La fiche 8 du guide pratique de la CNIL pour les SPST demande des mesures de sécurité couvrant l’ensemble du système d’information du service. L’attention se porte souvent sur le logiciel médical ; l’incident de l’été rappelle que les outils ouverts sur l’extérieur sont aussi exposés.
Un SPSTI de la région nantaise a vu son portail adhérents exploité à partir d’identifiants compromis et d’une faille de contrôle d’accès. Le portail a été rouvert le 2 juillet 2026, avec une double authentification.
Ce qui change
La faille relevait du contrôle d’accès direct aux objets : en modifiant un identifiant dans l’adresse de la page, un utilisateur connecté accédait au dossier d’un autre adhérent. Ce type de défaut est classique et se détecte lors d’un test d’intrusion.
Les données exposées étaient administratives. L’historique des visites depuis 2020, avec leurs types, en faisait pourtant partie. Or un type de visite (reprise, préreprise, visite à la demande) peut révéler, même indirectement, un état de santé, selon le critère rappelé par la Cour de justice de l’Union européenne le 14 juillet 2026. Un portail présenté comme administratif peut donc contenir des données de santé.
Sur le plan du RGPD, l’incident relève de l’article 32 pour les mesures de sécurité, et des articles 33 et 34 pour la notification et l’information des personnes. Le portail adhérents est un traitement à part entière, avec ses propres risques.
Ce que cela implique pour un SPST
- Le portail adhérents, l’espace salarié et les liens de convocation méritent le même test d’intrusion que le logiciel médical, avec une vérification du contrôle d’accès aux objets.
- La double authentification protège les comptes des adhérents contre les identifiants compromis, cause de départ de l’incident.
- Le contrat avec l’éditeur du portail doit prévoir les mêmes engagements que celui du logiciel médical : sécurité, tests, délais de correction, notification des incidents, conformément à l’article 28.
- Les données affichées à l’adhérent sont à limiter au strict nécessaire. Un historique des types de visite sur plusieurs années n’est pas indispensable à la gestion administrative de l’adhésion.
- La fiche de traitement du portail doit qualifier correctement les catégories de données, en mentionnant les données de santé lorsque des types de visite y figurent.
- Une durée de conservation propre à l’historique affiché sur le portail doit être fixée.
Un incident de ce type déclenche aussi la procédure de violation : qualification, notification à la CNIL dans les 72 heures sauf absence de risque, et information des personnes si le risque est élevé.
Comment le traiter dans DPO SUITE
- Ouvrez la fiche du traitement « Portail adhérents » dans le registre et vérifiez les catégories de données, les durées de conservation et les mesures de sécurité.
- Dans le registre des logiciels, rattachez le portail et l’espace salarié au traitement, avec leur éditeur.
- Dans le registre des sous-traitants, envoyez à l’éditeur du portail un questionnaire d’audit portant sur les tests d’intrusion, le contrôle d’accès et la double authentification.
- Créez une AIPD pour le portail, ou mettez à jour celle qui existe, avec un scénario « accès au dossier d’un autre adhérent par modification de l’adresse ».
- Planifiez le test d’intrusion comme action du plan d’actions de l’AIPD, puis rattachez le rapport comme preuve depuis le drive.
- Préparez un exercice dans le module incidents de sécurité à partir de ce scénario, pour vérifier la qualification de la violation et le calcul du délai de 72 heures.
Le registre se construit pas à pas, fiche par fiche : tester la création de votre registre.
Repères
- Incident d’un portail adhérents de SPSTI, réouverture le 2 juillet 2026
- Cour de justice de l’Union européenne, 14 juillet 2026, affaire C-474/24
- Règlement (UE) 2016/679 (RGPD), articles 28, 32, 33 et 34
- Guide CNIL SPST, fiche 8
