Sécurité des dossiers patients informatisés : trois rappels de la CNIL destinés aux éditeurs et établissements de santé

Par une délibération du 21 juillet 2026, rendue publique le 3 septembre 2026, la formation restreinte de la CNIL a infligé une amende de 500 000 euros à l'Hôpital privé de la Loire. Elle l'a assortie d'une injonction de mise en conformité.  

‍

Cette sanction fait suite à une violation de données survenue à l'été 2025 : un attaquant a pu consulter le dossier patient informatisé (DPI) de l'établissement pendant plusieurs jours sans être détecté. Les données de plus de 700 000 personnes, dont 500 000 patients ont été atteintes. Pour la CNIL, l'attaque a au contraire révélé une méconnaissance des principes essentiels de sécurité attendus d'un établissement qui traite des données de santé à grande échelle.

‍

À la suite de la notification de la violation, la CNIL a contrôlé l'établissement et relevé deux manquements.

‍

Un manquement à l'obligation de sécurité (article 32 du RGPD). La CNIL a relevé trois défaillances qui se cumulent :

‍

• L'authentification : les médecins accédaient au DPI depuis l'extérieur sans VPN ni authentification multifacteur. Un identifiant et un mot de passe compromis suffisaient donc à entrer dans le système.

‍

• Les habilitations : la politique d'habilitation n'était pas organisée par équipe de soins. Un seul compte permettait ainsi d'accéder aux dossiers de tous les patients de l'établissement, quel que soit le service concerné, ce qui constitue également un manquement aux dispositions du Code de la santé publique concernant le secret médical.  

• La détection : aucun dispositif ne permettait de détecter, en temps réel ou à très bref délai, une activité anormale, comme la consultation massive de dossiers par un même compte. L'extraction a donc pu se poursuivre plusieurs jours.

‍

Un manquement à l'obligation d'informer les personnes concernées (article 34 du RGPD). L'établissement avait informé les patients de la violation de données compte tenu du risque qu’elle représentait pour eux, mais pas directement les personnes désignées comme tiers de confiance par les patients et dont les données avaient aussi été impactées par la violation. Ces personnes n'ont donc pas reçu les informations nécessaires pour se prémunir des conséquences de la violation, notamment les risques d'hameçonnage ciblé.

‍

La CNIL a assorti la sanction d'une injonction de mise en conformité, avec des délais de 3 à 15 mois selon les manquements concernés. Les mesures à 3 mois visent notamment la journalisation avec alertes automatisées et celles de 15 mois concernent les mesures plus complexes comme la matrice d'habilitations.  

‍

‍

A retenir pour les établissements de santé et les éditeurs de DPI

‍

Sécuriser les accès au dossier patient

‍

Cette décision s'inscrit dans une ligne constante. La CNIL rappelle depuis plusieurs années que l'authentification multifacteur doit être la norme pour tout accès distant à des données sensibles. Elle rappelle également que la journalisation n'a d'utilité que si les journaux sont effectivement analysés.  

‍

La CNIL fait aussi le lien entre la sécurité informatique et les règles propres au secteur de la santé. Limiter les accès selon les équipes de soins n'est pas seulement une bonne pratique de sécurité. C'est la traduction technique du secret médical et des règles d'échange et de partage d'informations entre professionnels de santé, prévues par l'article L. 1110-4 du Code de la santé publique. Un DPI où chaque compte peut ouvrir tous les dossiers méconnaît à la fois le RGPD et ce cadre.

‍

En résumé, les accès au DPI doivent être conçus comme des accès à des données parmi les plus sensibles, en particulier lorsqu'ils sont ouverts depuis l'extérieur de l'établissement :

• imposer l'authentification multifacteur et un canal sécurisé (VPN ou équivalent) pour tout accès distant, y compris pour les praticiens libéraux et les intervenants extérieurs ;

• construire une matrice d'habilitations par équipe de soins et par profil, avec une procédure de « bris de glace » tracée pour les situations d'urgence ;

• encadrer les accès des éditeurs et prestataires de maintenance : pas d'accès permanent, une autorisation préalable pour chaque intervention et une traçabilité complète ;

• revoir régulièrement les comptes actifs et supprimer sans délai les droits devenus inutiles.

‍

Détecter et réagir

‍

Une violation n'est pas en soi un manquement : ce qui est sanctionné, c'est l'incapacité à la détecter et à en tirer les conséquences.  

‍

La CNIL rappelle également que l'obligation d'informer les personnes concernées par une violation s'apprécie au regard de toutes les personnes dont les données ont été touchées et pas uniquement de la population « principale » ou « sensible » du traitement. Les tiers de confiance, les proches, les aidants et les personnes à prévenir sont des personnes concernées à part entière.

‍

Les bonnes pratiques suivantes sont vivement conseillés pour faciliter la détection et ensuite la mise en œuvre du plan d’action :

‍

• mettre en place une analyse des journaux en temps réel ou quasi réel, avec des alertes automatiques sur les comportements anormaux (volumes de consultation, horaires, dossiers hors périmètre) ;

‍

• formaliser une procédure de gestion des violations qui recense toutes les catégories de personnes atteintes, y compris les tiers de confiance et les proches ;

‍

• vérifier dans vos contrats avec les éditeurs et hébergeurs (hébergeurs de données de santé notamment) la répartition des responsabilités en matière de journalisation, d'alerte et de notification ;

‍

• documenter les mesures prises, qui seront examinées par la CNIL en cas de contrôle.

‍

‍

Pour toute question ou besoin d'accompagnement, n'hésitez pas à contacter notre équipe IT/Data !