Secrecy Care Blog
Find the latest news from Secrecy Care, new products, events, and articles from our experts here.
Find the latest news from Secrecy Care, new products, events, and articles from our experts here.
Beaucoup d'établissements passent du temps à évaluer s'ils doivent mener une analyse d'impact. Pour un dossier patient, la question ne se pose pas : le traitement figure au premier rang de la liste publiée par la CNIL. L'obligation est acquise, et le travail commence là.
L'analyse d'impact relative à la protection des données, ou AIPD, s'impose dès qu'un traitement présente un risque élevé pour les droits et libertés des personnes. Deux voies conduisent à cette obligation : soit le traitement figure sur la liste des quatorze types d'opérations arrêtée par la CNIL, soit il remplit au moins deux des neuf critères issus des lignes directrices européennes. Pour les établissements de santé et les structures médico-sociales, la première voie suffit. Le point d'ouverture de cette liste vise les traitements de données de santé mis en œuvre pour la prise en charge des personnes, ce qui englobe le dossier patient, la télémédecine et les applications associées. L'analyse doit décrire le traitement dans ses aspects techniques comme opérationnels, évaluer sa nécessité et sa proportionnalité, apprécier les risques et présenter les mesures retenues pour les réduire. C'est là que le chiffrement des données de santé joue un rôle décisif : le niveau de protection retenu détermine le risque résiduel, et donc l'obligation ou non de consulter la CNIL avant la mise en œuvre.
La CNIL a adopté en octobre 2018 une liste de quatorze types de traitements pour lesquels une analyse d'impact est requise, après avis du Comité européen de la protection des données. Elle a complété ce dispositif en septembre 2019 par une seconde liste, recensant douze traitements pour lesquels l'analyse n'est pas jugée nécessaire.
Le premier item de la liste des traitements soumis à obligation concerne les données de santé mises en œuvre par les établissements de santé ou médico-sociaux pour la prise en charge des personnes. Dossier patient informatisé, télémédecine, applications de suivi des soins : tous relèvent de cette catégorie.
Un établissement n'a donc pas à passer par la grille des neuf critères. Cette grille sert aux organismes dont le traitement ne figure sur aucune des deux listes.
Reste que ces listes ne sont pas exhaustives, la CNIL le rappelle. Un traitement absent de la liste des obligations peut malgré tout nécessiter une analyse s'il remplit deux des neuf critères, parmi lesquels la collecte à grande échelle, le croisement de jeux de données, la vulnérabilité des personnes concernées ou l'usage de technologies innovantes.
Quatre volets composent le document attendu.
Le premier est une description détaillée du traitement, couvrant les aspects techniques et opérationnels. Le deuxième évalue la nécessité et la proportionnalité au regard de la finalité poursuivie. Le troisième apprécie les risques pour les droits et libertés des personnes, en distinguant les sources de risque, les événements redoutés et leurs conséquences. Le quatrième présente les mesures envisagées pour traiter ces risques.
La CNIL met à disposition un logiciel libre nommé PIA, qui structure la démarche et produit le livrable. Son usage n'est pas obligatoire, mais il évite de reconstruire une méthode et facilite la présentation en cas de contrôle.
Le délégué à la protection des données doit être associé à cette démarche. Dans un établissement, l'analyse mobilise en pratique plusieurs contributeurs : la direction des systèmes d'information pour les aspects techniques, les responsables métier pour les usages réels, parfois le référent identitovigilance.
Voici le point que les analyses traitent souvent trop vite, alors qu'il conditionne la suite de la procédure.
L'article 36 du RGPD impose de consulter la CNIL avant la mise en œuvre lorsque l'analyse révèle un risque résiduel élevé que le responsable de traitement ne parvient pas à réduire. Le mot important est « résiduel » : il s'agit du risque qui subsiste une fois les mesures appliquées, pas du risque brut.
