Le RGPD santé a coûté 500 000 euros à un hôpital privé le 3 septembre 2026. Ce jour-là, en effet, la Commission nationale de l’informatique et des libertés (CNIL) a sanctionné l’Hôpital privé de la Loire. Un attaquant s’était connecté à son dossier patient informatisé avec les identifiants d’un seul médecin libéral. Il a ainsi consulté les données de 524 867 patients et de 202 246 tiers de confiance.
La CNIL a relevé l’absence de VPN et d’authentification multifacteur pour les utilisateurs externes. De plus, elle a constaté des habilitations ouvertes à tous les dossiers, sans lien avec l’équipe de soins. Enfin, aucun outil ne repérait en temps réel une activité suspecte. Pourtant, la CNIL parle de mesures élémentaires de sécurité.
Cette page de référence sur le RGPD santé s’adresse aux directions et aux référents des hôpitaux, cliniques, GHT, EHPAD, établissements et services sociaux et médico-sociaux (ESSMS), centres et maisons de santé, laboratoires et cabinets. Elle indique d’abord qui doit désigner un délégué à la protection des données (DPO), puis quelles obligations s’appliquent et comment les vérifier vous-même. Enfin, chaque règle renvoie à sa source officielle, listée en fin de page.
Pourquoi les données de santé relèvent d’un régime à part
Le RGPD définit les données concernant la santé comme les données relatives à la santé physique ou mentale d’une personne, y compris la prestation de soins (article 4, point 15). Par exemple, un diagnostic, un plan de soins ou un relevé de chutes en EHPAD en font partie. De même, une simple date de consultation dans un service spécialisé peut révéler une pathologie.
L’article 9 pose ensuite une interdiction de principe pour ces données. Il prévoit toutefois des exceptions. Le point h vise les traitements nécessaires aux diagnostics médicaux et à la prise en charge sanitaire ou sociale, sur la base du droit de l’Union ou du droit national. Or votre établissement soigne et accompagne en vertu du code de la santé publique ou du code de l’action sociale et des familles. Il n’a donc pas besoin du consentement du patient pour tenir son dossier.
La CNIL le rappelle aux professionnels de santé : vous informez les patients, sans recueillir leur accord. En pratique, demander un consentement inutile crée une fausse base légale. Que faire si le patient le retire ? Le dossier, lui, ne disparaît pas. Vérifiez donc vos formulaires d’admission et remplacez toute case de consentement au dossier par une notice d’information.
DPO établissement de santé : qui doit le désigner
L’article 37 du RGPD impose un DPO dans deux cas qui couvrent presque tout le secteur. Le point a vise toute autorité ou tout organisme public. De plus, le point c vise les organismes dont l’activité de base consiste en un traitement à grande échelle de données de santé.
DPO établissement de santé public : l’obligation joue d’office
Un centre hospitalier, un CHU ou un EHPAD public est un organisme public. Il désigne donc un DPO, quelle que soit sa taille. Le paragraphe 3 du même article autorise aussi un seul DPO pour plusieurs organismes publics, compte tenu de leur organisation et de leur taille. Un GHT peut ainsi s’appuyer sur un DPO commun. Chaque établissement partie reste toutefois responsable de ses propres traitements et désigne ce DPO en son nom.
Établissements privés et DPO EHPAD : le critère de la grande échelle
Pour les professionnels de santé, la CNIL cite des exemples de grande échelle : exercice en réseau, maisons de santé, centres de santé, dossiers partagés entre plusieurs professionnels. Ces structures désignent donc un DPO. Une clinique, qui tient le dossier de chaque patient hospitalisé, entre a fortiori dans ce cas. Nous appliquons le même raisonnement aux groupes de cliniques, qui peuvent désigner un DPO unique s’il reste joignable depuis chaque établissement (paragraphe 2).
Pour le RGPD médico-social, la CNIL vise expressément les associations dont l’accompagnement prévoit la collecte de données de santé. Un EHPAD privé, un SSIAD ou un foyer d’accueil médicalisé désigne donc un DPO. En pratique, le délégué peut être un salarié ou un prestataire externe. Il peut également être commun à plusieurs organismes, par exemple via leur fédération.
