La fiche 8 du guide pratique de la CNIL pour les SPST demande des mesures de sécurité adaptées aux données de santé : gestion des comptes, authentification, journalisation, contrôle des équipements utilisés. Le guide vise les services, mais les attentes de la CNIL se lisent aussi dans ses contrôles d’autres organismes.
Le 4 septembre 2026, la commission des finances du Sénat a publié une note de contrôle sur le piratage de la DGFiP. La présidente de la CNIL a annoncé vers le 11 septembre un contrôle sur place, avec pour issue une mise en demeure ou une sanction d’ici la fin de l’année.
Ce qui change
La note du Sénat décrit les failles suivantes :
- des comptes de tiers multipliés ;
- des connexions depuis des équipements personnels, tolérées depuis la crise sanitaire ;
- l’absence de détection des extractions massives ;
- l’absence de double authentification sur un compte sensible.
Environ 678 000 personnes sont touchées. Le contrôle annoncé par la CNIL portera sur l’article 32 du RGPD et, selon ses suites, sur les articles 33 et 34. Ces failles recoupent celles relevées dans la sanction de l’Hôpital privé de la Loire publiée le même mois.
L’ANSSI a lancé le 7 septembre un dispositif de réaction renforcée pour les services de l’État. Il ne concerne pas les services de santé au travail, mais il confirme que la question des accès est traitée en priorité.
Ce que cela implique pour un SPST
Les failles de la DGFiP existent dans beaucoup de services. Les comptes de tiers se multiplient : éditeur, infogérant, prestataire de télémaintenance, intervenants temporaires. Les connexions depuis un ordinateur personnel ont souvent été autorisées pendant la crise sanitaire et jamais retirées. Les extractions massives (export de listes, requêtes sur l’ensemble des salariés d’un adhérent) passent rarement par une alerte.
- Recenser les comptes de tiers actifs et supprimer ceux qui ne servent plus.
- Vérifier que chaque compte de tiers est nominatif.
- Interdire ou encadrer les connexions depuis des équipements personnels, et mettre la règle par écrit.
- Activer la double authentification sur les comptes à privilèges et les accès distants.
- Demander à l’éditeur si les exports en volume sont journalisés et peuvent déclencher une alerte.
La tolérance née de la crise sanitaire mérite un examen à part. Une règle provisoire devenue permanente sans décision expresse n’a été ni évaluée ni documentée.
Comment le traiter dans DPO SUITE
Dans le module infrastructure, recensez les composants exposés : accès distants, portail de télémaintenance, serveurs du logiciel métier. Pour chacun, renseignez les comptes de tiers, la méthode d’authentification et la journalisation. Dans le registre des sous-traitants, ouvrez la fiche de chaque prestataire qui dispose d’un compte et vérifiez les contacts, la localisation et la liste des sous-traitants ultérieurs.
Envoyez le questionnaire d’audit des sous-traitants aux prestataires qui disposent d’un accès, en ciblant le caractère nominatif des comptes et la double authentification. Pour chaque écart, créez une non-conformité et une action corrective. La suppression des comptes inutiles se suit comme une tâche dans la liste des to-do, avec une preuve de suppression rattachée depuis le drive du client.
Si la règle sur les équipements personnels n’existe pas, créez-la dans le module procédures (procédure, plan de tâches, approbation) ; le document lui-même reste chez le service. Lors de l’audit annuel, reprenez ces points dans la campagne annuelle pour en vérifier le maintien. ALIX peut proposer une rédaction de la règle, à valider avant approbation.
Pour suivre vos comptes de tiers et vos accès, testez la création de votre registre.
Repères
- Note de contrôle de la commission des finances du Sénat du 4 septembre 2026 sur le piratage de la DGFiP
- Contrôle sur place de la CNIL annoncé en septembre 2026
- RGPD, articles 32, 33 et 34
- Guide CNIL SPST, fiche 8
