Secteur Santé

Hôpitaux, cliniques et établissements de santé accrédités

Accompagnement réglementaire et organisationnel des hôpitaux privés, cliniques, centres de soins ambulatoires, résidences médicalisées et laboratoires d’analyses : accréditation, sécurité des soins, données de santé, NIS2 et Modèle 231, aux côtés de la direction médicale, de la gestion du risque, du DPO, de l’informatique et des achats.

Ministero della Salute – ministère italien de la Santé
Régions italiennes – autorisation et accréditation
AGENAS – agence des services de santé (Italie)
Garante privacy – données personnelles
ACN – cybersécurité (Italie)
INAIL – accidents du travail (Italie)
D.Lgs. 502/1992 – organisation du système de santé
L. 24/2017 – Gelli-Bianco
RGPD – Règl. (UE) 2016/679
NIS2 – D.Lgs. 138/2024
D.Lgs. 81/2008 – santé et sécurité au travail
Règl. (UE) 2017/745 – dispositifs médicaux

Demander conseil

Les enjeux du secteur

Les points critiques

Autorisation et accréditation à maintenir dans le temps

Exigences structurelles, technologiques et organisationnelles fixées au niveau national (D.P.R. du 14 janvier 1997), exigences supplémentaires de qualification arrêtées par les Régions, inspections périodiques et accords contractuels définissant volumes et tarifs : ce qui est en jeu n’est pas seulement une sanction, mais le titre même qui autorise l’établissement à exercer et sa relation économique avec le Servizio sanitario nazionale, le service national de santé italien.

Risque clinique et contentieux médical

Événements indésirables et événements sentinelles à détecter et à signaler, sinistres à gérer, couverture d’assurance à maintenir, dossiers médicaux à remettre dans les délais légaux : la sécurité des soins est aujourd’hui une obligation organisationnelle, et non une bonne pratique facultative.

Données de santé et accès à l’information clinique

Dossier patient informatisé, dossier de santé interne, Fascicolo sanitario elettronico (le dossier médical partagé italien), télémédecine, comptes rendus d’examens en ligne et recherche clinique multiplient les points d’accès à des données relevant de catégories particulières, avec des bases juridiques distinctes pour le soin, la santé publique et la recherche, et avec la nécessité de tracer qui consulte quoi.

Continuité des services cliniques et cyberattaques

Un rançongiciel sur un système d’information hospitalier n’arrête pas un bureau : il bloque les programmes opératoires, le laboratoire, l’imagerie médicale et l’accès à l’historique du patient. Des réseaux mal segmentés, des dispositifs médicaux connectés dont les cycles de mise à jour sont longs et des sauvegardes non testées rendent la reprise incertaine.

Responsabilité de la personne morale et rapports avec le secteur public

Justification des prestations, subventions et fonds publics, achats de médicaments et de dispositifs, relations avec les médecins prescripteurs : autant de domaines où le D.Lgs. italien 231/2001 expose l’établissement à des sanctions pécuniaires et d’interdiction, ces dernières capables de toucher l’activité autorisée elle-même.

Sécurité, formation et gestion des déchets

Risque biologique, rayonnements ionisants, médicaments cytotoxiques, manutention des patients, stress lié au travail et agressions du personnel soignant, sans oublier les déchets d’activités de soins et la formation continue : des obligations qui concernent chaque service et doivent être documentées, pas seulement déclarées.

Domaines d’intervention

Comment nous intervenons, concrètement

Exigences d’accréditation et systèmes de management

Nous comparons les exigences applicables, des minima nationaux aux exigences supplémentaires de la Région concernée, avec la documentation et les pratiques réellement suivies dans les services, repérons les éléments de preuve manquants et préparons l’établissement aux inspections. Lorsque des systèmes certifiés existent ou sont utiles (ISO 9001, ISO 45001, ISO/IEC 27001), nous les utilisons comme ossature, sans créer de manuels parallèles.

Risque clinique et dossiers médicaux

Nous accompagnons la direction médicale et la fonction de gestion du risque sur le signalement des incidents, l’analyse des événements indésirables, les audits cliniques, les flux vers le centre régional et vers l’observatoire national, ainsi que sur les recommandations ministérielles. Nous revoyons le processus de délivrance des dossiers médicaux afin que les délais de l’art. 4 de la loi italienne 24/2017 soient respectés de façon traçable.

