Secrecy Care Blog
Find the latest news from Secrecy Care, new products, events, and articles from our experts here.
Find the latest news from Secrecy Care, new products, events, and articles from our experts here.
Le 3 septembre 2026, la CNIL a rendu publique une sanction de 500 000 euros contre une clinique privée dont le dossier patient informatisé avait été visité par un attaquant pendant plusieurs jours. La décision détaille, point par point, ce que l'autorité a vérifié. Pour un audit RGPD en clinique, c'est la meilleure liste de contrôle disponible, et elle a été écrite par celui qui contrôle.
Un contrôle de la CNIL en établissement de santé se concentre sur le dossier patient informatisé, parce qu'il centralise l'ensemble des données des personnes prises en charge et qu'il figure au premier rang des traitements soumis à analyse d'impact. La délibération SAN-2026-009 du 21 juillet 2026, qui sanctionne une clinique de Saint-Étienne, énumère les manquements retenus au titre de l'article 32 du RGPD : des accès distants sans authentification multifacteur, une politique d'habilitation qui ne tenait pas compte de la notion d'équipe de soins, l'absence de détection d'activité anormale permettant à l'attaquant d'extraire un volume très important de données sans être repéré, et un accès permanent de l'éditeur du logiciel. S'y ajoute un manquement à l'article 34 : les proches des patients, dont les données avaient été dérobées, n'ont pas été informés directement. Trois injonctions sous astreinte accompagnent l'amende, dont la refonte des habilitations sous quinze mois. Un audit interne qui reprend ces cinq points, et qui y ajoute la question du chiffrement des données de santé, couvre l'essentiel de ce qu'un contrôleur examinera.
Pourquoi la CNIL commence-t-elle par là ?
Parce que le dossier patient concentre tout : identité, antécédents, diagnostics, traitements, coordonnées, parfois copies de pièces d'identité et informations sur les proches. Une intrusion dans ce système expose l'intégralité de la patientèle d'un coup. Et parce qu'il figure au premier rang de la liste des traitements pour lesquels une analyse d'impact est obligatoire, ce qui signifie que l'établissement est censé avoir identifié lui-même le niveau de risque.
C'est ce dernier point qui pèse le plus lourd dans la décision de septembre. L'autorité n'a pas sanctionné une clinique prise au dépourvu par un risque inconnu. Elle a sanctionné un établissement qui connaissait la sensibilité de son dossier patient et n'avait pas calibré ses mesures en conséquence.
Pour un audit interne, la question de départ est donc simple : votre analyse d'impact sur le dossier patient existe-t-elle, et les mesures qu'elle décrit sont-elles effectivement en place ?
La décision retient cinq faiblesses au titre de la sécurité. Chacune se transforme en question vérifiable.
Les accès distants. Les connexions au dossier patient depuis l'extérieur se faisaient sans authentification multifacteur. Question d'audit : tout accès distant au DPI, y compris celui des prestataires, exige-t-il un second facteur ?
Les habilitations. La politique d'accès ne tenait pas compte de la notion d'équipe de soins, prévue aux articles L. 1110-4 et L. 1110-12 du Code de la santé publique : tout professionnel pouvait consulter tout dossier. Question d'audit : un médecin de votre établissement peut-il ouvrir le dossier d'un patient qu'il ne prend pas en charge ?
La détection. Aucun mécanisme ne signalait une activité anormale en temps réel ou à court terme. L'attaquant a exploré le dossier patient pendant plusieurs jours. Question d'audit : une extraction de plusieurs milliers de dossiers en une nuit produirait-elle une alerte, et quelqu'un la lirait-il ?
L'exploitation des journaux. Les traces existaient mais n'étaient pas analysées. Question d'audit : qui lit vos journaux d'accès, à quelle fréquence, et selon quelle procédure documentée ?
L'accès de l'éditeur. Le fournisseur du logiciel disposait d'un accès permanent au dossier patient. Question d'audit : votre éditeur peut-il se connecter à votre DPI sans autorisation préalable de votre part, et ces connexions sont-elles tracées ?
Aucune de ces questions ne demande une expertise technique rare. Chacune demande une réponse honnête.
Le manquement à l'article 34 retenu dans cette affaire mérite une attention particulière, parce qu'il surprend souvent les établissements.
La clinique avait informé ses patients de la violation par plusieurs canaux, et la CNIL n'a rien reproché sur ce point. Le grief porte sur les tiers de confiance : les proches désignés par les patients, dont les coordonnées figuraient dans le dossier et avaient été exfiltrées avec le reste. Ces personnes n'ont pas été informées directement.
La leçon dépasse le cas d'espèce. Un dossier patient contient des données sur des personnes qui ne sont pas des patients : personnes à prévenir, représentants légaux, aidants. En cas de violation, l'obligation d'information de l'article 34 s'étend à elles. Un audit doit vérifier que l'établissement sait identifier ces catégories dans son système, et dispose d'un moyen de les joindre.
