La fiche 5 du guide pratique de la CNIL pour les SPST traite des durées de conservation. On y pense surtout pour le dossier médical en santé au travail ; les journaux d’accès au dossier relèvent eux aussi d’une durée à fixer et à justifier.
La sanction prononcée par la CNIL le 21 juillet 2026 contre un établissement de santé (délibération SAN-2026-009, publiée le 3 septembre) a mis ce sujet au premier plan. Parmi les manquements retenus figurent des journaux « exploités uniquement à la demande », sans détection d’activité anormale.
Ce qui change
Les journaux d’accès ne servent à rien s’ils dorment. La sanction de l’été tire une conséquence nette : conserver les traces ne suffit pas, encore faut-il les analyser. La recommandation de la CNIL sur la journalisation précise ses attentes.
- Une durée de conservation définie : en règle générale de six mois à un an, davantage sur justification, par exemple lorsque le service doit pouvoir reconstituer des accès sur une période plus longue pour répondre à une enquête.
- Une analyse régulière, capable de repérer une activité anormale : volumes de consultation inhabituels, accès à des horaires atypiques, consultations de dossiers étrangers à l’équipe du professionnel.
Ces exigences découlent de l’article 32 du RGPD, qui impose des mesures de sécurité adaptées au risque. Pour des données de santé, le risque est élevé. La durée des journaux s’articule aussi avec le principe de limitation de la conservation (article 5.1.e) : des journaux gardés sans limite sont eux-mêmes un fichier de données personnelles, puisqu’ils indiquent qui a consulté quel dossier et quand.
Ce que cela implique pour un SPST
- Fixer par écrit la durée de conservation des journaux du logiciel métier, du portail adhérents et des accès distants, et la faire appliquer par l’éditeur ou l’hébergeur.
- Organiser une revue périodique des journaux, avec des seuils d’alerte et une personne désignée pour la conduire. Le médecin administrateur des habilitations est associé aux suites à donner.
- Demander à l’éditeur quels rapports d’activité anormale le logiciel produit sans demande préalable. Si aucun rapport n’existe, prévoir une extraction régulière.
- Documenter les revues : date, périmètre, anomalies relevées, suites. Cette trace répond à l’auditeur SPEC 2217 comme à la CNIL.
- Prévoir dans la procédure de gestion des violations le recours aux journaux pour reconstituer un incident, ce qui suppose une durée suffisante pour couvrir le délai habituel de détection.
La durée retenue doit être cohérente avec la réalité de la détection. Des journaux conservés trois mois ne permettent pas de reconstituer une fuite découverte au bout de six mois, comme dans le dossier sanctionné où l’exfiltration remontait à l’été 2025.
Comment le traiter dans DPO SUITE
- Dans le registre des délais de conservation, créez un document « Journaux d’accès au dossier médical » : point de départ (date de l’événement journalisé), base légale (article 32 du RGPD), durée retenue, localisation (logiciel métier, hébergeur).
- Faites de même pour les journaux du portail adhérents et des accès distants, puis interrogez le responsable de la donnée pour valider chaque durée.
- Ouvrez la fiche du logiciel métier dans le registre des logiciels et notez les capacités de journalisation et de rapport constatées.
- Créez une procédure « Revue des journaux d’accès », faites-la approuver et générez son plan de tâches, avec une tâche récurrente pour chaque revue.
- Dans l’audit SPEC 2217, rattachez les comptes rendus de revue comme preuves, en les localisant dans le drive du service.
- Si aucune revue n’est organisée à ce jour, ouvrez une non-conformité et une action corrective avec une échéance.
Le registre se construit pas à pas, fiche par fiche : tester la création de votre registre.
Repères
- Délibération CNIL SAN-2026-009 du 21 juillet 2026 (publiée le 3 septembre 2026)
- Recommandation de la CNIL sur la journalisation
- Règlement (UE) 2016/679 (RGPD), articles 5.1.e et 32
- Guide CNIL SPST, fiche 5
