Sécurité des données médicales et notification des violations au regard du RGPD

La formation restreinte retient un manquement à l’article 32, paragraphe 1, du RGPD, qui impose au responsable de traitement des mesures techniques et organisationnelles adaptées au risque. L’ouverture de ports réseau, le paramétrage d’une fonction serveur accessible et l’absence de chiffrement ont permis l’accès libre, sans authentification, à des données médicales pendant près de cinq ans. La responsabilité du responsable de traitement demeure engagée, indépendamment de l’identité de l’auteur du paramétrage technique.

L’article 33, paragraphe 1, du RGPD impose de notifier une violation à l’autorité de contrôle dans les meilleurs délais et, si possible, dans les 72 heures, sauf absence de risque pour les droits et libertés. La connaissance de la violation par la CNIL lors d’un contrôle ne dispense pas le responsable de cette notification.

En application de l’article 20, III, de la loi du 6 janvier 1978 et de l’article 83 du RGPD, la CNIL apprécie notamment la gravité, la durée, les catégories de données, la coopération et l’absence de notification. La réaction rapide et le renforcement ultérieur de la sécurité ont été pris en compte, mais la nature sensible des données, leur volume, leur accessibilité prolongée et l’absence de notification ont justifié une amende administrative de 6 000 euros, jugée effective, proportionnée et dissuasive.

⬇️Télécharger la décision version officielle

Des serveurs permettant l’accès à distance à des images médicales et à des données d’identification étaient librement accessibles sur internet. Après la suppression de la fonction exposée et le renforcement de la sécurité, la CNIL a néanmoins retenu un défaut de sécurisation du traitement et l’absence de notification de la violation. Une amende de 6 000 euros a été prononcée.

Un professionnel exerçant une activité libérale dans un cabinet utilisait un logiciel d’imagerie médicale permettant le transfert et l’accès à distance à des images de patients. Une enquête informatique a révélé que des serveurs étaient librement accessibles sur internet, au moyen d’un simple logiciel de consultation, avec des images médicales et des données d’identification.

La CNIL a confirmé l’accès ouvert lors de contrôles en ligne et identifié le responsable du traitement à partir de l’adresse IP concernée. Celui-ci a supprimé la fonction exposée, puis renforcé la sécurité du dispositif, notamment par le chiffrement et l’installation d’un certificat SSL.

La CNIL lui reprochait toutefois de ne pas avoir suffisamment sécurisé le traitement et de ne pas avoir notifié la violation. La formation restreinte a retenu ces deux manquements et prononcé une amende administrative de 6 000 euros, avec publication anonymisée de la décision.

• Identifier le responsable du traitement des données concernées.
• Constater une accessibilité non autorisée résultant de mesures de sécurité insuffisantes.
• Vérifier l’absence de limitation des fonctions réseau strictement nécessaires.
• Constater l’absence de chiffrement des données médicales stockées.
• Établir l’existence d’un risque pour les droits et libertés.
• Vérifier l’absence de notification de la violation à la CNIL.
• Évaluer gravité, durée, volume, catégories de données et coopération.

• Contrôles en ligne des 20 et 24 septembre 2019.
• Accès libre aux serveurs via un logiciel de consultation d’images.
• Liste des adresses IP localisées en France.
• Courriel reconnaissant la suppression immédiate de la fonction PACS.
• Audition décrivant le paramétrage de l’accès à distance.
• Documents attestant le chiffrement et l’installation ultérieure d’un certificat SSL.

Le responsable du traitement supporte la responsabilité de la sécurité des données, même lorsque l’intervention technique d’un prestataire est alléguée sans preuve. Il doit notifier séparément la violation à la CNIL et peut faire l’objet d’une amende lorsque des données de santé restent exposées durablement.

• Maintien de l’amende administrative de 6 000 euros
• Publication anonymisée de la décision sur les sites désignés
• Obligation de limiter les ports et fonctions réseau
• Chiffrement des postes et supports contenant les données
• Notification autonome des violations présentant un risque
• Conservation des preuves des interventions et mesures correctrices

À faire

• Limiter les ports et fonctions réseau au strict nécessaire.
• Chiffrer les postes et supports contenant des données médicales.
• Mettre en place une authentification adaptée aux accès distants.
• Notifier rapidement toute violation présentant un risque.
• Conserver les comptes rendus des interventions techniques.

À éviter

• Laisser une fonction serveur accessible sans authentification.
• Exposer des données médicales sur un réseau ouvert.
• Renoncer au chiffrement pour des motifs de performance.
• Supposer que le contrôle de la CNIL remplace la notification.
• Confier un paramétrage sans vérifier ni documenter les mesures prises.

La sécurité des traitements de données médicales

L’article 32 du RGPD impose des mesures techniques et organisationnelles adaptées au risque. La formation restreinte a retenu l’ouverture de ports réseau, l’exposition d’une fonction serveur et l’absence de chiffrement. Ces défaillances ont rendu accessibles sans authentification des données médicales et d’identification pendant près de cinq ans. L’identité du prestataire ayant éventuellement paramétré la box était sans incidence sur l’obligation du responsable de traitement.

La notification des violations de données personnelles

L’article 33, paragraphe 1, du RGPD impose une notification à l’autorité de contrôle dans les meilleurs délais et, si possible, sous 72 heures, sauf absence de risque pour les droits et libertés. Le fait que la CNIL ait découvert la violation lors d’un contrôle ne dispense pas le responsable de notifier lui-même la violation, notamment pour permettre son suivi.

Les critères de l’amende administrative selon l’article 83 du RGPD

La formation restreinte a pris en compte la gravité et la durée de la violation, les catégories de données, leur volume, l’absence de notification et la coopération ultérieure. La réaction rapide et les mesures correctrices ont atténué la sanction, mais l’exposition prolongée de données de santé a justifié une amende de 6 000 euros, jugée effective, proportionnée et dissuasive.

Article 9 du RGPD, Article 20 de la loi n° 78-17 du 6 janvier 1978, Article 22 de la loi n° 78-17 du 6 janvier 1978, Article 25 du RGPD, Article 32 du RGPD, Article 33 du RGPD, Article 40 du RGPD, Article 42 du RGPD, Article 55 du RGPD, Article 58 du RGPD, Article 83 du RGPD