fermer la boucle

Testez un départ, un changement de rôle, un accès support et la recherche dans les journaux. Planifiez la revue trimestrielle et la revue annuelle complète. Reliez la procédure au plan d’incident et au registre global RGPD présenté dans la checklist RGPD du cabinet.

Checklist de validation

• [ ] Chaque droit sensible répond à une mission, une action et une durée.
• [ ] Chaque personne et prestataire utilise une identité distincte.
• [ ] Les exceptions partagées sont validées, tracées et datées.
• [ ] La MFA protège les accès aux données de santé, distants et privilégiés lorsque le service le permet.
• [ ] Les secrets temporaires changent à la première connexion.
• [ ] Accueil, praticien, comptabilité, lecture et support ont été testés sur des dossiers fictifs.
• [ ] Les exports massifs, suppressions et changements de rôle sont limités.
• [ ] Les dates de fin et révocations de session font partie de la procédure.
• [ ] Le compte administrateur est distinct du compte courant.
• [ ] La télémaintenance s’ouvre sur demande et se referme après intervention.
• [ ] Les journaux associent identité, date, opération et référence sans dupliquer les données.
• [ ] La durée et la finalité des journaux sont documentées.
• [ ] Les accès messagerie, cloud, appareils, papier et locaux sont inclus.
• [ ] Une revue trimestrielle choisie par le cabinet et une revue au moins annuelle sont planifiées.

Connaître les limites

Ce guide ne fixe pas les droits de chaque organisation et ne remplace ni une analyse juridique, ni un audit technique. Les responsabilités, contrats, logiciels et modalités d’exercice varient. Un profil utile dans un cabinet peut être excessif ou insuffisant dans un autre.

L’authentification multifacteur réduit le risque d’usurpation sans empêcher toutes les attaques. Elle doit s’inscrire dans une défense plus large : comptes individualisés, moindre privilège, appareils protégés, alertes, formation, support encadré et réaction aux incidents.

La fourchette de six mois à un an mentionnée pour les journaux vient d’une recommandation générale de la CNIL et admet des adaptations justifiées. Elle ne doit pas être appliquée mécaniquement à tous les systèmes. Les traces restent des données personnelles soumises à une finalité, à une protection et à une durée.

Enfin, rien d’actionnable ne dépend des schémas. Les cinq tests, le cycle de vie, les scénarios et la checklist sont intégralement décrits dans le texte afin de rester accessibles sur petit écran ou sans image.

Suivi éditorial

Sources officielles contrôlées le : 29 août 2026. Prochaine revue prévue : 29 novembre 2026. Revue anticipée en cas d’évolution des recommandations CNIL relatives à l’authentification, aux habilitations ou à la journalisation, de nouvelle doctrine sur les données sensibles, ou de changement substantiel des fonctions de gestion des accès utilisées par le cabinet.

Sources officielles

• CNIL — Sécurité : gérer les habilitations, 13 mars 2024
• CNIL — Sécurité : authentifier les utilisateurs, guide 2024
• CNIL — Recommandation relative à l’authentification multifacteur, 1er avril 2025
• Légifrance — Délibération CNIL n° 2025-019 du 20 mars 2025 sur la MFA
• Légifrance — Délibération SAN-2026-003 du 22 janvier 2026
• CNIL — Sécurité : tracer les opérations, 14 mars 2024
• CNIL — Encadrer la maintenance et la fin de vie, 14 mars 2024
• EUR-Lex — Règlement (UE) 2016/679, notamment articles 28 et 32
• ANSSI / MesServicesCyber — Recommandations relatives à la MFA et aux mots de passe

À lire ensuite

• RGPD au cabinet : organiser les contrôles de départ
• Choisir un logiciel : vérifier les preuves avant de signer
• Sauvegardes et restauration : tester la reprise
• Incident de données : contenir, qualifier et documenter
• Export et réversibilité : garder une sortie praticable