Minimiser les données : demander ce qui sert réellement, au bon moment et à la bonne personne

Relier chaque champ à une décision ou à une obligation précise

La CNIL recommande de ne collecter que des données adéquates, pertinentes et nécessaires à l’objectif annoncé. La précision et la durée de conservation doivent elles aussi être justifiées. Une information recueillie « au cas où » n’a pas automatiquement sa place dans un formulaire.

Pour revoir un écran, nous proposons de demander : qui utilise ce champ, pour faire quoi, à quel moment, et que se passe-t-il s’il manque ? Si personne ne peut répondre autrement que « cela pourrait servir », soumettez sa présence à un arbitrage plutôt que de la conserver par habitude.

Références : CNIL — minimiser les données collectées.

Ne pas transformer la prise de rendez-vous en interrogatoire clinique

Notre exemple fictif distingue la réservation, l’accueil administratif et la consultation. Un besoin d’aménagement peut être signalé pour organiser l’accès, sans exiger d’emblée un récit détaillé de toute l’histoire médicale.

La personne qui réserve pour la première fois ne doit pas avoir à deviner pourquoi des questions très personnelles lui sont posées. Expliquez le rôle des informations demandées et proposez le canal approprié lorsqu’une réponse nécessite un échange confidentiel. Le champ « motif » ne doit pas devenir un dossier médical improvisé dans un agenda visible trop largement.

Examiner le formulaire avec une grille de suppression, de déplacement ou de maintien

La grille suivante est une méthode de conception proposée, pas une liste universelle de champs autorisés. Une même information peut être nécessaire dans une spécialité et injustifiée dans une autre.

Sur petit écran, faites défiler le tableau horizontalement pour voir toutes les colonnes.

Une donnée nécessaire n’est pas nécessaire à tout le monde

La CNIL recommande de limiter les habilitations aux besoins des utilisateurs et d’adapter les permissions lors des changements de mission. Un accès temporaire ne doit pas devenir permanent par oubli.

Dans notre recette proposée, vérifiez séparément ce que voient l’accueil, le soignant et l’administrateur technique. Masquer une rubrique dans le menu ne suffit pas : le contrôle doit aussi empêcher son accès par un lien direct ou un export. À l’inverse, ne privez pas un soignant d’une information nécessaire à la sécurité de la prise en charge.

Références : CNIL — gérer les habilitations.

Empêcher les zones libres de devenir des collections de jugements

La CNIL rappelle l’importance de la pertinence des informations, notamment dans les champs de commentaires. Une zone libre n’est pas une dispense des règles applicables aux autres données.

Notre exemple de rédaction administrative : « rappel demandé après 14 heures » décrit une action. « Personne pénible » ne permet pas d’organiser le service et introduit un jugement. Distinguez observations factuelles, propos rapportés et hypothèses, avec l’auteur et le contexte utiles. Faites valider les règles des notes cliniques par les professionnels concernés ; leur précision ne se résume pas à une interdiction des champs libres.

Références : CNIL — vérifier la pertinence des données.

Compter les copies et les canaux, pas seulement les champs

La CNIL invite aussi à limiter les données introduites dans les journaux techniques et les usages secondaires. Une copie de diagnostic dans un outil de suivi d’erreur peut exposer une information qui n’était pas nécessaire au dépannage.

Notre contrôle proposé suit un export de test : quelles colonnes sortent, où le fichier est téléchargé, qui peut le lire et comment il cesse d’être utile ? Pour un tableau de fréquentation, demandez d’abord si des totaux suffisent. Un export nominatif complet ne doit pas être le réglage automatique de chaque demande statistique.

Références : CNIL — minimiser les données collectées.

Réduire le superflu sans casser l’identification ni le suivi

Notre garde-fou de conception est de ne jamais supprimer un élément de sécurité simplement parce qu’il est sensible. Les règles d’identification du patient, la provenance d’un résultat et les informations cliniques pertinentes doivent être préservées selon les exigences applicables.

Un champ retiré peut alimenter une lettre, une facture ou une recherche de dossier. Avant modification, cartographiez ces dépendances et testez les cas réels du métier avec des données fictives. La qualité d’un formulaire se mesure aussi à l’absence de ressaisie et d’erreur en aval.

Évaluer le changement sur des résultats observables

Notre proposition est de comparer avant et après : temps de saisie, demandes d’explication, corrections d’identité et informations manquantes à la consultation. Une réduction du nombre de champs n’est pas une réussite si elle crée davantage d’appels ou d’incertitudes.

Consignez pourquoi chaque champ a été conservé ou déplacé. Cette justification évite qu’un prochain changement d’équipe réintroduise tous les champs « par précaution ». Réexaminez aussi la conservation : le besoin initial ne justifie pas une copie active indéfinie.

Questions complémentaires