Dématérialisation, gestion documentaire, workflows et outils collaboratifs : audit, conseil, formation et réalisation pour le médico-social

Cadre juridique des documents et des archives

Archives publiques et archives privées

Le code du patrimoine range sous le mot « archives » l'ensemble des documents produits ou reçus par une personne ou un organisme dans l'exercice de son activité, quels que soient leur date, leur forme et leur support. Les documents numériques, les courriels et les fichiers d'un espace partagé en font donc partie. L'article L. 211-4 distingue trois catégories d'archives publiques : les documents issus de l'activité de l'État, des collectivités territoriales, des établissements publics et des autres personnes morales de droit public ; ceux issus de la gestion d'un service public ou de l'exercice d'une mission de service public par des personnes de droit privé ; les minutes et répertoires des officiers publics ou ministériels. Les autres archives sont privées.

Un EHPAD (établissement d'hébergement pour personnes âgées dépendantes) public, un CCAS (centre communal d'action sociale), un CIAS (centre intercommunal d'action sociale) ou un conseil départemental produisent donc des archives publiques. Pour une association gestionnaire, la qualification dépend de son statut et de la nature de ses missions : elle se tranche au cas par cas, avec le service d'archives départemental ou un juriste, et non par principe.

Tri, élimination et durées de conservation

Pour les archives publiques, l'article L. 212-2 prévoit qu'à l'issue de la période d'utilisation courante, les documents sont triés : les documents utiles sont conservés, ceux qui n'ont plus d'utilité administrative, scientifique ou historique sont éliminés, la liste des documents à éliminer et les conditions de l'élimination étant fixées par accord entre l'autorité qui les a produits ou reçus et l'administration des archives. L'article L. 212-3 applique la même logique aux données personnelles qu'elles contiennent, à l'expiration de la durée de conservation prévue par la loi Informatique et libertés.

L'enjeu est pénal autant qu'organisationnel : selon l'article L. 214-3, détourner, soustraire ou détruire des archives publiques sans l'accord préalable de l'administration des archives est puni de trois ans d'emprisonnement et de 45 000 euros d'amende, la négligence l'étant d'un an et de 15 000 euros. Dans la pratique, cela suppose un inventaire, un calendrier de conservation et un bordereau d'élimination, selon la procédure que fixent vos archives départementales.

Numériser des documents papier ne contourne pas cette règle. Une instruction des Archives de France du 14 janvier 2005 (DITN/DPACI/RES/2005/001) traite la destruction d'un original papier après numérisation comme une élimination soumise au visa des archives, et le vade-mecum du Service interministériel des Archives de France publié en 2014 en précise les critères. Sur le terrain de la preuve, l'article 1379 du code civil et le décret n° 2016-1673 du 5 décembre 2016 définissent les conditions dans lesquelles une copie est présumée fiable.

Le RGPD impose par ailleurs de ne pas conserver les données plus longtemps que nécessaire. Pour le secteur, la CNIL (Commission nationale de l'informatique et des libertés) a publié le 15 novembre 2023 un référentiel sur les durées de conservation qui distingue les durées obligatoires, issues notamment du code de l'action sociale et des familles et du code de la santé publique, des durées qu'elle recommande. Il n'est pas exhaustif. La CNIL décrit un cycle en quatre temps : base active, archivage intermédiaire à accès restreint, archivage définitif, suppression ou anonymisation. Nous ne citons pas de durée sur cette page : elle dépend de la nature du document, du texte applicable et de votre statut, et c'est l'objet du calendrier de conservation.

Signature électronique et règlement eIDAS

Le règlement (UE) n° 910/2014 du 23 juillet 2014, dit eIDAS, fixe le cadre européen de l'identification électronique et des services de confiance. Il distingue la signature électronique en général, la signature avancée et la signature qualifiée. Son article 25 interdit de refuser tout effet juridique à une signature au seul motif qu'elle est électronique, et reconnaît à la signature qualifiée un effet équivalent à celui d'une signature manuscrite. Le règlement (UE) 2024/1183, entré en vigueur le 20 mai 2024, l'a modifié, notamment pour créer le cadre du portefeuille européen d'identité numérique.

