La fiche 11 du guide pratique de la CNIL pour les SPST traite de l’accès au dossier médical en santé au travail et de son alimentation. Le médecin du travail administre les habilitations : chaque membre de l’équipe pluridisciplinaire accède aux informations utiles à sa mission, dans le respect du secret médical (articles R. 4624-45-5 et suivants du code du travail).
La sanction prononcée par la CNIL le 21 juillet 2026 contre l’Hôpital privé de la Loire (délibération SAN-2026-009) donne à cette règle sa portée concrète. La CNIL a reproché un logiciel qui ne permettait pas de cloisonner les habilitations, si bien que tout professionnel pouvait consulter tous les dossiers, et des accès distants d’utilisateurs externes sans double authentification.
Ce qui change
Le principe ne change pas. Sa mise en œuvre technique devient un point de contrôle explicite. Un logiciel qui ouvre tous les dossiers à tous les utilisateurs méconnaît l’article 32 du RGPD et le principe de minimisation de l’article 5.1.c, quelles que soient les règles écrites par ailleurs.
Un médecin qui remplace un confrère a besoin des dossiers de ce confrère pendant le remplacement. Il n’a pas besoin de tous les dossiers du service, sans limite de durée. Le cloisonnement traduit le secret médical dans le système d’information.
La double authentification des accès externes a une échéance : les méthodologies de référence MR-001 et MR-003 mises à jour l’exigent au 1er janvier 2027 pour les accès par internet.
Ce que cela implique pour un SPST
Une revue des habilitations s’organise avec le médecin administrateur. Elle porte sur les comptes actifs, les profils attribués, les comptes externes (vacataires, remplaçants, éditeur, télétravail) et les comptes génériques, qui sont à supprimer : un compte partagé interdit de savoir qui a consulté quoi.
L’éditeur doit être interrogé par écrit, avec une réponse écrite attendue :
- Un professionnel peut-il ouvrir le dossier d’un salarié qui n’est pas suivi par son équipe ? Si oui, cet accès est-il tracé et signalé ?
- Les comptes externes passent-ils par une double authentification ?
- Quels rapports d’activité anormale le logiciel produit-il sans qu’on les demande ?
Les réponses permettent de mesurer l’écart avec les attentes de la CNIL et d’établir un plan. Si le logiciel ne permet pas le cloisonnement, la question devient contractuelle et doit être portée auprès de l’éditeur.
La revue doit être documentée : date, participants, comptes supprimés ou modifiés, décisions. Cette trace répond à l’auditeur SPEC 2217 et à la CNIL. Les droits d’accès et d’écriture de chaque profil, en particulier ceux des infirmiers et des assistants, dépendent de la répartition des missions dans le service et se réexaminent lorsque celle-ci évolue.
Comment le traiter dans DPO SUITE
- Créez une procédure « Revue annuelle des habilitations au dossier médical », faites-la approuver par le médecin administrateur et générez son plan de tâches.
- Dans le registre des logiciels, ouvrez la fiche du logiciel métier et notez les réponses de l’éditeur aux questions posées.
- Dans le registre des sous-traitants, envoyez à l’éditeur un questionnaire d’audit reprenant ces questions et conservez les réponses.
- Dans le module infrastructure, recensez les accès distants et notez pour chacun la présence de la double authentification.
- Créez une non-conformité pour chaque écart (absence de cloisonnement, comptes génériques, comptes externes sans double authentification), avec une action corrective et une échéance au plus tard au 1er janvier 2027.
- Dans l’audit SPEC 2217, rattachez le compte rendu de la revue comme preuve, localisé dans le drive du service.
Le registre se construit pas à pas, fiche par fiche : tester la création de votre registre.
Repères
- Délibération CNIL SAN-2026-009 du 21 juillet 2026
- Code du travail, articles R. 4624-45-5 et suivants ; décret n° 2022-1434 du 15 novembre 2022
- Méthodologies de référence MR-001 et MR-003 mises à jour
- Règlement (UE) 2016/679 (RGPD), articles 5.1.c et 32
- Guide CNIL SPST, fiche 11
