Dossier Usager Informatisé (DUI) : guide complet
_FR%20(1).png)
DPO Consulting Rejoint Grant Thornton
Dans un contexte ou le numérique transforme en profondeur le secteur médico-social pour les établissements et services médico-sociaux (ESMS), le Dossier Usager Informatisé (DUI) s'impose comme un véritable levier d'amélioration de la qualité d'accompagnement avec une meilleure coordination entre professionnels et une sécurisation des données renforcée.
Bien que la mise en place d'un DUI reste encore un chantier complexe (résistance aux nouvelles pratiques, coût global du projet couvrant l'acquisition, la maintenance et les formations au logiciel, interopérabilité encore difficile entre des systèmes hétérogènes), le DUI est néanmoins un véritable levier de confiance, qui permet de concilier la qualité de l'accompagnement avec la protection de la vie privée des usagers.
Le DUI est un logiciel qui centralise toutes les informations relatives à la personne accompagnée : données administratives, sociales et médico-sociales, évaluations, bilans, plans d'accompagnement personnalisés, échanges entre professionnels, historique de la prise en charge.
L'objectif est simple : mieux partager l'information entre les acteurs de l'accompagnement, tout en sécurisant les données et en plaçant l'usager au cœur de son parcours.
Bien que la loi n° 2002-2 du 2 janvier 2002 ait rendu obligatoire la tenue d'un dossier de l'usager et la traçabilité des actions réalisées, l'obligation d'informatiser ce dossier est plus récente. Avec les dernières réformes du numérique en santé (instruction n° DNS/CNSA/DGCS/2021/139 du 25 juin 2021, puis instruction n° DNS/CNSA/DGCS/2022/34 du 8 février 2022 relative à la phase de généralisation), son déploiement se généralise dans le cadre du programme “ESMS numérique”, piloté au niveau opérationnel par la Caisse Nationale de Solidarité pour l'Autonomie (CNSA) et, au niveau stratégique, par la Délégation au numérique en santé (DNS). Selon la CNSA, le Ségur du numérique mobilise 600 millions d'euros de 2021 à 2025 pour équiper le secteur.
Ce plan national vise donc à équiper progressivement l'ensemble des structures médico-sociales d'un DUI conforme à un référentiel d'exigences garantissant la sécurité, l'interopérabilité, le partage des données et la conformité au RGPD.
Un DUI fonctionne comme le fil conducteur numérique du parcours de la personne accompagnée. Chaque professionnel y consigne et y consulte les informations utiles à sa mission, selon un profil d'habilitation défini par l'établissement.
Concrètement, le dossier suit l'usager à chaque étape. À l'admission, l'équipe enregistre les données administratives et le recueil des besoins. Pendant l'accompagnement, les évaluations, le projet personnalisé et les transmissions quotidiennes alimentent le dossier en continu. Les professionnels concernés accèdent ainsi à une information à jour, sans ressaisie et sans circulation de documents papier.
Les versions référencées Ségur ajoutent une couche d'interopérabilité. Elles s'appuient sur l'Identité Nationale de Santé (INS) pour identifier l'usager de façon fiable, et peuvent échanger avec Mon espace santé et la messagerie sécurisée de santé (MSSanté). L'information circule donc entre l'ESMS, les professionnels de ville et l'hôpital, dans un cadre sécurisé.
Un logiciel DUI couvre l'ensemble du parcours de l'usager, de l'admission au suivi quotidien. Le cahier des charges national du programme ESMS numérique s'appuie sur la cartographie fonctionnelle établie par l'ANAP pour décrire ces périmètres. Les fonctionnalités structurantes sont les suivantes.
Les avantages d'un DUI se mesurent à la fois pour l'usager, pour les professionnels et pour l'établissement. La CNSA, qui pilote le programme ESMS numérique, en fait l'élément pivot de la transformation numérique du secteur.
Ces bénéfices supposent toutefois une solution bien choisie et bien paramétrée. C'est l'objet des sections suivantes, du choix d'une solution DUI ESMS référencée Ségur jusqu'aux bonnes pratiques de gestion au quotidien.
La mise en place d'un DUI s'inscrit pleinement dans le respect du Règlement Général sur la Protection des Données (RGPD). En effet, le DUI centralise de nombreuses informations personnelles, voire sensibles (état de santé, parcours de vie, compte-rendu d'accompagnement, données sociales), ce qui impose aux établissements et services médico-sociaux une vigilance accrue.
Le DUI permet de répondre aux dispositions du RGPD grâce à :
Uniquement avec les professionnels concernés ou via des plateformes sécurisées comme Mon Espace Santé.
Les exigences du RGPD applicables à un DUI découlent de la nature des données traitées. Un dossier usager contient des données de santé et des données sociales de personnes souvent vulnérables, ce qui relève de l'article 9 du RGPD sur les catégories particulières de données.
En pratique, l'ESMS, responsable de traitement, doit s'assurer des points suivants.
L'usager conserve par ailleurs l'ensemble de ses droits RGPD sur son dossier, dont le droit d'accès, de rectification et de limitation. La FAQ en fin d'article détaille les questions les plus fréquentes.
Le contrat avec l'éditeur de logiciel doit préciser, outre les mesures techniques et organisationnelles mises en place par ce dernier, l'ensemble des obligations relatives à l'article 28 du RGPD concernant la sous-traitance (les responsabilités respectives de l'éditeur et de l'établissement, la possibilité pour l'établissement de réaliser des audits, le lieu d'hébergement des données, les éventuels sous-traitants ultérieurs, la nécessité d'une coopération en cas de violation de données dans les 72 heures etc.). Pour aller plus loin sur ce point, consultez notre guide sur l'accord de traitement des données (DPA), qui inclut un modèle pratique.
