La PGSSI-S, Politique générale de sécurité des systèmes d’information de santé, est le corpus publié par l’Agence du numérique en santé (ANS) pour fixer le niveau de sécurité attendu des systèmes qui traitent des données de santé. Une partie est opposable : le référentiel d’identification électronique, rendu obligatoire par arrêté du 28 mars 2022. Le reste réunit des guides de bonnes pratiques.
Pour un DPO, l’intérêt est immédiat. L’article 32 du RGPD demande des mesures « appropriées » sans dire lesquelles. La PGSSI-S dit comment un médecin doit s’authentifier depuis son domicile, combien d’échecs de mot de passe sont tolérés et quelles actions doivent laisser une trace. C’est la grille la plus précise pour auditer un établissement de santé, une structure médico-sociale ou un service de prévention et de santé au travail (SPST).
Ce que contient la PGSSI-S : des référentiels et des guides
La PGSSI-S rassemble deux familles de documents. L’ANS décrit d’un côté des référentiels, « opposables ou destinés à être opposables par arrêté du ministre chargé de la santé », de l’autre des guides organisationnels, techniques ou de sensibilisation.
Les référentiels publiés dans le corpus
Le corpus documentaire de l’ANS liste cinq référentiels. Trois portent la mention « opposable », tous en version 1.0 du 1er avril 2022 :
- le Référentiel d’identification électronique des acteurs des secteurs sanitaire, médico-social et social [personnes physiques] ;
- le Référentiel d’identification électronique des acteurs des secteurs sanitaire, médico-social et social [personnes morales] ;
- le Référentiel d’identification électronique des usagers.
Deux autres y figurent sans cette mention : le Référentiel d’imputabilité (décembre 2014) et le Référentiel Force probante des documents de santé (mars 2022). L’ANS a mis en concertation en décembre 2025 une nouvelle version des volets « personnes physiques » et « usagers », et annonce une version 2.0. Vérifiez la version en vigueur avant chaque audit.
Les guides qui servent de grille de lecture
Les guides couvrent la gestion des habilitations d’accès au SI, la sauvegarde, le plan de continuité informatique, la destruction sécurisée de données, l’intégrité des données stockées, l’accès web pour des tiers, le Wifi, l’hameçonnage et l’élaboration d’une PSSI. Selon l’ANS, ils n’ont pas vocation à être opposables. La plupart fonctionnent par paliers, du palier minimal au palier cible : en audit, on constate le palier atteint et on fixe le suivant.
Qui doit appliquer la PGSSI-S, de l’hôpital au service de santé au travail
La PGSSI-S s’applique dès qu’un service numérique traite des données de santé pour des activités de prévention, de diagnostic, de soin, de prise en charge ou de suivi. L’ANS vise le public comme le privé, les professionnels de santé, le médico-social et le social, les établissements et les offreurs de services. Sa fiche de synthèse cite trois publics : les structures de santé pour leur politique de sécurité, les porteurs de projet et les industriels.
Le référentiel d’identification électronique couvre aussi les personnes qui exercent sous l’autorité des professionnels, « y compris les préparateurs en pharmacie, secrétariats médicaux, sous-traitants, prestataires ».
Le cas des SPST : le seuil des « services sensibles » est souvent atteint
Un SPST fait de la prévention et du suivi, et son logiciel métier contient le dossier médical en santé au travail : il entre dans le périmètre. Reste à savoir si ce logiciel est un « service sensible », catégorie pour laquelle les exigences deviennent impératives. Un seul de ces critères suffit :
- un service partagé au-delà d’une personne morale, ou à l’échelle d’un territoire ;
- un service qui intègre un service partagé, comme une messagerie sécurisée de santé ;
- un accès web externe au SI, pour la mobilité ou le télétravail ;
- plus de 10 000 patients nouvellement référencés par an, ou plus de 1 000 professionnels distincts qui s’identifient par an.
Un SPST interprofessionnel enregistre chaque année bien plus de 10 000 nouveaux salariés, et ses équipes consultent souvent le dossier depuis des centres annexes. Dans la plupart des services que nous suivons, le logiciel métier coche au moins un critère.
Quels référentiels sont opposables, et sur quelle base légale
Seul le référentiel d’identification électronique, dans ses trois volets, est marqué opposable. L’ANS indique qu’il a été rendu opposable par arrêté des ministres chargés de la santé, de l’action sociale et de la défense du 28 mars 2022, conformément aux articles L. 1470-1 à L. 1470-6 du code de la santé publique. Le référentiel se dit lui-même « pris en application des dispositions des articles L. 1470-2 et L. 1470-5 ».
L’article L. 1470-5 prévoit que l’ANS élabore, en concertation avec l’écosystème, des référentiels garantissant l’échange, le partage, la sécurité et la confidentialité des données de santé traitées par les services numériques en santé. L’ANS en tire la conséquence : le respect du référentiel engage la responsabilité des responsables de traitement assujettis, et la CNIL peut auditer et sanctionner un défaut d’application. Le calendrier du volet « personnes physiques » est échu :
- 1er juin 2022 : entrée en vigueur ;
- 1er janvier 2023 : Pro Santé Connect implémenté au minimum par les services sensibles ;
- 31 décembre 2025 : fin des moyens d’identification « de transition » pour ces services.