Données de santé, dossier de santé interne et DPO

Nous remettons en ordre le registre des traitements, les mentions d’information et les consentements distincts pour le soin, la recherche et la communication, ainsi que la procédure applicable aux violations de données. Sur le dossier de santé interne, nous définissons des profils d’accès par rôle et par service, la journalisation et sa vérification périodique ; pour les prestataires (éditeurs de logiciels, laboratoires externes, services externalisés de comptes rendus), nous revoyons les contrats et les actes de désignation en qualité de sous-traitant. Le rôle de DPO externe est assumé lorsque l’établissement ne dispose pas d’un dispositif interne suffisant et indépendant.

NIS2 et sécurité des systèmes hospitaliers

Nous vérifions si l’établissement entre dans le périmètre du D.Lgs. 138/2024 et sous quelle classification, suivons l’enregistrement auprès de l’ACN (l’agence italienne de cybersécurité), les mesures de gestion du risque et la procédure de notification des incidents, et soumettons le dossier patient informatisé, le PACS, les systèmes de laboratoire, les portails de prise de rendez-vous et les réseaux de dispositifs médicaux à une évaluation des vulnérabilités et à des tests d’intrusion.

Modèle 231 et articulation avec la prévention de la corruption

Nous construisons ou mettons à jour le Modèle sur les processus réellement exposés (justification des prestations auprès de la Région, achats de produits de santé, libéralités et parrainages, santé et sécurité, infractions informatiques et fiscales) et organisons l’Organisme de surveillance avec des flux d’information venant de la gestion du risque, du DPO et des systèmes de management. Pour les entités également soumises à la loi italienne 190/2012 et aux obligations de publication du D.Lgs. 33/2013, nous articulons les deux systèmes au lieu de les dupliquer.

Audit interne et indicateurs pour la direction

Nous mettons en place un plan d’audit unique couvrant le clinique, l’administratif et l’informatique, avec des contrôles par échantillonnage sur les dossiers patients, les consentements, les accès aux systèmes, les marchés et les obligations de sécurité, et restituons à la direction générale des indicateurs lisibles sur les événements indésirables, les réclamations, les délais de réponse et l’état des actions correctives.

Le contexte

Pour un établissement de santé, les règles ne portent pas seulement sur la manière de travailler : elles portent sur le titre qui l’autorise à travailler. L’autorisation d’exercice, l’accréditation institutionnelle et les accords contractuels reposent sur les art. 8-ter, 8-quater et 8-quinquies du D.Lgs. italien 502/1992. Les exigences minimales structurelles, technologiques et organisationnelles ont une base nationale (D.P.R. du 14 janvier 1997), mais les Régions les complètent par des exigences supplémentaires de qualification et vérifient périodiquement qu’elles sont satisfaites : elles varient d’un territoire à l’autre et doivent être lues dans leur version en vigueur.

La sécurité des soins fait partie du droit à la santé depuis que la loi 24/2017 (Gelli-Bianco) en a fixé les instruments : fonction de gestion du risque sanitaire, flux sur les événements indésirables vers le centre régional et vers l’observatoire national institué auprès d’AGENAS (l’agence italienne des services de santé régionaux), obligation de couverture d’assurance ou de mesures analogues (art. 10), avec des exigences minimales définies par les textes d’application. L’art. 4 fixe les délais de remise des dossiers médicaux : sept jours à compter de la demande, compléments sous trente jours.

Données et systèmes constituent le chapitre qui évolue le plus vite. Les données concernant la santé relèvent des catégories particulières au sens de l’art. 9 du RGPD, avec des bases juridiques différentes selon qu’il s’agit du soin, de la santé publique ou de la recherche ; la désignation d’un délégué à la protection des données est obligatoire pour les organismes publics et lorsque le traitement à grande échelle de ces données constitue l’activité de base (art. 37 du RGPD) : c’est le périmètre du DPO externe. Le D.Lgs. 138/2024 range la santé parmi les secteurs hautement critiques, avec une classification qui dépend de la taille et de l’activité, à vérifier au cas par cas (conformité NIS2). L’indisponibilité des systèmes cliniques est à la fois un problème de continuité des soins, de sécurité informatique et de violation de données de santé : elle se gère avec une procédure unique. Les dispositifs médicaux connectés (règlement (UE) 2017/745) ajoutent un périmètre technique distinct de l’informatique administrative.