La conformité au RGPD ne s'arrête pas à la signature du contrat. L'ESMS doit auditer régulièrement le prestataire et vérifier la mise à jour des mesures de sécurité afin qu'elles ne compromettent pas la protection des données.
Le Délégué à la Protection des Données (DPO) va donc jouer un rôle central pour surveiller et conseiller sur la conformité continue du DUI. Si votre structure ne dispose pas de cette expertise en interne, un DPO externalisé peut assurer cette mission de veille et de conseil.
Le bon logiciel DUI est celui qui couvre vos besoins métier, remplit les exigences réglementaires et reste finançable dans le cadre du programme ESMS numérique. Le référencement Ségur constitue le premier filtre, car il conditionne l'accès aux financements et garantit la conformité aux référentiels nationaux.
Le tableau ci-dessous récapitule les critères de sélection et ce qu'il faut vérifier pour chacun.
| Critère | Ce qu'il faut vérifier |
|---|---|
| Référencement Ségur | La solution figure dans la liste des DUI référencés par l'ANS pour votre champ d'activité (PA, PH, domicile). |
| Hébergement | Certificat HDS de l'hébergeur en cours de validité et lieu d'hébergement des données. |
| Couverture fonctionnelle | Correspondance avec la cartographie ANAP : admission, projet personnalisé, transmissions, planification, pilotage. |
| Interopérabilité | Prise en charge de l'INS, de Mon espace santé et de MSSanté, plus les connecteurs vers vos outils existants. |
| Sécurité et RGPD | Habilitations fines, journalisation, chiffrement, paramétrage des durées de conservation, clauses article 28. |
| Réversibilité et coût total | Clause de réversibilité avec formats exploitables, coûts d'acquisition, de maintenance, de formation et de reprise des données. |
Impliquez le DPO et les équipes de terrain dès la phase de sélection. Une démonstration sur vos cas d'usage réels révèle davantage qu'une grille tarifaire, en particulier pour évaluer l'ergonomie au quotidien d'une solution DUI ESMS.
Les défis d'un projet DUI sont autant organisationnels que techniques. Les anticiper dès le cadrage évite la plupart des échecs de déploiement.
La sécurité d'un DUI repose sur des mesures continues, pas sur le seul paramétrage initial. Les pratiques suivantes maintiennent la conformité dans la durée.
Pour conclure, le déploiement du DUI contribue à une approche plus coordonnée, plus sécurisée et plus transparente de l'accompagnement des personnes vulnérables.
Ce dossier unique a un avenir qui s'annonce de plus en plus connecté puisqu'une interopérabilité est en cours avec le Dossier Médical Partagé (DMP), désormais intégré à Mon espace santé. Cette liaison, pilotée cette fois par l'Agence du Numérique en Santé (ANS), permettra aux professionnels de santé et du médico-social d'accéder rapidement aux informations essentielles, d'améliorer la coordination des soins et de renforcer la continuité du parcours des usagers, dans le respect du RGPD et du secret médical.
Vous préparez ou sécurisez un projet de dossier usager informatisé ? Les experts de DPO Consulting accompagnent les ESMS sur toute la chaîne de conformité, du choix de l'éditeur à l'AIPD et au contrat de sous-traitance. Prenez rendez-vous avec un expert RGPD pour cadrer votre démarche.
Oui. La loi n° 2002-2 du 2 janvier 2002 garantit à l'usager l'accès à toute information relative à sa prise en charge, et le RGPD lui donne un droit d'accès à ses données personnelles (article 15). L'ESMS doit organiser des modalités de consultation adaptées, y compris pour les représentants légaux, et le dossier usager informatisé facilite cette mise à disposition.
Il n'existe pas de durée unique. Le RGPD impose une conservation limitée aux finalités du traitement (article 5), et les durées varient selon la nature des pièces, les obligations sectorielles et les règles d'archivage public applicables à l'établissement. L'ESMS doit définir un référentiel de durées avec son DPO, le documenter et le paramétrer dans le logiciel.
Oui, à condition d'avoir prévu la réversibilité. L'article 28 du RGPD impose la restitution ou la suppression des données en fin de contrat, et le contrat doit préciser les formats de restitution exploitables. Les exigences d'interopérabilité du référencement Ségur facilitent par ailleurs la migration d'un logiciel DUI vers un autre.
L'éditeur, en tant que sous-traitant, doit notifier la violation à l'ESMS dans les meilleurs délais (article 33.2 du RGPD). L'ESMS, responsable de traitement, notifie la CNIL sous 72 heures si la violation présente un risque pour les personnes, informe les usagers en cas de risque élevé (article 34) et documente l'incident dans son registre des violations.
Oui, pour les solutions référencées Ségur. Elles intègrent l'Identité Nationale de Santé (INS), échangent avec Mon espace santé et la messagerie sécurisée MSSanté, selon les référentiels publiés par l'Agence du Numérique en Santé (ANS). C'est cette interopérabilité qui relie le médico-social au reste du parcours de santé.
Deux exigences sont incontournables. L'hébergement des données doit être assuré par un hébergeur titulaire de la certification HDS (article L.1111-8 du Code de la santé publique), et la solution doit être référencée Ségur par l'ANS pour ouvrir droit aux financements du programme ESMS numérique. La certification ISO 27001 de l'éditeur constitue un gage supplémentaire de sérieux, sans être une obligation légale.
.svg)
