La fiche 8 du guide CNIL pour les SPST décrit les mesures de sécurité attendues d’un service et renvoie aux articles 32 à 34 du RGPD pour la gestion des violations. Elle insiste sur la gestion des habilitations, l’authentification et la traçabilité des accès au dossier médical.
Le 20 octobre 2026, le CERT-FR a publié un retour d’expérience sur les violations de données applicatives. Il décrit les causes des exfiltrations signalées en 2025 et formule des recommandations qui correspondent presque mot pour mot aux exigences du guide.
Ce qui change
Le document CERTFR-2026-CTI-008 recense 196 exfiltrations signalées en 2025, contre 130 en 2024. Les causes les plus fréquentes sont :
- des identifiants légitimes volés et réutilisés ;
- l’ingénierie sociale, en particulier les faux appels du support ;
- des données exposées sans contrôle d’accès ;
- des interfaces de programmation mal protégées ;
- des comptes de prestataires compromis ou jamais révoqués.
Dix familles de recommandations suivent, dont le moindre privilège, l’authentification forte, des journaux conservés au moins six mois et une supervision réelle.
La CNIL indique de son côté avoir reçu 6 167 notifications de violations en 2025 et consacrer la moitié de ses contrôles de 2026 à la cybersécurité. Les causes décrites par le CERT-FR seront donc celles que ses agents rechercheront.
Ce que cela implique pour un SPST
Les incidents d’octobre dans le secteur de la santé confirment l’analyse : le point d’entrée est presque toujours un prestataire, un module secondaire ou un compte légitime détourné. Un module de commande de repas édité par un prestataire a ainsi exposé les données de 1 015 personnes hospitalisées dans un groupe hospitalier. Des comptes d’employeurs publics ont été compromis par ingénierie sociale malgré une double authentification par SMS.
Pour un service, la grille du CERT-FR se traduit en vérifications concrètes :
- Chaque compte d’accès au dossier est nominatif, protégé par une authentification forte, et limité aux dossiers et rubriques nécessaires.
- Les comptes des prestataires, des vacataires et des anciens salariés sont revus régulièrement et révoqués dès la fin de la mission.
- Les interfaces entre le logiciel métier et d’autres outils (prise de rendez-vous, portail adhérents, échanges de fichiers) sont inventoriées et protégées.
- Les journaux sont conservés au moins six mois et lus par quelqu’un.
- Le personnel sait que le support n’appelle jamais pour faire valider une connexion.
Le CERT-FR recense aussi des données exposées sans aucun contrôle d’accès, par exemple un répertoire d’exports laissé accessible sur un serveur web. Ce type d’erreur se repère par un inventaire régulier des espaces publiés.
Lorsqu’un de ces points cède, la violation doit être qualifiée et, si elle présente un risque, notifiée à la CNIL dans les 72 heures (article 33), puis communiquée aux personnes si le risque est élevé (article 34).
Comment le traiter dans DPO SUITE
Ouvrez la session AIPD du dossier médical et reprenez les scénarios de risques à partir des causes listées par le CERT-FR : identifiants volés, faux support, interface exposée, compte de prestataire non révoqué. Pour chaque scénario, vérifiez la mesure existante et ajoutez au plan d’actions celles qui manquent.
Dans le module infrastructure, inventoriez les serveurs et composants exposés sur internet, y compris les interfaces de programmation. Dans le registre des sous-traitants, identifiez chaque prestataire disposant d’un compte et lancez un audit par questionnaire sur la gestion de ses accès.
Créez une procédure de revue périodique des comptes, faites-la approuver et planifiez ses échéances dans le plan de tâches. Enfin, vérifiez que la procédure de gestion des violations est à jour : le module des incidents de sécurité calcule automatiquement le délai de notification de 72 heures et permet de relier plusieurs incidents entre eux, par exemple un hameçonnage puis un accès frauduleux.
Tester la création de votre registre dans DPO SUITE.
Repères
- Articles 32, 33 et 34 du RGPD
- CERTFR-2026-CTI-008 du 20 octobre 2026, cert.ssi.gouv.fr
- AFNOR SPEC 2217, édition d’août 2023
- Guide CNIL SPST, fiche 8
