La fiche 8 du guide CNIL pour les SPST traite de la sécurité des informations, au titre de l’article 32 du RGPD. Ce semestre, la sécurité des services se formalise de plus en plus dans un document d’ensemble, le PGSSI (plan ou politique générale de sécurité des systèmes d’information), document pivot de la SPEC 2217 inscrit dans la doctrine de l’Agence du Numérique en Santé.
La relecture d’un PGSSI de SPSTI sous l’angle de la protection des données montre que le document couvre bien la technique, et beaucoup moins les obligations propres au RGPD.
Ce qui change
Le contexte pèse : les violations de données de santé ont fortement augmenté, avec 547 notifications dans le secteur en 2024. Le PGSSI devient le document par lequel un service démontre ses mesures de sécurité, devant l’auditeur SPEC 2217 comme devant la CNIL.
Les exigences de protection des données attendues dans un PGSSI se lisent à partir du guide CNIL, de la SPEC 2217 (sections 5.1 et 5.6) et de la doctrine ANS (PGSSI-S) :
- secret médical et cloisonnement logique et physique, avec engagement de confidentialité (fiches 8 et 11) ;
- habilitations sous la responsabilité du médecin, avec profils gradués, moindre privilège et revue périodique (décret n° 2022-1434) ;
- journalisation des accès au dossier, avec traces horodatées, intégrité et revue régulière ;
- hébergement et sous-traitance, avec clauses de l’article 28, attestations HDS et registre des fournisseurs (article L. 1111-8 du code de la santé publique) ;
- violations de données, avec notification à la CNIL en 72 heures et registre des violations (articles 33 et 34) ;
- sensibilisation, avec un programme annuel.
Ce que cela implique pour un SPST
Plusieurs points sont souvent insuffisamment traités dans les PGSSI relus. Le droit d’accès du salarié à son dossier en fait partie : modalités, délais, accès par l’intermédiaire d’un médecin. L’information des personnes manque aussi fréquemment, tout comme les bases de licéité par traitement, avec la médecine du travail au titre de l’article 9.2.h et le consentement pour le DMP.
D’autres lacunes reviennent : le cadre des recherches menées à partir des données du service, les transferts hors de l’Union européenne liés à des services cloud ou à des outils d’IA, et la maîtrise documentaire du PGSSI lui-même, que la SPEC 2217 exige.
Un PGSSI qui ignore ces points laisse le service sans réponse écrite face à un auditeur qui croise la SPEC 2217 avec le RGPD. Il crée aussi un décalage avec le registre : les mesures décrites dans les fiches de traitement doivent correspondre à celles du PGSSI.
La procédure de gestion des violations doit être opérationnelle et non seulement décrite. La notification à la CNIL dans les 72 heures suppose qu’une personne qualifie l’incident rapidement et qu’un registre des violations soit tenu, y compris pour les incidents non notifiés.
Comment le traiter dans DPO SUITE
Ouvrez l’audit SPEC 2217 et parcourez les exigences des sections 5.1 et 5.6. Pour chacune, localisez la preuve dans le PGSSI ou dans les documents associés, depuis le drive connecté du service. Les exigences sans preuve deviennent des non-conformités, chacune avec une action corrective, un responsable et une échéance.
Ouvrez le registre des traitements et comparez les mesures de sécurité de chaque fiche avec le PGSSI : habilitations, journalisation, hébergement. Corrigez les écarts et validez les fiches. Dans le registre des sous-traitants, vérifiez que chaque hébergeur figure avec ses attestations, sa localisation cloud et ses sous-traitants ultérieurs ; envoyez le questionnaire d’audit à ceux qui n’ont pas répondu.
Utilisez le module des incidents de sécurité et violations de données comme registre des violations. Chaque incident y est qualifié, le délai de notification de 72 heures est calculé et les incidents liés sont rattachés entre eux.
Pour la maîtrise documentaire, créez une procédure « Révision annuelle du PGSSI », approuvez-la et suivez son plan de tâches. Le PGSSI reste chez le service ; DPO SUITE apporte la méthode et la trace des validations. Pour les traitements à risque élevé repérés lors de la relecture, ouvrez une session d’AIPD.
Pour poser ces éléments sur une base saine, testez la création de votre registre dans DPO SUITE.
Repères
- RGPD, article 9.2.h, article 28, article 32, articles 33 et 34
- Décret n° 2022-1434 du 15 novembre 2022 ; code de la santé publique, article L. 1111-8
- AFNOR SPEC 2217, sections 5.1 et 5.6 ; doctrine ANS (PGSSI-S)
- Guide CNIL SPST, fiche 8
