La fiche 5 du guide CNIL pour les SPST couvre les durées de conservation de toutes les données du service, y compris les données techniques. Les journaux de connexion et d’accès au dossier médical en font partie : ils contiennent l’identité des professionnels, les dossiers consultés et les horaires d’accès.
Le 20 octobre 2026, le CERT-FR a publié un retour d’expérience sur les violations de données applicatives. Il fixe une durée plancher pour la conservation des journaux et explique pourquoi : plusieurs organismes victimes n’ont pas pu reconstituer ce qui s’était passé, faute de traces.
Ce qui change
Le document CERTFR-2026-CTI-008 du 20 octobre 2026 recommande une traçabilité d’au moins six mois. Le CERT-FR constate que, dans plusieurs incidents analysés, l’absence de journaux conservés a empêché de savoir quelles données avaient été consultées ou exfiltrées, depuis quand et par quel compte.
Sous l’angle du RGPD, la question se pose à deux niveaux. Les journaux sont une mesure de sécurité exigée par l’article 32 : sans eux, le service ne peut ni détecter un accès anormal ni qualifier une violation. Ils sont aussi des données personnelles des professionnels du service et des salariés suivis, soumises à l’article 5.1.e : leur durée doit être fixée et justifiée.
Le CERT-FR donne donc un repère utile pour fixer la borne basse. Pour un dossier de santé, la durée habituellement retenue est d’un an.
Ce que cela implique pour un SPST
Beaucoup de services n’ont jamais écrit la durée de conservation de leurs journaux. Elle dépend alors des réglages par défaut de l’éditeur ou de l’infogérant, parfois de quelques jours pour certains équipements.
- La durée de conservation des journaux de connexion et d’accès au dossier doit figurer au registre.
- Elle doit être reprise dans le contrat de l’éditeur du logiciel métier, de l’hébergeur et de l’infogérant. Un prestataire qui ne s’engage pas sur cette durée laisse le service sans trace le jour où il en a besoin.
- Les journaux doivent couvrir tous les points d’entrée : logiciel métier, messagerie et bureautique en ligne, accès distants, site internet et portail adhérents.
- Les personnes habilitées à consulter les journaux et les cas de consultation doivent être définis. Une lecture régulière, en dehors même de tout incident, figure parmi les mesures que la CNIL a vérifiées dans la clôture de l’injonction France Travail.
- Les professionnels du service doivent être informés de l’existence des journaux et de leur durée, au titre de l’article 13 du RGPD.
Une durée trop longue pose aussi problème. Conserver des journaux nominatifs pendant plusieurs années, sans finalité définie, revient à surveiller durablement l’activité des professionnels.
Comment le traiter dans DPO SUITE
Ouvrez le registre des délais de conservation et qualifiez le document « Journaux de connexion et d’accès au dossier médical » : point de départ (date de l’événement journalisé), base légale (article 32 du RGPD), durée retenue et localisation (serveur de l’éditeur, de l’hébergeur ou du service). Interrogez le responsable informatique pour qu’il valide la durée et confirme qu’elle est effectivement appliquée.
Dans le registre des traitements, ouvrez la fiche « Gestion des habilitations et traçabilité des accès » et mettez à jour les mesures de sécurité. Dans le module infrastructure, vérifiez que chaque serveur et composant qui produit des journaux est inscrit.
Dans le registre des sous-traitants, lancez un audit par questionnaire auprès de l’éditeur, de l’hébergeur et de l’infogérant, avec une question sur la durée de conservation des journaux et sur l’engagement contractuel correspondant. Une réponse absente ou inférieure à six mois se traite comme une non-conformité, avec son action corrective et une preuve à rattacher : l’avenant signé ou la capture du paramétrage.
Tester la création de votre registre dans DPO SUITE.
Repères
- Articles 5.1.e, 13 et 32 du RGPD
- CERTFR-2026-CTI-008 du 20 octobre 2026, cert.ssi.gouv.fr
- Délibération CNIL SAN-2026-013 du 23 septembre 2026
- Guide CNIL SPST, fiche 5
