WhatsApp et données patients : le risque qu’on ne voit pas

Aucune maison médicale n’a décidé un jour de gérer ses patients par WhatsApp. C’est arrivé parce qu’une patiente avait le numéro d’une infirmière, que c’était pratique, et que personne n’a jamais eu le temps de définir autre chose.

Le résultat est le même partout : une partie de la relation patient vit sur des téléphones privés, hors de tout système.

Le problème n’est pas l’application

On entend souvent que WhatsApp est « chiffré de bout en bout, donc sécurisé ». C’est vrai pour le transport du message, et sans rapport avec le problème réel.

Le problème est ailleurs :

• Le message n’appartient à personne. Il est sur un appareil personnel. Si la collègue est malade, en congé ou quitte la structure, la demande du patient part avec elle.
• Il n’y a aucune trace exploitable. Vous ne pouvez pas savoir si une demande a été traitée, par qui, ni quand — ni le prouver.
• Rien n’est rattaché au dossier. Une information cliniquement utile donnée par message n’est pas dans le dossier du patient. Elle est dans une conversation.
• La suppression est impossible à garantir. Si un patient exerce son droit à l’effacement, vous ne pouvez pas certifier que la donnée a disparu des sauvegardes du téléphone de trois collègues.
• La frontière vie privée / travail n’existe plus. Un message à 22 h un dimanche crée une attente de réponse, et une charge mentale que personne n’a acceptée.

Autrement dit : ce n’est pas un problème de chiffrement, c’est un problème de gouvernance.

Pourquoi l’interdiction ne fonctionne pas

La réaction habituelle est une note de service : « les échanges avec les patients passent désormais par le canal officiel ». Six semaines plus tard, WhatsApp est revenu.

Il revient parce qu’il résout un vrai besoin : les patients écrivent quand ils y pensent, pas pendant les heures d’ouverture, et ils veulent un canal qui ne demande ni compte, ni mot de passe, ni application supplémentaire.

Une interdiction sans remplacement équivalent ne supprime pas l’usage, elle le rend invisible. Et un usage invisible est un usage que vous ne pouvez plus encadrer.

Ce qu’il faut mettre en face

Le canal de remplacement doit être au moins aussi commode que celui qu’il remplace. Concrètement :

Un numéro de la structure, pas d’une personne. Un canal professionnel qui reste quand quelqu’un part, et qui n’expose aucun numéro privé.

Une file d’attente unique. Téléphone, email, message et demandes du portail arrivent au même endroit, avec un statut et une personne responsable. Deux canaux gérés séparément produisent inévitablement une demande oubliée.

Un rattachement automatique à la fiche patient. Le message doit se ranger tout seul dans le dossier de la bonne personne. Si le rattachement est manuel, il ne sera pas fait un jour d’affluence.

Des règles écrites et affichées aux patients. Ce que le canal accepte (rendez-vous, documents, questions administratives) et ce qu’il n’accepte pas (urgences, symptômes nécessitant un avis immédiat). Un canal sans limite explicite devient un canal d’urgence par défaut, ce qu’il n’est pas.

Des horaires visibles. Un délai de réponse annoncé — « nous répondons sous un jour ouvrable » — vaut mieux qu’une disponibilité implicite et permanente.

La transition qui fonctionne

Celles que nous voyons réussir suivent le même ordre :

1. On garde le numéro existant, mais on le fait basculer vers le canal de la structure. Le patient ne change rien à ses habitudes.
2. On répond aux anciens messages depuis le nouveau canal, en signant au nom de l’équipe et non d’une personne.
3. On laisse deux à trois mois avant de fermer les conversations personnelles, en prévenant.
4. On mesure : combien de demandes arrivent hors heures d’ouverture. Le chiffre surprend souvent, et il justifie à lui seul le portail de prise de rendez-vous.

Ce que ça change pour l’équipe

Le bénéfice le plus cité n’est pas la conformité, c’est la fin de la charge personnelle. Une demande visible par toute l’équipe, avec un responsable et un statut, cesse d’être un truc à ne pas oublier pendant le week-end.

La conformité, elle, vient en plus — et c’est probablement la seule manière de l’obtenir durablement.