Traçabilité et habilitations dans le logiciel

Référentiel BTS — BC4 / C4.7. Page de mise en pratique, avec renvois vers les écrans de WinOrtho.

L'essentiel : deux mécanismes traduisent la réglementation dans le logiciel — les habilitations (qui a le droit de voir quoi) et la journalisation (qui a effectivement fait quoi, et quand). Sans eux, aucune des obligations précédentes n'est démontrable.

Objectif

À la fin de cette page, vous savez :

• définir un profil d'habilitation à partir d'un rôle ;
• lire un journal d'activité et en tirer une conclusion ;
• situer ces éléments dans WinOrtho.

1. Les habilitations

Une habilitation répond à la question : de quoi cette personne a-t-elle besoin pour faire son travail ? — et à rien d'autre. C'est le principe du moindre privilège, transposé au logiciel métier.

Méthode en quatre étapes :

1. Lister les rôles réels de la structure, pas les personnes : orthoprothésiste, technicien, secrétariat, gestion, direction, apprenti.
2. Pour chaque rôle, lister les opérations nécessaires : consulter / créer / modifier / supprimer / exporter, par domaine (patients, PEC, facturation, stock, atelier, paramétrage).
3. Créer un profil par rôle, et y rattacher les personnes — jamais l'inverse.
4. Revoir la liste au moins une fois par an, et à chaque arrivée, changement de poste ou départ.

Les points de vigilance :

• Le droit d'exporter ou d'imprimer en masse mérite plus d'attention que le droit de consulter : c'est par là que partent les fuites volumineuses.
• Le droit de supprimer doit être rare et tracé.
• Les comptes d'administration ne servent qu'à administrer.
• Un apprenti ou stagiaire a un compte nominatif, restreint, et désactivé à la fin du stage.
• Un compte générique partagé annule toute traçabilité : c'est le défaut le plus grave.

2. La journalisation

Le journal enregistre qui, quand, quoi. C'est la contrepartie du droit d'accès aux données : parce que les professionnels peuvent consulter les dossiers, il faut pouvoir vérifier que ces consultations étaient légitimes.

Un journal sert à trois choses :

• répondre au patient qui demande qui a consulté son dossier ;
• établir les faits après un incident (violation, suspicion de consultation indue) ;
• dissuader — savoir que tout est tracé change les comportements.

Encore faut-il qu'il soit exploité : un journal que personne ne regarde jamais ne dissuade personne. Une revue périodique, même sommaire — quelques sondages par trimestre, et systématiquement après un événement — suffit à le rendre réel.

⚠️ Le journal contient lui-même des données personnelles (celles des salariés). Il a donc une durée de conservation définie, un accès restreint, et il ne peut pas être détourné en outil de surveillance permanente de l'activité des employés : son usage doit être annoncé à l'équipe, et proportionné.

3. Dans WinOrtho

Notion	Où la voir	Support détaillé
Comptes et profils utilisateurs	Écran Préférences	Formation — Système → Préférences
Journal d'activité (qui a fait quoi, quand)	Écran Journal d'activité	Formation — Direction → Journal d'activité
Exports de données	Écran Exports	Formation — Direction → Exports
Documents du dossier patient	Onglet Documents de la prise en charge	Formation — Général → Prises en charge
Données de droits et de mutuelle	Fiche patient	Formation — Général → Patients

Exercice de lecture d'écran à faire en salle : ouvrir le Journal d'activité de la maquette et identifier, sur quelques lignes, l'utilisateur, l'horodatage, l'objet et le type d'action. Puis se demander, pour chaque ligne : cette action était-elle nécessaire au travail de cette personne ?

À retenir

• Habilitations = le droit d'accéder ; journal = la preuve de ce qui a été fait.
• On crée des profils par rôle, et on y rattache les personnes.
• Export et suppression sont les droits les plus sensibles.
• Un compte partagé détruit la traçabilité — et donc la conformité.
• Le journal doit être relu pour servir à quelque chose, et reste lui-même encadré.

Exercice proposé

Reprenez l'organigramme du cabinet « Orthopédie du Val » : 2 orthoprothésistes, 1 technicien d'atelier, 1 secrétaire, 1 apprenti, 1 gérant.

Construisez le tableau des habilitations : en lignes les 6 domaines (patients, prises en charge, facturation, atelier, stock, paramétrage), en colonnes les rôles, et dans les cases : aucun / consulter / modifier / tout. Justifiez les trois arbitrages qui vous ont le plus fait hésiter.