La fiche 8 du guide CNIL pour les SPST impose au service de mettre en œuvre des mesures de sécurité adaptées au risque, conformément à l’article 32 du RGPD, et de les étendre à ses sous-traitants. L’éditeur du logiciel métier, qui héberge ou administre souvent le dossier médical, est le premier d’entre eux.
Le 2 octobre 2026, le CERT-FR et le CERT Santé ont publié un retour d’expérience sur les vulnérabilités des solutions logicielles du secteur santé. Le constat porte directement sur la relation entre un service et ses éditeurs.
Ce qui change
Le document CERTFR-2026-CTI-007 décrit des failles critiques, exploitables depuis internet, dans des solutions largement déployées dans le secteur. Les corrections attendent parfois plus d’un an après le signalement. 74 pour cent des établissements interrogés déclarent avoir été confrontés à des éditeurs qui tardent ou refusent de corriger.
Le règlement européen sur la cyberrésilience imposera aux éditeurs des obligations de gestion des vulnérabilités à partir de décembre 2027. D’ici là, la seule prise du service sur son éditeur reste le contrat.
Sous l’angle du RGPD, une vulnérabilité connue et non corrigée sur un logiciel qui traite des données de santé est un défaut de sécurité au sens de l’article 32. L’article 28.3.f impose au sous-traitant d’aider le responsable de traitement à garantir cette sécurité. Si la faille est exploitée, le service devra notifier la violation et répondra de ne pas avoir exigé de garanties.
Ce que cela implique pour un SPST
La plupart des contrats passés avec les éditeurs de logiciels métiers sont silencieux sur la gestion des vulnérabilités. L’annexe RGPD reprend les clauses générales de l’article 28 sans délai ni circuit précis.
- Le service doit obtenir de chaque éditeur son circuit de signalement des vulnérabilités : à qui écrire, sous quel délai l’éditeur accuse réception, comment il informe ses clients.
- Il doit obtenir un engagement de délai de correction, différencié selon la criticité.
- Il doit être informé de toute vulnérabilité critique affectant la version qu’il utilise, avec les mesures de contournement disponibles en attendant le correctif.
- Les modules secondaires (prise de rendez-vous, portail salarié, interfaces avec d’autres outils) relèvent des mêmes exigences. Le CERT-FR note qu’ils sont souvent oubliés.
- Les versions installées doivent être tenues à jour. Un service qui reporte les mises à jour pour des raisons de confort d’exploitation porte une part de la responsabilité.
Ces exigences peuvent faire l’objet d’un avenant à l’annexe RGPD, à négocier de préférence lors du renouvellement du contrat ou d’une montée de version majeure. À défaut, une réponse écrite de l’éditeur à un questionnaire constitue déjà une trace utile en cas de contrôle.
Comment le traiter dans DPO SUITE
Ouvrez le registre des logiciels et vérifiez que chaque logiciel métier et chaque module secondaire est inscrit, rattaché aux traitements qu’il supporte et à son éditeur dans le registre des sous-traitants.
Depuis la fiche de l’éditeur, lancez un audit du sous-traitant par questionnaire envoyé à son contact. Ajoutez des questions sur le circuit de signalement des vulnérabilités, les délais de correction selon la criticité, l’information des clients et la politique de mise à jour des versions. Les réponses se rattachent à la fiche et servent de base à l’avenant.
Si l’éditeur ne répond pas ou ne prend aucun engagement, créez une non-conformité et une action corrective « Avenant sur la gestion des vulnérabilités », avec une échéance. Dans la session AIPD du dossier médical, ajoutez un scénario de risque « Vulnérabilité connue non corrigée chez l’éditeur » et inscrivez la mesure au plan d’actions. Dans l’audit SPEC 2217, rattachez la réponse de l’éditeur comme preuve sur l’exigence de sécurité concernée.
Tester la création de votre registre dans DPO SUITE.
Repères
- Articles 28 et 32 du RGPD
- CERTFR-2026-CTI-007 du 2 octobre 2026, cert.ssi.gouv.fr
- AFNOR SPEC 2217, édition d’août 2023
- Guide CNIL SPST, fiche 8
