La fiche 8 du guide pratique de la CNIL pour les SPST traite de la sécurité de l’ensemble du système d’information, prestataires compris. Le RGPD fait peser sur le service la responsabilité des mesures de sécurité, y compris quand un sous-traitant héberge ou traite une partie des données.
En septembre 2026, une série de revendications de pirates a visé des acteurs de santé : un prestataire de prise de rendez-vous et des centres d’ophtalmologie, un hôpital, un prestataire de santé à domicile, un laboratoire, des structures d’aide à domicile. Aucune n’est confirmée par les organismes à ce jour. Le point commun reste notable.
Ce qui change
Dans ces revendications, la cible est presque toujours un prestataire ou un service périphérique : prise de rendez-vous, paiement, extranet. Le dossier médical lui-même est rarement en cause. Le système central est en général mieux protégé que les outils qui gravitent autour de lui.
Sous l’angle du RGPD, plusieurs règles s’appliquent. L’article 28 oblige le service à choisir des sous-traitants qui présentent des garanties suffisantes et à les contrôler. L’article 32 impose des mesures adaptées sur l’ensemble des traitements. L’article 33 impose au sous-traitant d’informer le responsable de toute violation dans les meilleurs délais, et au responsable de notifier la CNIL dans les 72 heures après en avoir pris connaissance.
Une revendication non confirmée n’est pas une violation établie. Elle oblige toutefois le service à interroger le prestataire concerné et à garder la trace de la réponse.
Ce que cela implique pour un SPST
Le service a ses propres portes de service : serveur d’impression, portail adhérents, espace salarié, plateforme de convocation ou de rappel, outil d’enquête, extranet de l’éditeur, accès de télémaintenance. Chacun a un compte, un mot de passe, une version logicielle et un journal. Le dossier médical d’un service n’est pas mieux protégé que le plus faible de ces accès.
- Dresser la liste des accès périphériques et des prestataires qui les opèrent.
- Pour chacun, savoir s’il est exposé sur internet, s’il est à jour et qui lit ses journaux.
- Vérifier que le contrat avec le prestataire prévoit l’information du service en cas de violation, avec un délai.
- En cas de revendication visant un prestataire utilisé, demander par écrit s’il est concerné et quelles données du service il détient.
- Réduire les données transmises à chaque prestataire au strict nécessaire (fiche 3).
La question écrite au prestataire a une valeur de preuve. Si la revendication se confirme plus tard, le service pourra montrer à quelle date il a réagi.
Comment le traiter dans DPO SUITE
Dans le module infrastructure, créez un composant pour chaque accès périphérique (portail adhérents, plateforme de convocation, extranet, serveur d’impression, télémaintenance) et rattachez-le au sous-traitant qui l’opère. Dans le registre des sous-traitants, complétez pour chaque prestataire les contacts, la localisation cloud et les sous-traitants ultérieurs, puis envoyez le questionnaire d’audit en ciblant la notification des violations et l’exposition sur internet.
Lorsqu’un prestataire utilisé fait l’objet d’une revendication, ouvrez un incident de sécurité, même avant confirmation. Notez la date de prise de connaissance : l’application calcule le délai de notification de 72 heures si la violation est qualifiée. Reliez les incidents d’un même prestataire grâce aux liens entre incidents, et rattachez la question écrite et la réponse comme preuves. Si la CNIL vous interroge, suivez la saisine comme un incident.
Pour les écarts relevés, créez des non-conformités et des actions correctives. ALIX peut proposer un modèle de question écrite au prestataire, à valider avant envoi.
Pour cartographier vos prestataires et leurs accès, testez la création de votre registre.
Repères
- RGPD, articles 28, 32, 33 et 34
- Revendications d’incidents de septembre 2026 relayées par la presse spécialisée, non confirmées
- Guide CNIL SPST, fiche 8