La délibération ne reproche pas à la clinique l'absence de chiffrement. Elle ne le mentionne pas. Pourtant, chacun des six griefs aurait eu une portée différente avec une architecture de chiffrement adaptée.
L'attaquant a extrait un volume très important de données pendant plusieurs jours. Si ces données avaient été chiffrées au niveau applicatif, avec des clés conservées dans un service distinct auquel le compte compromis n'avait pas accès, l'extraction aurait rapporté des blocs inexploitables. La durée de l'intrusion aurait compté pour moins.
L'éditeur disposait d'un accès permanent. Si les clés de déchiffrement étaient restées sous le contrôle de l'établissement, cet accès aurait permis la maintenance du logiciel sans donner la lecture des dossiers. La question ne serait plus « l'éditeur peut-il se connecter » mais « l'éditeur peut-il lire », et la seconde se maîtrise mieux que la première.
Les proches n'ont pas été informés. L'article 34, paragraphe 3, dispense d'informer les personnes lorsque les données violées étaient rendues incompréhensibles par chiffrement, à condition que les clés n'aient pas été compromises. Cette dispense se gagne avant l'incident, par une architecture documentée.
Le chiffrement ne remplace aucune des cinq mesures que la CNIL attendait. Il change ce que leur défaillance coûte.
Une clinique de taille moyenne décide d'auditer son dossier patient avant qu'un contrôleur ne le fasse. Trois jours suffisent pour les vérifications qui comptent.
Le premier jour est consacré aux accès. Liste des comptes pouvant atteindre le DPI depuis l'extérieur, prestataires compris, et vérification du second facteur pour chacun. Liste des comptes de l'éditeur, nature de leur accès, et existence d'une procédure d'autorisation préalable. Test réel : un compte de test tente d'ouvrir le dossier d'un patient hors de son périmètre de soins.
Le deuxième jour porte sur les traces. Extraction des journaux d'accès du mois écoulé, et recherche de trois signaux : consultations massives par un compte unique, accès en dehors des horaires de service, consultations de dossiers sans lien avec une prise en charge en cours. Vérification de l'existence d'une alerte automatique sur au moins le premier de ces signaux.
Le troisième jour traite de la documentation. Analyse d'impact du dossier patient, procédure de notification de violation, identification des catégories de tiers présents dans le DPI, description de l'architecture de chiffrement et de la localisation des clés. Pour chaque document absent ou périmé, une date de production.
À l'issue de ces trois jours, l'établissement sait où il en est sur chacun des six griefs de la décision de septembre. C'est exactement ce que le contrôleur voudra savoir.
L'article 32 du RGPD impose des mesures techniques et organisationnelles appropriées au risque, en tenant compte de l'état des connaissances, des coûts et de la nature des données. Pour un dossier patient, la CNIL considère que ce niveau inclut l'authentification multifacteur des accès distants, une politique d'habilitation fondée sur l'équipe de soins, une détection des accès anormaux et une analyse effective des journaux.
Les articles L. 1110-4 et L. 1110-12 du Code de la santé publique définissent le secret professionnel et la notion d'équipe de soins, qui délimite les professionnels autorisés à partager les informations d'un patient. La décision rattache explicitement l'exigence d'habilitation à ces articles.
L'article 34 du RGPD impose l'information des personnes concernées en cas de violation présentant un risque élevé, et la décision confirme que cette obligation s'étend aux tiers dont les données figurent dans le dossier. La délibération SAN-2026-009 a été assortie de trois injonctions : analyse proactive des journaux et encadrement de l'accès de l'éditeur sous trois mois, refonte des habilitations sous quinze mois, chacune sous astreinte de 1 000 euros par jour de retard, avec publication de la décision pendant deux ans (source : CNIL, « Violation de données en matière de santé : sanction de 500 000 euros à l'encontre de l'Hôpital Privé de la Loire », 3 septembre 2026).
Cette décision est la première sanction pécuniaire publiée par la CNIL visant l'exfiltration d'un dossier patient informatisé. Elle ne sera pas la dernière : l'autorité a placé les données de santé parmi ses priorités de contrôle, et elle dispose désormais d'une grille publique que chaque établissement est censé connaître.
Le second mouvement tient au niveau d'exigence sur la détection. La CNIL n'attend plus seulement des journaux : elle attend qu'une extraction massive produise un signal et que quelqu'un y réponde dans un délai court. Pour les cliniques, cela suppose un outillage et une organisation que la plupart n'ont pas encore, et un dialogue avec l'éditeur du DPI sur ce que son logiciel sait détecter nativement.
Message clé : la CNIL a publié sa liste de contrôle sous forme de sanction, et un audit RGPD en clinique qui reprend ses six griefs, accès distants, habilitations, détection, analyse des journaux, accès de l'éditeur et information des tiers, couvre l'essentiel de ce qu'un contrôleur examinera.