En droit français, l'article 1367 du code civil exige un procédé fiable d'identification qui lie la signature à l'acte. Le décret n° 2017-1416 du 28 septembre 2017 présume fiable, jusqu'à preuve contraire, le procédé qui met en œuvre une signature qualifiée. Le niveau se choisit selon l'enjeu du document et le risque de contestation, et certains actes obéissent à des règles de forme propres. Nous aidons à documenter ce choix ; nous n'attestons pas qu'une signature est valable.

Normes, référentiels et rôles

ISO 15489 et ISO 30301

La norme ISO 15489-1:2016 (gestion des documents d'activité, partie 1 : concepts et principes) pose les principes de création, de maîtrise et de gestion des documents : métadonnées, systèmes, responsabilités, contrôles, formation. La norme ISO 30301:2019 définit les exigences d'un système de management des documents d'activité : politique, objectifs, mesure de la performance. Selon la norme, un organisme peut démontrer sa conformité par une auto-évaluation, par une confirmation externe de sa déclaration ou par une certification.

Ces normes ne remplacent pas la loi : pour des archives publiques, le code du patrimoine s'applique dans tous les cas. Optédif ne délivre aucune certification ISO (International Organization for Standardization, Organisation internationale de normalisation) et ne se présente pas comme organisme certificateur.

MoReq et archivage électronique

MoReq (Modular Requirements for Records Systems), dans sa version MoReq2010 publiée en 2011 par le DLM Forum, est une spécification d'exigences fonctionnelles et non fonctionnelles pour les systèmes de gestion des documents, d'accès libre. Elle ne désigne aucun produit : elle sert à rédiger un cahier des charges, à évaluer un système existant ou à former des équipes.

En France, la norme NF (norme française) Z42-013 (édition d'octobre 2020, « Archivage électronique, recommandations et exigences », selon le catalogue de l'AFNOR) décrit les exigences d'un système d'archivage électronique. Le Standard d'échange de données pour l'archivage (SEDA), élaboré par les Archives de France et la direction générale de la modernisation de l'État, structure les échanges avec les services d'archives. Un coffre-fort numérique ou une GED (gestion électronique des documents) ne devient pas un système d'archivage par la seule mention de ces références : l'écart se mesure sur les fonctions, les journaux et les procédures.

Rôles et responsabilités

La direction décide de la politique documentaire et répond du respect des textes. Le DPO conseille sur la conservation des données personnelles, le qualiticien relie les documents aux exigences de l'évaluation de la qualité, le directeur des systèmes d'information assure les outils et leur sécurité, l'archiviste ou le responsable de la gestion documentaire tient le plan de classement et le calendrier de conservation, et chaque service produit et classe ses documents. Lorsque ces rôles ne sont pas écrits, la responsabilité se dilue.

Outils collaboratifs, workflows et dossier usager

Outils collaboratifs : cadrer avant de choisir

Les thèmes de ce domaine citent des suites et services collaboratifs (Microsoft 365, Teams, OneDrive, Google Workspace, Google Drive) ainsi que LaSuite Docs et LaSuite Fichiers. Nous ne décrivons pas les fonctions d'un produit au-delà de la documentation de son éditeur, et nous ne recommandons pas un éditeur par principe. Trois questions précèdent tout choix : quels documents y seront déposés, qui y accède et selon quelles règles de partage, où les données sont hébergées.

L'article L. 1110-4 du code de la santé publique encadre l'échange d'informations entre professionnels du sanitaire, du social et du médico-social : il suppose que l'échange soit strictement nécessaire, et distingue le partage au sein d'une équipe de celui qui requiert le consentement préalable de la personne. Un espace partagé doit refléter ces règles dans ses droits d'accès, ce qui se prépare avec le DPO. Quand des données de santé recueillies à l'occasion d'un suivi social et médico-social sont hébergées, l'article L. 1111-8 soumet l'hébergeur à une certification, et un contrat de sous-traitance au titre de l'article 28 du RGPD est exigé.

LaSuite est la suite numérique de l'État, éditée par la DINUM (direction interministérielle du numérique) : Docs est un éditeur de texte collaboratif, Fichiers sert au stockage et au partage. Son accès est réservé aux agents de la fonction publique d'État et à leurs partenaires invités via ProConnect, pour une mission menée avec le service public. Une association de droit privé n'y accède donc que sur invitation, dans ce cadre. La suite est déconseillée pour les données de santé.