Cabinets individuels : pas de DPO obligatoire
Le considérant 91 du RGPD précise qu’un médecin ou un autre professionnel de santé exerçant à titre individuel ne réalise pas un traitement à grande échelle. La CNIL en tire la conséquence : pas de DPO obligatoire pour le cabinet individuel. En revanche, le registre, l’information des patients et la sécurité restent dus. Retrouvez le détail dans notre guide RGPD au cabinet médical.
| Type | DPO obligatoire | Points de vigilance |
|---|---|---|
| Hôpital public, CHU | Oui, organisme public (article 37, point a) | Habilitations au dossier patient, AIPD des traitements de soins, signalement des incidents au CERT Santé. |
| GHT | Oui pour chaque établissement partie ; un DPO commun est permis (article 37, paragraphe 3) | Répartition des responsabilités sur le système d’information partagé, registre de chaque établissement. |
| Clinique privée | Oui, traitement à grande échelle de données de santé (point c) | Accès des praticiens libéraux au dossier patient, hébergeur certifié HDS, contrats des sous-traitants. |
| EHPAD public | Oui, organisme public | Dossier du résident, information des familles, partage entre soignants et équipes sociales. |
| EHPAD privé, ESSMS | Oui dès que l’accompagnement comporte des données de santé (CNIL) | Référentiel CNIL du suivi médico-social, évaluation HAS, hébergement HDS du dossier de l’usager. |
| Centre ou maison de santé | Oui, cités par la CNIL comme grande échelle | Dossier partagé entre professionnels, information des patients, hébergeur certifié. |
| Laboratoire | Oui s’il exerce à grande échelle (CNIL) | Transmission des résultats, durée de conservation, AIPD. |
| Cabinet individuel | Non (considérant 91, CNIL) | Registre, information, sécurité, conservation du dossier. |
Ce tableau reprend les critères publiés par la CNIL et le texte du RGPD. Pour une structure en limite, comme un cabinet de groupe ou un service d’aide à domicile, posez la question par écrit à votre DPO et gardez sa réponse au dossier de conformité.
Les obligations RGPD santé à tenir à jour
Le RGPD santé repose sur des obligations générales du règlement. Le code de la santé publique et les référentiels de l’Agence du numérique en santé (ANS) les renforcent. Chaque sous-partie ci-dessous dit ce qu’un contrôleur demande et comment le vérifier.
Un registre qui couvre tous les logiciels
Le registre des activités de traitement (article 30) recense chaque traitement : dossier patient, admissions, facturation, imagerie, pharmacie, ressources humaines, vidéoprotection, recherche. Il reste en interne. Toutefois, la CNIL le demande lors d’un contrôle. Pour le vérifier, comparez donc la liste des logiciels du service informatique avec les fiches du registre : chaque logiciel sans fiche signale un traitement oublié.
Une AIPD pour les traitements de soins
L’article 35 exige une analyse d’impact relative à la protection des données (AIPD) pour le traitement à grande échelle de données de santé. Ainsi, la liste publiée par la CNIL vise expressément les traitements de données de santé des établissements de santé et médico-sociaux pour la prise en charge des personnes. Elle cite notamment le dossier patient, les algorithmes de décision médicale, la télémédecine, le laboratoire et la pharmacie à usage intérieur. De même, un entrepôt de données de santé destiné à la recherche y figure. Notre article AIPD obligatoire détaille la méthode.
Un hébergeur certifié HDS
Vous confiez des dossiers à un prestataire qui les stocke sur ses serveurs ? Le guide de la CNIL et de l’Ordre des médecins rappelle qu’il doit être agréé ou certifié, en application de l’article L1111-8 du code de la santé publique. Selon l’ANS, cette disposition couvre aussi le suivi social et médico-social réalisé par les ESSMS de l’article L312-1 du code de l’action sociale et des familles.
Concrètement, le certificat liste six activités, de l’hébergement physique à la sauvegarde. L’activité 5, l’administration et l’exploitation du système, mérite un contrôle attentif. L’ANS signale en effet que des fournisseurs de cloud public la laissent au client. Demandez donc le certificat, vérifiez sa date de validité (trois ans, avec audit annuel de surveillance) et cherchez l’activité 5 dans le contrat. Enfin, contrôlez l’hébergeur dans la liste publiée par l’ANS.
Le secret et le partage de l’information
L’article L1110-4 du code de la santé publique protège la vie privée et le secret des informations du patient. La CNIL et l’Ordre des médecins en tirent une règle simple : chaque professionnel accède aux seules informations nécessaires à sa prise en charge. Ainsi, le personnel administratif ne dispose pas d’un accès global aux dossiers. La CNIL a d’ailleurs sanctionné l’Hôpital privé de la Loire sur ce point précis. Exportez la matrice des habilitations de votre dossier patient et cherchez les profils qui ouvrent tous les dossiers.