Le chiffrement des données avec des clés sous contrôle de l'établissement ne figure pas dans cette liste, mais il change le coût de chaque point qui y figure.
Que vérifie la CNIL lors d'un contrôle en clinique ? Le dossier patient informatisé en premier lieu : authentification des accès distants, politique d'habilitation fondée sur l'équipe de soins, détection des accès anormaux, analyse effective des journaux, encadrement de l'accès de l'éditeur, et capacité à informer les personnes en cas de violation.
Comment préparer un contrôle CNIL en établissement de santé ? En auditant soi-même ces six points, en vérifiant que l'analyse d'impact du dossier patient existe et que les mesures qu'elle décrit sont en place, et en documentant l'architecture de chiffrement et la localisation des clés.
Un médecin peut-il accéder au dossier de n'importe quel patient ? Non. Le Code de la santé publique limite le partage d'informations à l'équipe de soins, et la CNIL a sanctionné une politique d'habilitation qui ne respectait pas cette notion.
L'éditeur du logiciel peut-il accéder au dossier patient en permanence ? La CNIL a exigé que chaque accès de l'éditeur soit soumis à l'autorisation préalable de l'établissement ; un accès permanent non encadré constitue un manquement à l'article 32.
Faut-il informer les proches en cas de fuite de données ? Oui, dès lors que leurs données figuraient dans le dossier patient et ont été exposées : la décision de septembre 2026 a retenu un manquement à l'article 34 sur ce point précis.
Que risque une clinique en cas de manquement ? Une amende, 500 000 euros dans la décision de référence, des injonctions sous astreinte journalière, et la publication de la sanction pendant deux ans.
La délibération SAN-2026-009 du 21 juillet 2026, rendue publique le 3 septembre, sanctionne une clinique privée à hauteur de 500 000 euros pour cinq faiblesses de sécurité du dossier patient informatisé et un défaut d'information des tiers. Ces six griefs constituent la liste d'audit de référence : authentification multifacteur des accès distants, habilitations fondées sur l'équipe de soins, détection des accès anormaux, analyse effective des journaux, encadrement de l'accès de l'éditeur, information de toutes les personnes exposées. Le chiffrement des données avec des clés sous contrôle de l'établissement réduit le coût de chacune de ces défaillances et peut dispenser d'informer les personnes au titre de l'article 34.
Demandez à votre DSI de tenter, avec un compte de professionnel ordinaire, d'ouvrir le dossier d'un patient hors de son périmètre de soins. Si cela fonctionne, vous avez votre première priorité. Demandez ensuite à votre éditeur par écrit s'il peut se connecter à votre dossier patient sans vous en informer, et si vous détenez les clés qui déchiffrent les données qu'il héberge.
La CNIL n'a pas sanctionné une clinique surprise par un risque inconnu, mais un établissement qui connaissait la sensibilité de son dossier patient et n'avait pas agi en conséquence.
Les journaux existaient. Personne ne les lisait. C'est le grief le plus net de la décision.
Un dossier patient contient des données sur des personnes qui ne sont pas des patients, et l'obligation d'information s'étend à elles.
Imaginez un inspecteur qui publie, avant sa visite, la liste exacte des portes qu'il va pousser et des registres qu'il va ouvrir. C'est ce que la CNIL a fait en motivant sa décision de septembre 2026. Un établissement qui pousse lui-même ces portes avant la visite n'évite pas le contrôle ; il évite d'y découvrir ce que l'inspecteur découvrira.
Trois chantiers techniques répondent directement aux griefs de la décision. Sur les habilitations, le dossier patient doit implémenter la notion d'équipe de soins de façon native, avec un rattachement dynamique des professionnels aux patients pris en charge, un mécanisme de bris de glace tracé et justifié pour les accès d'urgence, et une revue périodique des droits ; un modèle où tout professionnel voit tout patient n'est plus défendable. Sur la détection, instrumenter le DPI pour produire des alertes sur au moins trois signaux, volume de consultations par compte et par heure, accès hors horaires, consultations sans épisode de soins associé, et définir qui reçoit ces alertes et dans quel délai ; une alerte sans destinataire équivaut à une absence d'alerte. Sur l'accès de l'éditeur, remplacer tout accès permanent par un mécanisme d'ouverture à la demande, limité dans le temps, journalisé et approuvé par l'établissement, et séparer les droits de maintenance applicative des droits de lecture des données. Sur le chiffrement enfin, un chiffrement applicatif des données du dossier patient avec des clés conservées dans un service sous contrôle de l'établissement, distinct de l'infrastructure de l'éditeur, transforme l'accès de maintenance en accès à des blocs inexploitables et constitue la seule mesure qui, après coup, ouvre droit à la dispense d'information de l'article 34.