La fiche 3 du guide pratique de la CNIL pour les SPST encadre les données d’identification du travailleur, dont l’identifiant national de santé (INS), et la manière de les fiabiliser. Le guide insiste sur la qualité de l’identité ; un incident de l’été rappelle que sa protection compte autant.
Le 20 juillet 2026, un groupement régional d’e-santé du Grand Est a révélé l’exfiltration d’un fichier administratif d’environ cinq millions de lignes contenant des INS. Aucune donnée médicale n’a été touchée. Le fichier ne contenait que des identités, et cela suffit à en faire une violation de données d’ampleur.
Ce qui change
Aucun texte nouveau n’est en cause. Le fait nouveau tient à la démonstration concrète d’un risque souvent sous-estimé : un fichier d’identités, séparé du contenu médical, peut être copié en masse. L’INS identifie une personne de façon certaine. Sa fuite constitue une violation de données au sens de l’article 4.12 du RGPD, même sans diagnostic associé, et entre dans le champ des articles 33 et 34 : notification à la CNIL dans les 72 heures sauf absence de risque, information des personnes en cas de risque élevé.
Pour un SPST, l’enseignement porte sur la cartographie des risques. Les analyses d’impact du dossier médical se concentrent souvent sur la confidentialité du contenu médical : diagnostics, avis, comptes rendus. Le risque d’exfiltration de masse des seules données d’identité y figure rarement comme scénario distinct, alors qu’il touche des fichiers moins protégés : exports administratifs, tables de rapprochement, fichiers de facturation des adhérents, extractions pour la convocation.
Ce que cela implique pour un SPST
- Recenser les endroits où des identités qualifiées, avec INS, sont stockées hors du dossier médical lui-même : bases de rapprochement, fichiers d’échange avec le contrôle médical, exports de convocation, sauvegardes.
- Appliquer à ces fichiers les mêmes mesures qu’au dossier : accès restreint, journalisation, chiffrement, suppression des extractions temporaires après usage.
- Ajouter à l’analyse d’impact du dossier médical un scénario d’exfiltration massive des données d’identité, avec sa vraisemblance et sa gravité propres. La gravité tient au nombre de personnes et à la fiabilité de l’identifiant, même sans donnée médicale.
- Vérifier que la procédure de gestion des violations traite ce cas : qualification, notification à la CNIL, information des personnes si le risque est élevé, mesures pour limiter l’usage frauduleux des identités (hameçonnage ciblé, usurpation).
- Interroger l’éditeur et l’hébergeur sur la séparation des bases et sur les droits d’export.
La fiche 3 du guide reste la référence pour la qualification des identités. L’incident de l’été conduit à la compléter, au niveau de l’analyse d’impact, par un regard sur ce qui arrive lorsque ces identités qualifiées sortent du service.
Comment le traiter dans DPO SUITE
- Ouvrez l’AIPD du dossier médical en santé au travail, créez un scénario de risque « Exfiltration massive des données d’identité (INS) », évaluez sa gravité et sa vraisemblance, puis inscrivez au plan d’actions les mesures retenues.
- Dans le module infrastructure, recensez les serveurs et composants qui hébergent des fichiers d’identités hors du dossier médical, et rattachez-les aux traitements concernés.
- Dans le registre des sous-traitants, ouvrez la fiche de l’éditeur et de l’hébergeur, puis envoyez un questionnaire d’audit portant sur la séparation des bases, les droits d’export et la journalisation.
- Créez une procédure « Gestion d’une violation de données d’identité », faites-la approuver et déclinez-la en plan de tâches.
- Préparez un incident de test dans le module incidents de sécurité : la qualification de la violation et le calcul du délai de notification de 72 heures permettent de vérifier le circuit avant un cas réel.
- Demandez à ALIX une proposition de mesures pour le plan d’actions de l’AIPD, puis retenez celles qui correspondent à l’organisation du service. Une AIPD mise à jour peut être exportée au format PIA.
Le registre se construit pas à pas, fiche par fiche : tester la création de votre registre.
Repères
- Incident révélé le 20 juillet 2026 (groupement régional d’e-santé, Grand Est)
- Règlement (UE) 2016/679 (RGPD), articles 4.12, 33, 34 et 35
- Référentiel INS v2.1 (arrêté du 12 décembre 2024)
- Guide CNIL SPST, fiche 3