La PGSSI-S et l’INS
La politique générale de sécurité des systèmes d’information de santé (PGSSI-S) rassemble des référentiels opposables et des guides pratiques. Selon l’ANS, ses règles s’appliquent dès que des données de santé personnelles sont utilisées. En pratique, elles fixent des paliers, du minimum aux niveaux progressifs. Notre article PGSSI-S explique comment l’auditer.
L’identité nationale de santé (INS) sert à référencer les données de santé depuis le 1er janvier 2021. Pour être utilisée, elle doit être qualifiée : identité validée selon le référentiel national d’identitovigilance (RNIV), puis récupérée ou vérifiée par le téléservice INSi. Enfin, le RNIV comporte un volet pour les établissements de santé et un autre pour les structures non hospitalières, dont le médico-social.
Les droits des patients et des résidents
L’accès au dossier médical suit des délais propres : huit jours au plus tard, 48 heures au plus tôt, deux mois pour les informations de plus de cinq ans. La demande peut venir du patient, de son ayant droit en cas de décès, du titulaire de l’autorité parentale, du tuteur ou d’un médecin désigné. Elle s’adresse ensuite au responsable de l’établissement ou à la personne qu’il désigne. Tenez un tableau daté des demandes reçues : il prouve le respect des délais.
La durée de conservation du dossier médical
En établissement de santé, public ou privé, le dossier médical se conserve en principe 20 ans à compter du dernier séjour ou de la dernière consultation externe (article R1112-7 du code de la santé publique). Toutefois, si le patient décède moins de 10 ans après son dernier passage, l’établissement garde le dossier 10 ans à compter du décès. De plus, la mention des actes transfusionnels se garde 30 ans. Ces durées restent des minimums. Le cabinet libéral, lui, n’a pas de durée légale : la CNIL indique que les médecins libéraux conservent le dossier 20 ans après la dernière consultation, suivant les recommandations de l’Ordre.
Les violations de données et les cyberattaques
Une violation présentant un risque se notifie à la CNIL dans les meilleurs délais et, si possible, dans les 72 heures (article 33). Si le risque est élevé, vous informez aussi les personnes concernées (article 34). D’ailleurs, la CNIL a sanctionné l’Hôpital privé de la Loire pour avoir oublié les tiers de confiance.
Le secteur dispose aussi d’un circuit propre. L’ANS invite à signaler un incident de cybersécurité au CERT Santé via le portail des signalements, ou au 09 72 43 91 25 en urgence. Selon l’ANS, le CERT Santé a reçu 749 signalements en 2024, dont 73 % venaient d’établissements de santé publics. Affichez donc ces deux circuits dans votre procédure de crise, avec le nom de la personne qui notifie. Notre tutoriel de notification d’une violation détaille la démarche CNIL.
RGPD santé : ce qui change selon votre établissement
RGPD établissement de santé : hôpitaux et GHT
À l’hôpital, le risque RGPD santé se concentre sur le dossier patient informatisé : accès des praticiens extérieurs, comptes génériques, traces jamais relues. De son côté, la HAS certifie tous les établissements de santé, publics et privés, tous les quatre ans. Dans un GHT, ensuite, le système d’information partagé impose de répartir par écrit les rôles entre établissements. Faites valider cette répartition par chaque direction, puis reportez-la dans chaque registre.
Cliniques : le RGPD santé face aux praticiens libéraux
En clinique, les praticiens libéraux accèdent au dossier depuis leur cabinet. Or la sanction de 2026 montre la conséquence d’un accès sans second facteur. Ajoutez ensuite les éditeurs, les laboratoires, l’imagerie et les plateformes de rendez-vous : la liste des sous-traitants s’allonge vite. Exigez de chacun un contrat conforme à l’article 28 et, s’il héberge des données de santé, son certificat HDS. Notre guide RGPD en clinique privée reprend ces étapes.
EHPAD et ESSMS : le RGPD médico-social sous le regard de la HAS
Selon la Haute Autorité de santé (HAS), environ 45 000 ESSMS accompagnent en France personnes âgées, personnes en situation de handicap, enfants protégés et personnes en grande précarité. Leur évaluation de la qualité a lieu tous les cinq ans. Or le référentiel HAS de mars 2022 consacre des critères explicites : confidentialité et protection des données de la personne accompagnée (2.2.7), partage des informations nécessaires (2.10.1), sécurisation des données, des dossiers et des accès (2.10.2). Notre article Évaluation HAS des ESSMS liste les preuves attendues.
Le dossier du résident mêle données sociales, médicales et familiales. La CNIL a publié un référentiel pour le suivi social et médico-social des personnes âgées, handicapées ou en difficulté. Elle précise aussi que les ESSMS de l’article L312-1 peuvent collecter le numéro de sécurité sociale pour la prise en charge sanitaire et médico-sociale. Comparez vos durées de conservation et vos destinataires avec ce référentiel : chaque écart doit être justifié dans le registre.