Depuis le 1er janvier 2026, un service sensible doit s’appuyer sur Pro Santé Connect, la carte CPx, un moyen homologué ou un moyen certifié eIDAS substantiel ou élevé. Le référentiel d’imputabilité n’est pas opposable, mais une identification forte perd son intérêt si personne ne peut ensuite dire qui a fait quoi.
PGSSI-S, article 32 du RGPD et hébergement HDS : trois cadres qui se complètent
L’article 32 du RGPD impose des mesures garantissant un niveau de sécurité adapté au risque : confidentialité, intégrité, disponibilité et résilience des systèmes, rétablissement des données après incident, tests réguliers des mesures. La PGSSI-S en donne la traduction sectorielle. Face à un contrôleur, montrer le palier PGSSI-S atteint est la meilleure façon de justifier qu’une mesure était appropriée.
La certification HDS, encadrée par l’article L. 1111-8 du code de la santé publique, porte sur l’hébergeur. Elle ne dit rien de la façon dont vos utilisateurs se connectent. Deux points de contact méritent l’attention :
- l’activité 5 (administration et exploitation) inclut la collecte et la conservation des traces d’accès. L’ANS rappelle que les clouds en responsabilité partagée peuvent la laisser au client ;
- un logiciel hébergé HDS mais accessible par simple mot de passe depuis Internet reste non conforme au référentiel d’identification électronique.
Tableau d’audit : ce que chaque document exige et comment le vérifier
Les exigences que nous contrôlons systématiquement, avec la preuve à demander.
| Référentiel | Ce qu’il exige | Comment le vérifier |
|---|---|---|
| Identification électronique, personnes physiques opposable | Services sensibles : Pro Santé Connect, carte CPx, moyen homologué ou eIDAS substantiel. Moyens de transition interdits depuis 2026. Engagement de sécurisation de l’identification électronique. | Classer chaque application sensible ou non. Se connecter depuis un poste hors réseau. Demander l’engagement et son annexe de risques résiduels. |
| Identification électronique, usagers opposable | Portails patients ou salariés : moyen substantiel ou élevé (application carte Vitale, moyen eIDAS), restriction des tentatives, déconnexion après inactivité. | Créer un compte test, compter les échecs avant blocage, laisser la session inactive. |
| Identification électronique, personnes morales opposable | Identification des structures, applications ou serveurs qui accèdent à un service numérique en santé, notamment par certificat de personne morale. | Recenser les flux entre logiciels. Demander à l’éditeur le certificat utilisé et sa date d’expiration. |
| Imputabilité | Dès le palier 1 : traces des gestes à risque et des comptes privilégiés, horloges synchronisées, traces extractibles et réservées aux personnes autorisées, outil de restitution simple. | Demander qui a ouvert un dossier donné le mois dernier. Mesurer le délai de réponse et la durée réelle de conservation. |
| Guide gestion des habilitations | Compte partagé strictement interdit, sauf administration technique encadrée. Départs notifiés. Revue au moins annuelle des habilitations. | Croiser les comptes actifs avec la liste du personnel. Chercher « accueil », « secretariat », « admin ». Lire la dernière revue. |
Auditer un établissement ou un SPST avec la PGSSI-S : la méthode du DPO
Le DPO part des traitements. Le registre indique quelles applications portent des données de santé, et l’audit se concentre sur elles.
- Cartographier les services numériques en santé : logiciel métier, messagerie sécurisée, portail, téléconsultation. Pour chacun : éditeur, hébergeur, utilisateurs, lieux de connexion.
- Qualifier chaque service sensible ou non, par écrit et avec la justification.
- Tester les connexions depuis un poste personnel ou un téléphone en 4G. Dix minutes suffisent pour savoir si l’accès distant exige deux facteurs.
- Réclamer les preuves : engagement de sécurisation, PSSI, revue des habilitations, procédure de départ, contrat et tableau des garanties HDS.
- Éprouver la traçabilité sur un dossier réel, avec l’accord du médecin responsable.
- Restituer par palier, avec actions datées et responsable, rattachées à l’article 32 dans le rapport annuel.
Notre article sur le PGSSI relu sous l’angle RGPD dans la fiche 8 du référentiel CNIL détaille les recoupements propres aux SPST, et notre page sur l’obligation de sécurité de l’article 32 du RGPD reprend la logique générale.
Les écarts que l’on retrouve presque partout
Trois écarts reviennent d’un audit à l’autre, quelle que soit la taille de la structure.
Les comptes génériques à l’accueil et au secrétariat
On voit un compte « accueil » ouvert en permanence, utilisé par trois ou quatre personnes. Aucune trace ne dit alors qui a consulté ou modifié un dossier, et le guide de gestion des habilitations qualifie ce partage de pratique « strictement interdite ». La version conforme : un compte nominatif par personne, avec si besoin une reconnexion rapide sur les postes partagés, que le référentiel admet en accès local sous conditions. Pour vérifier, cherchez les comptes actifs qui ne portent pas un nom de personne.
