La fiche 11 du guide pratique de la CNIL pour les SPST encadre l’accès au dossier médical en santé au travail : chaque professionnel accède aux seuls dossiers et aux seules données que sa mission justifie.
La délibération SAN-2026-009 du 21 juillet 2026, qui sanctionne l’Hôpital privé de la Loire et a été publiée le 3 septembre 2026, précise ce que la CNIL attend en matière d’habilitations sur un dossier médical. La décision vise un établissement de santé ; ses exigences se transposent au DMST.
Ce qui change
Le détail de la sanction confirme les attentes de la CNIL :
- un cloisonnement des accès par équipe de soins ;
- des accès externes protégés par une double authentification ;
- un accès de l’éditeur limité et journalisé ;
- une détection en temps réel des consultations anormales.
Dans l’affaire sanctionnée, un rythme de 73 dossiers consultés par minute n’avait déclenché aucune alerte. Ces exigences découlent de l’article 32 du RGPD et du principe de minimisation de l’article 5.1.c, appliqué aux accès. Le volet authentification de la décision est traité au titre de la fiche 8 ; la fiche 11 retient ici le périmètre des accès.
Ce que cela implique pour un SPST
L’équivalent de l’équipe de soins, dans un service, est l’équipe pluridisciplinaire rattachée à un secteur ou à un portefeuille d’adhérents. Un logiciel qui ne distingue pas les équipes laisse chaque professionnel ouvrir tous les dossiers du service. Si tout le monde voit tout, la CNIL relève l’absence de cloisonnement, comme dans la décision de l’été.
Le cloisonnement doit s’accompagner d’une procédure de bris de glace pour les situations réelles (remplacement, urgence), avec une trace et un contrôle a posteriori. Sans elle, les équipes contournent les restrictions par des comptes partagés.
- Vérifier si le logiciel permet un cloisonnement par équipe ou par portefeuille d’adhérents, et l’activer.
- Prévoir un accès exceptionnel tracé pour les remplacements, contrôlé après coup.
- Exiger la double authentification pour tout accès depuis l’extérieur du réseau du service.
- Limiter l’accès de l’éditeur à des interventions ouvertes à la demande et journalisées.
- Demander à l’éditeur si une alerte peut se déclencher sur un volume de consultations anormal.
Le contrôle des journaux de consultation par la direction répond à une finalité de sécurité. Son usage à d’autres fins relève d’un autre cadre, traité dans le retour d’expérience sur les journaux de connexion.
Comment le traiter dans DPO SUITE
Ouvrez dans le registre des traitements la fiche du dossier médical en santé au travail et décrivez, dans les mesures de sécurité, le cloisonnement par équipe, la procédure d’accès exceptionnel, la double authentification et la détection. Dans le module infrastructure, rattachez ces mesures au serveur ou au composant qui héberge le logiciel métier.
Envoyez à l’éditeur le questionnaire d’audit des sous-traitants en ciblant le cloisonnement possible, la journalisation de ses propres accès et les alertes disponibles. Rattachez ses réponses à sa fiche dans le registre des sous-traitants.
Pour chaque attente non satisfaite, créez une non-conformité et une action corrective. Si l’absence de cloisonnement ne peut pas être corrigée rapidement, ouvrez une session d’AIPD sur le dossier médical : les scénarios de risques (consultation abusive, accès de l’éditeur non contrôlé) et le plan d’actions documenteront les mesures compensatoires. L’export au format PIA permet de partager l’analyse.
Dans l’audit SPEC 2217, localisez les preuves sur les exigences de gestion des accès. ALIX peut proposer des scénarios de risques adaptés au DMST, que l’on retient ou non.
Pour documenter le cloisonnement de vos accès, testez la création de votre registre.
Repères
- Délibération CNIL SAN-2026-009 du 21 juillet 2026 (Hôpital privé de la Loire), publiée le 3 septembre 2026
- Code du travail, articles R. 4624-45-5 et suivants
- RGPD, articles 5.1.c, 32 et 35
- Guide CNIL SPST, fiche 11