Le chiffrement pèse directement sur ce calcul. Une base exfiltrée dont le contenu reste illisible ne produit pas les mêmes conséquences qu'une base lisible. Encore faut-il documenter le niveau retenu, car « les données sont chiffrées » ne renseigne pas l'autorité : elle attend de savoir si le chiffrement s'applique au transit, au repos, ou aux deux ; qui détient les clés ; et si l'hébergeur conserve une capacité de lecture.
La sanction prononcée en mai 2026 contre un exploitant d'entrepôts de données de santé illustre ce qui arrive lorsqu'une protection est déclarée plutôt que démontrée. L'argument de données anonymes a été écarté au motif qu'une réidentification demeurait raisonnablement possible. Une analyse d'impact rigoureuse anticipe ce type de contestation en établissant le niveau de protection plutôt qu'en l'affirmant.
Un établissement remplace son dossier patient informatisé. L'AIPD est obligatoire, sans discussion possible. Comment la mener sans y consacrer six mois ?
En commençant par la description technique, qui suppose d'obtenir de l'éditeur des réponses écrites sur trois points : où les données sont hébergées et sous quelle certification, quel niveau de chiffrement s'applique à quels flux, et quels sous-traitants interviennent dans la chaîne. Ces éléments constituent la matière première de l'analyse, et un éditeur incapable de les fournir signale par là même un niveau de maturité.
Vient ensuite l'appréciation des risques. Trois scénarios reviennent dans la plupart des établissements : l'accès illégitime d'un professionnel à un dossier qu'il n'a pas à consulter, l'exfiltration d'une base par compromission d'un compte à privilèges, l'indisponibilité prolongée du système à la suite d'une attaque par rançongiciel.
Pour chacun, l'analyse identifie les mesures existantes, évalue le risque résiduel et décide s'il faut renforcer. Un établissement dont les trois scénarios présentent un risque résiduel maîtrisé n'a pas à consulter la CNIL. Dans le cas contraire, la consultation devient obligatoire.
L'article 35 du RGPD pose l'obligation d'analyse lorsqu'un traitement est susceptible d'engendrer un risque élevé, et énumère le contenu minimal attendu. L'article 36 organise la consultation préalable de l'autorité de contrôle en cas de risque résiduel élevé.
En santé, ces dispositions se combinent avec l'article 9, qui classe les données de santé parmi les catégories particulières dont le traitement est interdit par principe, sauf exceptions. Elles se combinent également avec les référentiels sectoriels publiés par la CNIL, notamment celui applicable au dossier patient informatisé et celui relatif aux entrepôts de données de santé, qui précisent les mesures attendues et facilitent la rédaction de l'analyse.
L'obligation d'hébergement chez un prestataire certifié, posée par l'article L. 1111-8 du Code de la santé publique, constitue par ailleurs un élément à documenter dans l'analyse, sans s'y substituer : une certification atteste d'un niveau de sécurité audité, elle ne dispense pas d'évaluer les risques propres au traitement (source : CNIL, listes des traitements pour lesquels une AIPD est requise ou non, cnil.fr).
Les usages numériques en santé se diversifient plus vite que les référentiels. Entrepôts de données, outils d'aide au diagnostic, applications de suivi à distance : chacun soulève des questions que les analyses conduites il y a cinq ans n'anticipaient pas.
Deux conséquences se dessinent pour les établissements. La première tient à la fréquence de réexamen, qui devient un exercice régulier plutôt qu'une formalité de lancement. La seconde concerne le niveau de preuve attendu : les décisions récentes de la CNIL montrent une exigence croissante de démonstration technique, où une évaluation mesurée du risque de réidentification vaut mieux qu'une déclaration de conformité.
Message clé : en établissement de santé, l'AIPD n'est pas conditionnelle, et sa qualité se joue sur un point précis, le niveau de risque résiduel après application des mesures techniques.
C'est ce niveau qui détermine s'il faut consulter la CNIL avant de démarrer, et c'est là que la description du chiffrement retenu prend toute son importance.
Quand une AIPD est-elle obligatoire en établissement de santé ? Dès qu'il s'agit d'un traitement de données de santé pour la prise en charge des personnes, ce type figurant au premier rang de la liste arrêtée par la CNIL.