L’authentification faible pour les accès à distance
On voit un médecin en télétravail qui ouvre le dossier avec un simple mot de passe. Or le référentiel traite comme accès à distance toute connexion depuis Internet, en mobilité ou depuis le Wifi « invité », même sur un poste de la structure. La version conforme, pour un service sensible : Pro Santé Connect, e-CPS, carte CPx ou moyen homologué. Un VPN ouvert avec deux facteurs couvre les services accédés derrière lui. Le code envoyé par courriel sur la messagerie qui sert aussi à réinitialiser le mot de passe est expressément déconseillé. Notre guide sur l’activation de la double authentification aide à présenter le changement aux équipes.
Des traces absentes, écrasées ou inexploitables
On voit un logiciel qui journalise les connexions mais pas les consultations, des journaux écrasés au bout de quelques semaines, ou des traces lisibles par le seul éditeur. Le référentiel d’imputabilité demande dès le palier 1 des traces des gestes à risque et des comptes privilégiés, restituées dans un outil accessible à un non-spécialiste. La CNIL recommande en règle générale de conserver ces journaux entre six mois et un an. Pour vérifier, demandez qui a ouvert tel dossier en mars, et chronométrez. Notre analyse des journaux de connexion dans la fiche 11 du référentiel CNIL complète ce point.
Quiz : avez-vous bien lu la PGSSI-S ?
Quatre questions sur les points qui reviennent en audit.
A. Le référentiel d’imputabilité
B. Le référentiel d’identification électronique
C. Le guide de gestion des habilitations
A. Jusqu’au 1er janvier 2023
B. Sans limite si une analyse de risque le justifie
C. Jusqu’au 31 décembre 2025
A. Oui, avec un mot de passe complexe
B. Non, sauf administration technique encadrée
C. Oui, si le poste est dans une pièce fermée
A. Un mois
B. Entre six mois et un an
C. Aussi longtemps que le dossier médical
Votre score
Sources
- PGSSI-S – Corpus documentaire de la Politique Générale de Sécurité des Systèmes d’Information de Santé (ANS)
- PGSSI-S, présentation et calendrier (ANS)
- Corpus documentaire PGSSI-S (ANS)
- Le référentiel est dit « opposable », qu’est-ce que cela signifie ? (FAQ ANS)
- Exigences IE – Cadre réglementaire de l’identification électronique (FAQ ANS)
- Fiche de synthèse PGSSI-S (ANS)
- Référentiel d’identification électronique [personnes physiques], v1.0
- Référentiel d’identification électronique [personnes morales], v1.0
- Fiche pratique du référentiel d’identification électronique des usagers (ANS)
- Référentiel d’imputabilité, v1.0
- Guide pratique Gestion des habilitations d’accès au SI, v1.1
- Hébergement de données de santé – HDS (ANS)
- Règlement (UE) 2016/679, règlement général sur la protection des données (EUR-Lex)
- La CNIL publie une recommandation relative aux mesures de journalisation (CNIL)
Questions fréquentes
Qu’est-ce que la PGSSI-S ?
La PGSSI-S est la Politique générale de sécurité des systèmes d’information de santé, un ensemble de référentiels et de guides publié par l’Agence du numérique en santé. Elle fixe le niveau de sécurité attendu des services numériques qui traitent des données de santé dans les secteurs sanitaire, médico-social et social.
La PGSSI-S est-elle obligatoire ?
Oui pour le référentiel d’identification électronique, rendu opposable par arrêté du 28 mars 2022 en application des articles L. 1470-1 et suivants du code de la santé publique. Les guides et les autres référentiels servent de référence pour apprécier si les mesures exigées par l’article 32 du RGPD sont appropriées.
Un service de prévention et de santé au travail est-il concerné par la PGSSI-S ?
Oui, car un SPST mène des activités de prévention et de suivi et traite des données de santé. Son logiciel métier est souvent un service sensible, par exemple s’il est accessible à distance ou s’il enregistre plus de 10 000 nouvelles personnes par an, ce qui rend les exigences d’authentification impératives.
Quelle différence entre la PGSSI-S et la certification HDS ?
La certification HDS porte sur l’hébergeur des données de santé, la PGSSI-S sur l’ensemble du système d’information et ses accès. Un logiciel hébergé chez un prestataire certifié HDS doit quand même respecter le référentiel d’identification électronique.
Appliquer la PGSSI-S suffit-il pour respecter l’article 32 du RGPD ?
Non, la PGSSI-S couvre une grande partie de l’article 32 sans dispenser de l’analyse de risque propre à chaque traitement. L’article 32 exige aussi de tester régulièrement l’efficacité des mesures et de pouvoir rétablir les données après un incident.
Où télécharger les documents de la PGSSI-S ?
Les documents sont téléchargeables gratuitement sur la page Corpus documentaire PGSSI-S du site esante.gouv.fr, avec un filtre par thématique, type de document et public. Vérifiez la version de chaque référentiel avant un audit, car l’ANS met régulièrement le corpus à jour.