La fiche 11 du guide CNIL pour les SPST encadre l’accès au dossier médical en santé au travail. Seuls les professionnels habilités, pour les besoins de leur mission, peuvent y accéder, et leurs accès doivent être tracés.
La clôture de l’injonction visant France Travail, publiée le 8 octobre 2026, décrit ce que la CNIL attend des accès de partenaires et de conseillers extérieurs. Un service peut appliquer cette grille à tous les comptes externes de son logiciel métier.
Ce qui change
Par la délibération SAN-2026-013 du 23 septembre 2026, la CNIL a constaté que France Travail avait mis en place les mesures exigées au titre de l’article 32 du RGPD. Plusieurs concernent directement les accès externes : la double authentification pour les conseillers d’un réseau partenaire, la supervision des journaux d’un outil sensible, et des accès limités aux seules données nécessaires. La quatrième porte sur une politique de mots de passe robuste.
La sanction initiale, prononcée en janvier, portait précisément sur ces points. La CNIL a vérifié leur correction en septembre. Une case non cochée correspond donc à un écart déjà sanctionné.
Si l’article 20 du projet de loi de financement de la sécurité sociale pour 2027 est adopté, il ouvrirait les échanges avec le contrôle médical aux « autres professionnels de santé » du service présents à une réunion de concertation. La question de qui sait quoi, dans le service, se posera alors dans le logiciel.
Ce que cela implique pour un SPST
Un service compte souvent plus de comptes externes qu’il ne le pense : médecins vacataires, intervenants en prévention des risques professionnels extérieurs, collaborateurs médecins, internes, techniciens de l’éditeur, prestataire d’infogérance. Certains comptes subsistent après la fin de la mission.
Pour chacun de ces comptes, le service doit pouvoir montrer :
- une politique de mots de passe appliquée ;
- une double authentification active ;
- un journal des accès conservé et lu par quelqu’un ;
- un périmètre limité aux dossiers et aux rubriques nécessaires à la mission.
Les comptes des techniciens de l’éditeur méritent une attention particulière. Ils ont souvent un accès complet pour les besoins du support. Cet accès doit être ouvert à la demande, tracé et refermé à la fin de l’intervention.
Le CERT-FR, dans son retour d’expérience du 20 octobre, place les comptes de prestataires compromis ou jamais révoqués parmi les causes les plus fréquentes d’exfiltration. Une revue périodique des comptes, avec révocation à la fin de chaque mission, répond à ce risque.
La revue gagne à être croisée avec les départs et les fins de contrat. Le service des ressources humaines, la direction médicale et le responsable informatique détiennent chacun une partie de l’information ; un circuit simple, déclenché à chaque départ d’un vacataire ou à chaque fin de prestation, évite qu’un compte reste ouvert pendant des mois sans titulaire actif.
Comment le traiter dans DPO SUITE
Ouvrez dans le registre des traitements la fiche « Gestion des habilitations et traçabilité des accès » et décrivez les catégories de comptes externes, leurs périmètres et les mesures d’authentification. Soumettez la fiche à validation.
Dans le registre des sous-traitants, lancez un audit par questionnaire auprès de l’éditeur et de l’infogérant sur les quatre mesures, appliquées à leurs propres techniciens. Rattachez les réponses à leurs fiches.
Créez une procédure de revue des comptes externes, avec une périodicité et un responsable, faites-la approuver et planifiez ses échéances dans le plan de tâches. Documentez le résultat de chaque revue pour l’auditeur : dans l’audit SPEC 2217, rattachez-le comme preuve à l’exigence relative aux habilitations. Tout compte qui ne remplit pas l’une des quatre conditions donne lieu à une non-conformité et à une action corrective.
Tester la création de votre registre dans DPO SUITE.
Repères
- Article 32 du RGPD
- Délibération CNIL SAN-2026-013 du 23 septembre 2026 (publiée le 8 octobre 2026), cnil.fr
- CERTFR-2026-CTI-008 du 20 octobre 2026
- Articles R. 4624-45-5 et suivants du code du travail
- Guide CNIL SPST, fiche 11