Workflows, formulaires et signature

Pour outiller des circuits de demande, de validation et de signature, les thèmes citent Bonita, Nintex, Microsoft Power Apps, Power Automate, Microsoft Forms, Google Forms et plusieurs produits OpenText (Extended ECM, Intelligent Capture, Core Signature, Process Automation for Government). D'après leurs éditeurs, Bonita, aujourd'hui édité par Ofelia (ex-Bonitasoft), est une plateforme de modélisation BPMN (Business Process Model and Notation) et d'automatisation de processus en low-code, et Nintex une plateforme d'automatisation qui couvre notamment workflows, formulaires, génération de documents et signature électronique. Pour les autres produits, nous nous appuyons sur la documentation de l'éditeur et sur votre paramétrage, sans en décrire les fonctions ici.

Un workflow ne vaut que par le processus qu'il outille. Nous commençons donc par dessiner qui demande, qui valide, qui signe et ce qui est archivé, puis nous choisissons l'outil. Un formulaire en ligne qui collecte des données personnelles est un traitement : information des personnes, minimisation, durée de conservation et hébergement du service s'y examinent, et il prend place dans le registre des traitements. Optédif n'est ni partenaire, ni revendeur, ni intégrateur agréé de ces éditeurs ; les noms cités sont des marques de leurs propriétaires.

Liens avec le RGPD et le dossier usager informatisé

Les documents d'une structure ne se limitent pas au dossier de la personne accompagnée. Celui-ci vit dans un logiciel métier, que le programme ESMS (établissement et service médico-social) numérique de la CNSA vise à généraliser sous la forme d'un dossier usager informatisé interopérable. Le terme officiel est « DUI référencé Ségur » : le référencement appartient à l'éditeur, jamais à Optédif. À côté du dossier vivent des courriers, comptes rendus, contrats et pièces administratives, qu'il faut relier à des règles communes de classement et de conservation.

Le contrat de séjour ou le document individuel de prise en charge prévu à l'article L. 311-4 du code de l'action sociale et des familles aborde notamment la collecte et le traitement des données de la personne dans un système d'information. Le registre des traitements, les analyses d'impact et la gestion des violations de données relèvent de notre domaine consacré au RGPD et à la cybersécurité ; le choix et le paramétrage d'un logiciel de dossier usager, de notre domaine consacré au dossier usager informatisé. Nous articulons nos travaux avec ceux de votre DPO.

Ce que nous faisons, et ce que nous ne faisons pas

Nos prestations

Nous intervenons auprès des directions, qualiticiens, DPO, DSI, responsables de la gestion documentaire et référents du dossier usager des associations gestionnaires, établissements et services sociaux et médico-sociaux, structures de la petite enfance, CCAS et CIAS. Nous auditons les circuits documentaires et les archives, conseillons sur la dématérialisation et le plan de classement, rédigeons plans de classement, trames et procédures, déployons ou migrons une GED, un parapheur ou un espace collaboratif, accompagnons les équipes dans l'adoption des outils et proposons des formations. Les missions se font au forfait ou en récurrent, avec un livrable défini, sous la responsabilité et l'encadrement d'Optédif.

Nos limites

Nous ne sommes pas l'administration des archives : le visa d'élimination et le contrôle scientifique et technique relèvent d'elle. Nous ne délivrons ni certification ISO, ni attestation de validité d'une signature, ni attestation qu'un outil répond à eIDAS, à MoReq ou à la norme NF Z42-013. Nous ne sommes pas hébergeur certifié de données de santé, ni éditeur, ni partenaire des éditeurs cités. Les missions qui touchent à des données personnelles sont précédées d'un contrat de sous-traitance et d'un cadrage des accès. Nous n'intervenons ni dans le soin, ni dans l'accompagnement des personnes.

Renvois et références officielles

Pour les communes, départements et l'administration générale, consultez notre site Secteur public (secteur-public.optedif.fr) ; pour les hôpitaux et cliniques, notre site Santé et hôpitaux (sante-hopitaux.optedif.fr). Sources officielles utilisées :

• Code du patrimoine, livre II, archives (Légifrance)
• CNIL, secteur social et médico-social : gérer les durées de conservation
• ANSSI, règlement eIDAS
• La Suite numérique (DINUM)