Sécurité renforcée des dossiers patients et information des tiers de confiance après une violation de données

La formation restreinte retient la responsabilité de l’établissement pour les traitements liés au dossier patient informatisé, au sens de l’article 4, paragraphe 7, du RGPD. Cette responsabilité est corroborée par le registre prévu à l’article 30 du RGPD, le contrat conclu avec l’éditeur et l’analyse d’impact. Le dossier patient répond également aux exigences de l’article R. 1112-2 du code de la santé publique.

L’article 32 du RGPD impose une obligation de moyens : les mesures doivent être adaptées à la probabilité et à la gravité des risques, compte tenu notamment de la nature des données de santé. La seule survenance d’une violation ne suffit pas ; le manquement résulte de mesures insuffisantes ayant permis ou facilité l’attaque. L’absence d’authentification à deux facteurs ou de VPN, de surveillance des journaux et d’une politique d’habilitation adéquate caractérise ici une négligence.

Au titre de l’article 34 du RGPD, l’information des personnes concernées doit en principe être directe. L’information des patients par courriels, SMS et courriers a été jugée conforme, contrairement à l’absence d’information des tiers de confiance. Le communiqué publié sur le site de l’établissement ne suffisait pas, notamment parce que ces personnes n’avaient pas de raison de le consulter spontanément et que les données exposées permettaient des tentatives d’hameçonnage ou d’usurpation d’identité.

La formation restreinte apprécie enfin la gravité et la sanction au regard des critères de l’article 83 du RGPD, en tenant compte du volume de personnes concernées, des catégories de données, de la négligence et des mesures de sécurité absentes.

⬇️Télécharger la décision version officielle

Un établissement de santé centralisait dans un dossier patient informatisé des données d’identité, de santé et des informations relatives à des tiers de confiance. En 2025, un attaquant a utilisé les identifiants d’un médecin pour extraire plusieurs centaines de milliers de fiches. L’établissement a notifié la violation et informé les patients, mais n’a pas averti directement les tiers de confiance concernés. La CNIL a examiné la sécurité et l’information des personnes.

Un établissement de santé privé centralisait dans un dossier patient informatisé les données administratives, les copies de pièces d’identité, les données de santé et les coordonnées de personnes désignées comme tiers de confiance. L’accès au dossier était possible à distance pour des salariés, des praticiens libéraux, leurs secrétariats et le prestataire chargé de la maintenance.

En juin 2025, un attaquant a utilisé les identifiants d’un médecin libéral pour accéder au dossier et extraire plusieurs centaines de milliers de fiches. Les investigations ont révélé des données d’identité, de sécurité sociale, de contact, des copies de cartes d’identité, des données de santé et les informations relatives à des tiers de confiance.

L’établissement a notifié la violation à la CNIL et informé les patients par plusieurs canaux. Il n’a toutefois pas informé directement les tiers de confiance dont les données avaient été extraites. La CNIL a contrôlé les traitements et a examiné les manquements relatifs à la sécurité des données et à l’information des personnes concernées.

• Identifier concrètement la probabilité et la gravité des risques
• Tenir compte de la nature sensible des données de santé
• Déployer une authentification renforcée pour les accès à distance
• Surveiller les journaux et détecter les activités anormales
• Adapter les habilitations aux profils et aux besoins réels
• Informer directement toutes les personnes exposées à un risque élevé

• Registre des traitements désignant l’établissement responsable du DPI
• Analyse d’impact qualifiant le risque de gravité maximale
• Investigations établissant l’utilisation d’identifiants médicaux compromis
• Extraction de centaines de milliers de fiches patients
• Constat de l’absence de double authentification et de VPN
• Absence d’information directe des tiers de confiance identifiés

L’établissement est exposé à une sanction pour insuffisance des mesures de sécurité et défaut d’information directe. Les patients informés par des canaux adaptés ne sont pas concernés par le même manquement que les tiers de confiance restés sans notification.

• Manquement à l’article 32 du RGPD retenu
• Manquement à l’article 34 du RGPD pour les tiers de confiance
• Risque accru d’hameçonnage et d’usurpation d’identité
• Nécessité d’une authentification renforcée des accès distants
• Renforcement des journaux, alertes et habilitations
• Prise en compte de la gravité dans la sanction administrative

À faire

• Déployer une authentification à deux facteurs
• Sécuriser les accès distants par VPN
• Analyser régulièrement les journaux de connexion
• Réviser les habilitations selon les profils
• Notifier directement toutes les personnes exposées

À éviter

• Autoriser un accès distant sans protection renforcée
• Conserver des habilitations excessives
• Négliger les alertes d’activité anormale
• Limiter l’information à un communiqué en ligne
• Évaluer séparément les données liées aux tiers de confiance

La responsabilité du traitement du dossier patient informatisé

La responsabilité revient à l’établissement qui détermine les finalités et les moyens essentiels du traitement, conformément à l’article 4, paragraphe 7, du RGPD. Cette qualification est corroborée par le registre prévu à l’article 30 du RGPD, le contrat avec l’éditeur et l’analyse d’impact. Le dossier patient répond par ailleurs à l’obligation prévue par l’article R. 1112-2 du code de la santé publique.

Les critères de l’obligation de sécurité des données

L’article 32 du RGPD impose des mesures techniques et organisationnelles adaptées à la probabilité et à la gravité des risques. La violation ne suffit pas à elle seule : le manquement résulte de mesures insuffisantes ayant permis ou facilité l’attaque. L’absence d’authentification à deux facteurs ou de VPN, de surveillance des journaux et d’habilitations adéquates a été déterminante, compte tenu notamment des données de santé traitées.

L’information directe des personnes concernées

L’article 34 du RGPD exige en principe une communication directe lorsque la violation engendre un risque élevé. L’information des patients par courriels, SMS et courriers a été jugée suffisante. En revanche, le communiqué publié sur le site internet ne pouvait remplacer l’information directe des tiers de confiance, exposés à des risques d’hameçonnage et d’usurpation d’identité.

Article 4, paragraphe 7, du RGPD, Article 5, paragraphe 2, du RGPD, Article 9, paragraphe 1, du RGPD, Article 24 du RGPD, Article 25 du RGPD, Article 30 du RGPD, Article 32 du RGPD, Article 34 du RGPD, Article 58, paragraphe 2, du RGPD, Article 82 du RGPD, Article 83 du RGPD, Article 20 de la loi n° 78-17 du 6 janvier 1978, Article 20-IV de la loi n° 78-17 du 6 janvier 1978, Article 22 de la loi n° 78-17 du 6 janvier 1978, Article L. 1470-2 du code de la santé publique, Article R. 1112-2 du code de la santé publique