Centres de santé, maisons de santé et laboratoires
Dans une maison ou un centre de santé, le dossier partagé fait basculer la structure dans la grande échelle. Le DPO et l’AIPD deviennent donc obligatoires. De même, le laboratoire de biologie médicale suit la même règle dès qu’il exerce à grande échelle. Dans les deux cas, désignez qui répond aux demandes d’accès : le patient ne sait pas toujours quel professionnel détient quoi.
Cabinets libéraux
Le cabinet individuel échappe au DPO et à l’AIPD obligatoires. En revanche, il tient un registre, informe ses patients, sécurise ses postes et choisit un hébergeur certifié. Toutefois, un cabinet de groupe qui partage ses dossiers rejoint la logique des maisons de santé : réexaminez la question du DPO.
DPO établissement de santé : comment DPO PARTAGE vous accompagne
DPO PARTAGE exerce le métier de DPO à temps partagé depuis 2018. Plus de 40 services de prévention et de santé au travail l’ont désigné comme DPO, et le cabinet accompagne aussi des établissements de santé et médico-sociaux. Nous intervenons sur toute la France.
Désigné auprès de la CNIL, votre DPO exerce les missions de l’article 39 : informer, conseiller, contrôler, coopérer avec l’autorité. Ainsi, il relit et valide votre registre, vos AIPD, vos contrats d’hébergement et vos procédures de violation. Il donne aussi des pistes de correction. En revanche, la direction reste responsable des traitements et décide. Découvrez le détail de l’offre DPO à temps partagé.
Le suivi se fait dans DPO Suite, notre application de conformité : registres, violations, demandes de droits, sous-traitants, AIPD guidée par IA, audits AI Act et NIS2. De plus, pour les équipes, Focus RGPD propose 400 vidéos de sensibilisation et délivre plus de 3 000 sensibilisations par mois. Le réseau DPO FRANCE réunit enfin des DPO indépendants par secteur.
Nos analyses pour le secteur santé et médico-social
Le site publie une veille régulière sur le RGPD santé et le médico-social. Ainsi, ces analyses approfondissent chaque obligation de cette page, par type d’établissement.
Sources
Textes du RGPD et de la CNIL sur la santé
La CNIL décrit la sanction, ses chiffres et ses manquements dans Violation de données en matière de santé : sanction de 500 000 euros à l’encontre de l’Hôpital privé de la Loire. Nous citons les articles 4, 9, 28, 30, 33, 34, 35, 37 et 39 et le considérant 91 d’après le texte d’EUR-Lex, Règlement (UE) 2016/679 du 27 avril 2016 (RGPD). La CNIL donne les exemples de grande échelle dans sa réponse Professionnels de santé : la désignation d’un délégué à la protection des données, c’est obligatoire ? Elle fixe les règles du cabinet individuel dans la fiche RGPD et professionnels de santé libéraux : ce que vous devez savoir.
Les règles propres aux ESSMS, au DPO et au NIR viennent des Questions-réponses sur le référentiel pour le suivi médico-social des personnes âgées, en situation de handicap ou en difficulté. La CNIL énumère les traitements de santé soumis à AIPD dans la Liste des types d’opérations de traitement pour lesquelles une AIPD est requise. Les règles d’accès au dossier et d’hébergement viennent du Guide pratique sur la protection des données personnelles (CNOM et CNIL, juin 2018). La CNIL rappelle les délais d’accès dans L’accès au dossier médical.
Agence du numérique en santé
L’ANS présente le périmètre de la certification et l’activité 5 sur sa page Hébergement de données de santé (HDS). Elle indique la durée du certificat dans la Procédure de certification : hébergeur de données de santé. Elle décrit la politique de sécurité sur la page PGSSI-S, corpus documentaire. Les règles de qualification de l’INS figurent sur la page Identité nationale de santé, référentiel INS.
Enfin, l’ANS publie le circuit de signalement et les chiffres 2024 sur la page CERT Santé.
HAS et Service-Public.fr
Les durées de conservation et la référence à l’article L1110-4 viennent de la fiche Service-Public.fr Dossier médical. La HAS donne le rythme d’évaluation et le nombre d’ESSMS dans Comprendre la nouvelle évaluation des ESSMS. Les critères cités figurent dans le Référentiel d’évaluation de la qualité des ESSMS (mars 2022). Elle présente la certification des établissements de santé dans Comprendre la certification pour la qualité des soins.