Restent les obligations de la personne morale : le Modèle 231 sur les infractions contre l’administration publique, la perception indue de financements publics, l’homicide et les blessures involontaires graves (art. 25-septies), ainsi que la santé et la sécurité au travail (D.Lgs. italien 81/2008). Pour les organismes publics et, dans les limites de l’art. 2-bis du D.Lgs. 33/2013, pour les entités de droit privé sous contrôle public, s’ajoutent la prévention de la corruption (loi 190/2012) et la transparence, à articuler avec le Modèle plutôt qu’à le dupliquer.

Notre accompagnement

Nous travaillons dans les processus cliniques et administratifs. Le point de départ est l’état des lieux de ce qui existe : éléments de preuve des exigences d’accréditation, procédures de la direction médicale, signalements d’incidents et sinistres ouverts, registre des traitements, profils d’accès aux applications cliniques. De là naît un plan avec des priorités, des responsables et des délais.

L’intervention est proportionnée à l’établissement : une clinique dotée d’un bloc opératoire, une résidence médicalisée et un laboratoire d’analyses n’ont ni les mêmes risques ni les mêmes obligations, et des procédures surdimensionnées ne sont pas appliquées dans les services.

Nos interlocuteurs sont la direction générale et la direction médicale, la gestion du risque, le DPO, l’informatique et les achats : un référent unique qui traverse les fonctions, au lieu de quatre consultants qui ne se parlent pas. Le périmètre se définit ensemble : un sujet ponctuel (une exigence d’accréditation à reconstituer, un événement indésirable à analyser, les profils d’accès à une application clinique), un suivi périodique des obligations et des indicateurs, ou l’accompagnement d’une phase précise, comme une inspection d’accréditation annoncée ou un changement de système d’information. Responsabilités et délais sont fixés au départ.

La valeur consiste à tenir ensemble des sujets confiés d’ordinaire à des intervenants différents. Le dossier patient informatisé est une exigence d’accréditation, une archive de données relevant de catégories particulières, un système critique pour la continuité du service et une source de preuve dans le contentieux : le lire sous tous ces angles produit une seule procédure, un seul registre des accès, un seul plan de vérifications. Les décisions restent du ressort de la direction.

Pourquoi un partenaire unique

Un seul système de procédures : accréditation, risque clinique, protection des données, sécurité informatique et 231 exigent des contrôles qui se recoupent ; nous les construisons une seule fois.
Compétences juridiques et techniques réunies : nous lisons les contrats et les actes de désignation en qualité de sous-traitant signés avec les éditeurs de logiciels, et nous évaluons les journaux d’événements, les réseaux et les configurations des systèmes cliniques.
Des éléments de preuve prêts pour les inspections : l’objectif n’est pas le manuel, c’est de démontrer qui a fait quoi, quand et sous quel contrôle.
La continuité : les exigences régionales et les obligations de sécurité changent ; nous restons aux côtés de l’établissement pour actualiser les procédures et former le personnel.

Questions fréquentes

Les réponses aux questions les plus courantes

Une accréditation régionale oblige-t-elle l’établissement à adopter un Modèle 231 ?

Le D.Lgs. 231/2001 n’impose pas l’adoption du Modèle de manière générale. Dans certaines Régions, la réglementation de l’accréditation et des accords contractuels renvoie aux modèles d’organisation et aux systèmes de contrôle interne, et dans les procédures d’attribution de marchés publics le Modèle apparaît en principe comme un élément valorisé de l’offre technique plutôt que comme une condition de participation : ce sont des vérifications à mener sur la réglementation de la Région concernée et sur chaque document de marché, non une donnée généralisable. Au-delà de l’obligation formelle, le fond demeure : sans un Modèle adopté avant les faits, mis en œuvre efficacement et surveillé par un Organisme de surveillance autonome, l’établissement n’a pas l’instrument qui lui permet de se défendre face à la mise en cause, et pour une structure accréditée les sanctions d’interdiction pèsent plus lourd que les sanctions pécuniaires.

Qui peut consulter le dossier de santé d’un patient et comment le démontrer ?

