La fiche 8 du guide pratique de la CNIL pour les SPST porte sur la sécurité des informations et renvoie à la politique générale de sécurité des systèmes d’information de santé (PGSSI-S). Le guide insiste sur l’authentification des utilisateurs, la journalisation et la gestion des accès des prestataires.
La délibération SAN-2026-009 du 21 juillet 2026, qui sanctionne l’Hôpital privé de la Loire, a été rendue publique le 3 septembre 2026. Les analyses parues depuis en précisent les manquements, et ils correspondent point par point aux exigences de la fiche 8.
Ce qui change
Selon la presse spécialisée, la décision relève plusieurs failles :
- un mot de passe temporaire identique pour tous les praticiens ;
- 73 dossiers consultés par minute sans qu’aucune détection ne se déclenche ;
- un accès permanent de l’éditeur au système.
Ces manquements relèvent de l’article 32 du RGPD, qui impose des mesures de sécurité adaptées au risque. Pour des données de santé, le niveau attendu est élevé. Les articles 33 et 34 encadrent la notification des violations ; une consultation massive non détectée retarde mécaniquement cette notification.
La décision vise un établissement de santé. Les logiciels métier des services de santé au travail présentent la même architecture : comptes des professionnels, accès de l’éditeur pour la maintenance, consultation de dossiers à distance.
Ce que cela implique pour un SPST
Un mot de passe temporaire commun crée un compte partagé de fait, le temps que chacun le change, et souvent plus longtemps. L’absence de détection signifie que personne ne lit les journaux, même s’ils existent. Un accès permanent de l’éditeur ouvre une porte que le service ne contrôle pas.
- Générer un mot de passe initial propre à chaque compte, à changer à la première connexion.
- Activer la double authentification pour les accès distants au logiciel métier.
- Vérifier que la journalisation existe, que quelqu’un la lit et qu’une alerte se déclenche sur les consultations en volume anormal.
- Limiter l’accès de l’éditeur à des interventions ouvertes à la demande, nominatives et journalisées.
- Inscrire ces contrôles au PGSSI comme revue périodique.
Le seuil d’alerte se règle selon l’activité réelle. Un médecin qui consulte quelques dizaines de dossiers par jour n’a pas besoin d’en ouvrir plusieurs par seconde. La question à poser à l’éditeur est simple : le logiciel sait-il le signaler ?
Comment le traiter dans DPO SUITE
Dans le module infrastructure, ouvrez la fiche du serveur ou du composant qui héberge le logiciel métier. Renseignez les mesures en place : méthode d’authentification, double authentification, journalisation, alertes, modalités d’accès de l’éditeur. Les champs vides montrent immédiatement ce qui reste à documenter.
Dans le registre des sous-traitants, ouvrez la fiche de l’éditeur et envoyez le questionnaire d’audit en ciblant les comptes de maintenance, leur caractère nominatif, la journalisation de leurs actions et la capacité du logiciel à détecter des consultations anormales. Les réponses restent attachées à la fiche.
Pour chaque écart (mot de passe initial commun, absence d’alerte, accès permanent de l’éditeur), créez une non-conformité et une action corrective avec un responsable et une échéance. Dans l’audit SPEC 2217, localisez les preuves sur les exigences relatives à la gestion des accès et à la journalisation.
Préparez aussi la réponse à une consultation anormale : le module incidents de sécurité permet de qualifier la violation et calcule le délai de notification de 72 heures. Une procédure « revue trimestrielle des accès » peut être créée dans le module procédures, avec son plan de tâches et son approbation. ALIX peut proposer une liste de questions à adresser à l’éditeur, à valider avant envoi.
Pour documenter vos mesures de sécurité, testez la création de votre registre.
Repères
- Délibération CNIL SAN-2026-009 du 21 juillet 2026 (Hôpital privé de la Loire), publiée le 3 septembre 2026
- RGPD, articles 32, 33 et 34
- AFNOR SPEC 2217, édition d’août 2023
- Guide CNIL SPST, fiche 8
