Sécurité des données médicales et sanction CNIL pour défaut de protection d’un serveur d’imagerie

La formation restreinte retient un manquement à l’article 32 du RGPD : le responsable de traitement n’avait pas limité les fonctions réseau au strict nécessaire et n’avait pas chiffré les données médicales stockées sur ses équipements. L’exposition sans authentification de milliers de séries d’images, comprenant des données de santé et des informations identifiantes, pendant environ quatre mois, caractérise une sécurité insuffisante au regard du risque.

Elle retient également un manquement à l’article 33 du RGPD, estimant que l’information de la violation par les services de contrôle ne dispensait pas le responsable de traitement d’une notification formelle. La formation restreinte prend en compte, au titre de l’article 83, paragraphe 2, du RGPD, la gravité, la durée, les catégories de données, la coopération et l’absence de notification. Elle prononce une amende administrative de 3 000 euros sur le fondement de l’article 20, III, de la loi du 6 janvier 1978.

Le Conseil d’État a ensuite réformé cette délibération en ramenant l’amende à 2 500 euros, au motif que l’absence de notification ne pouvait être reprochée compte tenu des informations déjà détenues par la CNIL et ayant permis le contrôle.

⬇️Télécharger la décision version officielle

Plus de 5 300 séries d’images médicales, associées à des données identifiantes et de santé, ont été rendues accessibles sans authentification pendant environ quatre mois par l’ouverture de ports réseau et l’activation d’un serveur d’imagerie. La CNIL a retenu des manquements aux obligations de sécurité et de notification de violation. Une amende de 3 000 euros a été prononcée, ensuite réduite à 2 500 euros par le Conseil d’État.

Un professionnel exerçant une activité libérale conservait des images médicales sur le disque dur d’un ordinateur relié à une box Internet. L’ouverture de ports réseau et l’activation de la fonction serveur d’un logiciel d’imagerie ont rendu accessibles sans authentification, pendant environ quatre mois, plus de 5 300 séries d’images médicales accompagnées de données identifiantes et de santé.

La CNIL a découvert l’exposition grâce à un signalement en ligne, puis a identifié le responsable du traitement au moyen des adresses IP. Celui-ci a désactivé la fonction serveur et bloqué les ports inutiles après avoir été informé du contrôle. La formation restreinte a retenu des manquements aux articles 32 et 33 du RGPD et prononcé une amende de 3 000 euros. Le Conseil d’État a ultérieurement réduit cette amende à 2 500 euros concernant l’obligation de notification.

• Limiter les fonctions réseau aux seuls besoins du traitement
• Chiffrer les données médicales stockées sur les équipements
• Adapter la sécurité à la nature particulière des données
• Prévenir tout accès sans authentification aux données personnelles
• Notifier la violation dans les conditions prévues par l’article 33 du RGPD
• Évaluer la sanction selon les critères de l’article 83 du RGPD

• Contrôles en ligne confirmant l’accès libre aux images médicales
• Adresses IP identifiant le serveur et son responsable
• Courriel reconnaissant l’ouverture d’un port à tous vents
• Audition établissant l’absence de prestataire et l’ouverture manuelle des ports
• Dossier établissant l’exposition d’environ 5 300 séries pendant quatre mois

Le responsable de traitement s’expose à une sanction lorsque des données médicales sont accessibles en clair par un paramétrage réseau insuffisant. La réaction rapide permet de réduire les effets de la violation, sans nécessairement exclure la responsabilité ni la sanction.

• Exclusion du libre accès aux serveurs d’imagerie médicale
• Blocage immédiat des ports réseau inutiles
• Chiffrement des postes et supports contenant les données
• Documentation des mesures correctrices et de la coopération
• Évaluation de l’obligation de notification à la CNIL

À faire

• Limiter les ports aux fonctions strictement nécessaires
• Chiffrer les disques et supports contenant des données médicales
• Déployer une authentification forte pour les accès distants
• Documenter toute violation et les mesures correctrices
• Évaluer rapidement la notification prévue par l’article 33 du RGPD

À éviter

• Activer une fonction serveur sans contrôle d’exposition
• Laisser des ports réseau ouverts à tous
• Stocker des données médicales en clair
• Connecter des équipements non sécurisés au réseau professionnel
• Attendre un contrôle pour remédier à une vulnérabilité

La sécurité des données médicales au titre de l’article 32 du RGPD

La formation restreinte retient que le responsable de traitement devait mettre en œuvre des mesures techniques et organisationnelles adaptées. L’ouverture de ports non nécessaires, l’activation d’une fonction serveur et l’absence de chiffrement ont permis un accès libre à des données médicales. La nature particulière des données, leur volume et leur exposition pendant environ quatre mois caractérisent le manquement.

La notification des violations de données au titre de l’article 33 du RGPD

La formation restreinte a considéré que l’information donnée par les services de contrôle ne dispensait pas le responsable de traitement de notifier la violation à la CNIL. Toutefois, le Conseil d’État a ensuite réformé cette appréciation et réduit la sanction, en retenant l’absence d’obligation de notification au regard des informations dont la CNIL disposait déjà pour engager son contrôle.

Les critères de l’amende administrative au titre de l’article 83 du RGPD

La sanction est appréciée selon la gravité, la durée, les catégories de données, le nombre de personnes concernées, la coopération et la manière dont la CNIL a eu connaissance de la violation. La réaction rapide du responsable a été prise en compte, mais n’a pas neutralisé la gravité du défaut de sécurité.

Article 9 du RGPD, Article 20 de la loi n° 78-17 du 6 janvier 1978, Article 22 de la loi n° 78-17 du 6 janvier 1978, Article 25 du RGPD, Article 32 du RGPD, Article 33 du RGPD, Article 40 du RGPD, Article 42 du RGPD, Article 55 du RGPD, Article 58 du RGPD, Article 83 du RGPD, Considérant 75 du RGPD