L’accès doit être limité au personnel qui participe au processus de soin, pour la durée et dans la mesure nécessaires, avec des profils différenciés par rôle et par service et avec la possibilité, pour la personne concernée, de s’opposer à l’intégration de certains épisodes de soin. La démonstration repose sur trois éléments : des profils d’autorisation alignés sur l’organisation réelle, une journalisation des accès conservée pendant la durée définie, des vérifications périodiques par échantillonnage dont les résultats sont documentés et suivis d’actions sur les cas anormaux. Sans le troisième élément, les deux premiers ne suffisent pas en cas d’inspection ou de réclamation.

La NIS2 s’applique-t-elle aussi à une clinique privée de taille moyenne ?

Le D.Lgs. 138/2024 range le secteur de la santé parmi les secteurs hautement critiques et inclut les prestataires de soins de santé, mais la qualification comme entité essentielle ou importante dépend de la taille, de la nature de l’activité et de critères propres au décret : la réponse n’est pas la même pour tous les établissements et doit être vérifiée au cas par cas. Si le périmètre est confirmé, suivent l’enregistrement sur la plateforme de l’ACN dans les délais annuels prévus, des mesures de gestion du risque proportionnées et la notification des incidents significatifs selon les phases et les délais fixés, à partir d’un premier signalement rapide.

Comment un établissement se prépare-t-il à l’indisponibilité du dossier patient informatisé ?

Par trois chantiers distincts. Le premier est technique : segmentation des réseaux entre administratif, clinique et dispositifs médicaux, gestion des comptes à privilèges, mises à jour, sauvegardes séparées du réseau de production et reprise éprouvée par des exercices, et pas seulement décrite dans une procédure. Le deuxième est organisationnel : des procédures de continuité en mode papier pour le triage, les traitements, le bloc opératoire et le laboratoire, avec des responsabilités définies et du personnel formé. Le troisième porte sur la gestion de l’événement : une seule procédure qui tienne ensemble la notification au Garante (l’autorité italienne de protection des données) de la violation de données de santé, la notification de l’incident à l’ACN lorsqu’elle est due, l’information des patients et les flux vers l’Organisme de surveillance.

La désignation d’un DPO est-elle obligatoire pour une clinique ou une résidence médicalisée ?

Pour les organismes publics, la désignation est toujours obligatoire. Pour les structures privées, l’obligation naît lorsque le traitement à grande échelle de données concernant la santé constitue l’activité de base (art. 37 du RGPD) : pour un hôpital, une clinique, une résidence médicalisée ou un laboratoire d’analyses, la condition est en principe remplie, tandis que pour de très petites structures ambulatoires l’appréciation exige un examen du volume et de la régularité des traitements. Dans tous les cas, l’analyse doit être mise par écrit, y compris lorsqu’elle conduit à ne pas désigner de DPO, et les coordonnées du DPO désigné doivent être communiquées au Garante et figurer dans les mentions d’information et dans le registre.

Services liés

Les compétences Nexaura pour ce secteur

Gouvernance

Conformité RGPD

Mise en conformité avec le règlement (UE) 2016/679 et le Code italien de la protection des données : audit, registre des traitements, DPIA, politiques et formation.

Gouvernance

DPO externe

Délégué à la protection des données externalisé : indépendance, compétence spécialisée et suivi continu des obligations issues du RGPD.

Cybersécurité

Conformité NIS2

Mise en conformité avec la directive (UE) 2022/2555 et le décret législatif italien 138/2024 : périmètre, gap analysis, mesures de sécurité, gouvernance et notification des incidents.

Cybersécurité

Tests d’intrusion et vulnérabilités

Contrôles techniques de sécurité sur les réseaux, les applications et les infrastructures : nous identifions les vulnérabilités avant qu’un attaquant ne le fasse.

Gouvernance

Conformité 231

Modèles d’organisation, de gestion et de contrôle au sens du décret législatif italien 231/2001, évaluation des risques d’infractions sous-jacentes et appui à l’Organisme de surveillance (OdV).

Parlons-en

Construisons ensemble votre avenir.

Parlez-nous des priorités de votre entreprise : lors d’un premier échange sans engagement, nous analysons le contexte et vous proposons un parcours concret, avec des délais et des résultats mesurables.

Demander conseil

info@nexaura.it