Faut-il une AIPD pour un logiciel de dossier patient ? Oui, sans avoir à passer par la grille des neuf critères : le dossier patient relève directement de la liste des traitements soumis à obligation.
Que doit contenir une analyse d'impact ? Une description détaillée du traitement dans ses aspects techniques et opérationnels, une évaluation de sa nécessité et de sa proportionnalité, une appréciation des risques pour les personnes, et les mesures retenues pour les traiter.
Quand faut-il consulter la CNIL après une AIPD ? Lorsque l'analyse révèle un risque résiduel élevé que l'établissement ne parvient pas à réduire par des mesures appropriées, conformément à l'article 36 du RGPD.
Qui doit réaliser l'AIPD dans un établissement ? Le responsable de traitement en porte la charge, avec l'association obligatoire du délégué à la protection des données, et la contribution des équipes techniques et métier.
Faut-il refaire son AIPD à chaque changement de logiciel ? Un changement significatif du traitement justifie un réexamen ; un changement d'outil qui modifie l'hébergement, les flux ou les mesures de sécurité entre dans ce cas.
Pour un établissement de santé ou médico-social, l'AIPD est obligatoire dès lors qu'il traite des données pour la prise en charge des personnes, ce traitement figurant au premier rang de la liste CNIL. L'analyse doit décrire le traitement, évaluer sa proportionnalité, apprécier les risques et présenter les mesures retenues. Le niveau de chiffrement documenté pèse directement sur l'évaluation du risque résiduel, qui détermine à son tour l'obligation de consulter la CNIL avant mise en œuvre.
Avant de lancer une analyse, réunissez trois éléments auprès de votre éditeur ou hébergeur : le certificat d'hébergement avec son périmètre exact, une description écrite du chiffrement appliqué à chaque flux, et la liste des sous-traitants intervenant dans la chaîne. Ces réponses conditionnent la qualité de votre appréciation des risques, et leur absence constitue en soi une information utile.
Pour un dossier patient, la question n'est pas de savoir si une AIPD est nécessaire, mais de la mener correctement.
Le risque résiduel, pas le risque brut, décide de l'obligation de consulter la CNIL.
Une protection déclarée ne vaut pas une protection démontrée, comme l'a rappelé la sanction prononcée en mai 2026 contre un exploitant d'entrepôts de données de santé.
Une analyse d'impact ressemble à l'étude préalable qu'un architecte mène avant de construire près d'une zone inondable. Elle décrit le terrain, identifie ce qui pourrait mal tourner, évalue la gravité, puis liste les protections retenues. Si le risque reste élevé malgré ces protections, le dossier passe devant une autorité avant tout démarrage. S'il devient acceptable, le chantier peut commencer, avec l'étude conservée comme preuve du raisonnement suivi.
Les équipes informatiques alimentent la partie de l'analyse qui pèse le plus dans l'évaluation finale. Sur la description du traitement, la cartographie doit couvrir l'ensemble des flux, y compris ceux que les projets oublient régulièrement : sauvegardes, environnements de recette alimentés par des extractions de production, exports vers des outils décisionnels, journaux applicatifs contenant des identifiants patients. Sur les mesures de sécurité, la formulation compte autant que la mesure elle-même, et l'analyse gagne à préciser le niveau de chiffrement par catégorie de flux, l'algorithme et le mode opératoire retenus, la localisation des clés au regard des privilèges applicatifs, ainsi que la politique de rotation ; un chiffrement dont les clés résident dans le même périmètre que l'application ne réduit pas le risque face à une compromission applicative, et le mentionner honnêtement vaut mieux que de laisser croire à une protection qui n'existe pas. Sur l'appréciation du risque de réidentification, lorsque des jeux pseudonymisés alimentent des travaux statistiques, une mesure de la taille des classes d'équivalence sur les combinaisons de quasi-identifiants apporte un élément chiffré que l'autorité peut examiner. Sur la traçabilité enfin, la journalisation des accès doit être décrite avec sa durée de conservation et son mode d'exploitation effectif.