La fiche 8 du guide pratique de la CNIL pour les SPST porte sur la sécurité des informations et sur la politique générale de sécurité des systèmes d’information (PGSSI). Le service met en place des mesures adaptées au risque, au sens de l’article 32 du RGPD, et le risque est élevé pour des données de santé.
Par délibération SAN-2026-009 du 21 juillet 2026, rendue publique le 3 septembre, la CNIL a infligé une amende de 500 000 euros à l’Hôpital privé de la Loire. À l’été 2025, 524 867 fiches avaient été exfiltrées à partir du compte d’un médecin libéral. La décision détaille des manquements que l’on retrouve dans beaucoup de systèmes, y compris dans les SPST.
Ce qui change
Les faits retenus par la CNIL décrivent un système ouvert sur plusieurs points à la fois.
- Accès distants par simple identifiant et mot de passe, sans double authentification, pour environ 450 utilisateurs externes.
- Logiciel ne permettant pas de cloisonner les habilitations : tout professionnel pouvait consulter tous les dossiers.
- Journaux exploités uniquement à la demande, sans détection d’activité anormale.
- Absence d’information des 202 246 tiers de confiance mentionnés dans les dossiers, alors que leurs données figuraient dans les fichiers exfiltrés.
Le dernier point mérite l’attention. Les articles 33 et 34 du RGPD visent toutes les personnes dont les données sont touchées par une violation, et pas seulement les titulaires des dossiers. Dans un dossier médical en santé au travail figurent aussi des proches, des contacts ou des interlocuteurs de l’employeur.
Pour la double authentification, une échéance existe déjà : les méthodologies de référence MR-001 et MR-003 mises à jour l’exigent au 1er janvier 2027 pour les accès par internet.
Ce que cela implique pour un SPST
Chaque manquement retenu se traduit dans le PGSSI du service.
- Accès distants : double authentification pour tout accès externe (vacataires, éditeur, télétravail), généralisée au plus tard le 1er janvier 2027.
- Habilitations : matrice par profil, chaque professionnel n’accédant qu’aux dossiers dont il a la charge, validée par le médecin administrateur et revue chaque année.
- Journaux : procédure de revue, seuils d’alerte sur les volumes et les horaires, durée de conservation définie.
- Violations : recensement des personnes secondaires à informer (proches, interlocuteurs de l’employeur cités au dossier).
- Maintenance : comptes nominatifs, journalisés et limités pour l’éditeur, encadrés par une clause d’accès de maintenance dans le contrat au titre de l’article 28.
Ces mesures demandent peu de budget, mais une décision de la direction et un suivi dans la durée. Le PGSSI reste le document pivot de la SPEC 2217 (sections 5.1 et 5.6), et l’auditeur y cherchera ces points.
Comment le traiter dans DPO SUITE
- Dans le module infrastructure, recensez les serveurs et composants exposés à des accès distants et notez pour chacun la présence de la double authentification.
- Ouvrez la fiche du logiciel métier dans le registre des logiciels et documentez la capacité de cloisonnement des habilitations et de journalisation.
- Pour chaque manquement non couvert, créez une non-conformité et une action corrective, avec le 1er janvier 2027 comme échéance pour la double authentification.
- Ouvrez l’AIPD du dossier médical, réévaluez les scénarios d’accès illégitime et d’exfiltration à la lumière de la sanction, et complétez le plan d’actions.
- Mettez à jour la procédure de gestion des violations pour y intégrer le recensement des personnes secondaires, puis faites-la approuver.
- Dans le registre des sous-traitants, envoyez à l’éditeur un questionnaire d’audit portant sur les comptes de maintenance.
- Dans l’audit SPEC 2217, localisez les preuves correspondantes (PGSSI, matrice d’habilitations, comptes rendus de revue des journaux) dans le drive du service.
Le registre se construit pas à pas, fiche par fiche : tester la création de votre registre.
Repères
- Délibération CNIL SAN-2026-009 du 21 juillet 2026 (publiée le 3 septembre 2026)
- Règlement (UE) 2016/679 (RGPD), articles 28, 32, 33 et 34
- Méthodologies de référence MR-001 et MR-003 mises à jour
- AFNOR SPEC 2217, sections 5.1 et 5.6
- Guide CNIL SPST, fiche 8
