Le 1er octobre 2026, la Data Protection Commission (DPC) irlandaise a publié sa décision finale contre Children’s Health Ireland (CHI), pour son site installé à l’hôpital universitaire de Tallaght. Des documents contenant des données de santé d’enfants débordaient d’une poubelle destinée aux documents confidentiels, placée à côté de la porte du bureau des médecins non titulaires, et en avaient été retirés. Toute la décision porte sur la sécurité des dossiers papier, un sujet que les plans de cybersécurité laissent volontiers de côté.
Les faits et la procédure
L’affaire part de signalements de lanceurs d’alerte en juin et juillet 2025. La DPC a mené une inspection inopinée sur place le 16 juillet 2025, puis ouvert une enquête le 11 août 2025. Celle-ci portait sur la confidentialité des dossiers papier conservés dans le bureau des médecins non titulaires, ainsi que sur la gestion et le contrôle de ces documents, y compris dans les bacs à documents confidentiels. La décision a été notifiée à l’établissement le 10 septembre 2026.
Les manquements retenus et les mesures imposées
La DPC retient une violation du principe d’intégrité et de confidentialité (article 5.1.f du RGPD) et de l’obligation de sécurité du traitement (article 32.1). Elle prononce une réprimande et ordonne la mise en conformité. L’établissement doit finaliser deux analyses d’impact restées à l’état de projet, l’une sur le traitement des dossiers médicaux dans ce bureau, l’autre sur la gestion des déchets confidentiels, en tenant compte des constats de l’autorité. Il doit ensuite appliquer toutes les mesures qu’elles prévoient, procédures opérationnelles comprises, et transmettre les AIPD finalisées à la DPC dans les quatre semaines suivant la décision, pour consultation. Le texte intégral de la décision sera publié plus tard. Le choix de passer par l’AIPD est instructif : l’autorité ne se contente pas d’un rangement ponctuel, elle veut une analyse écrite du circuit du papier, de la création du document à sa destruction, et des mesures suivies dans le temps.
Aucune amende n’est annoncée. La DPC considère néanmoins qu’un bac de destruction qui déborde suffit à caractériser un défaut de sécurité au sens de l’article 32, et elle exige une analyse d’impact sur un processus aussi ordinaire que l’élimination du papier.
Sécurité des dossiers papier : les SPST aussi
Le RGPD s’applique aux fichiers papier structurés comme aux bases de données. Dans un établissement de santé, comptes rendus imprimés, ordonnances, courriers et copies de travail circulent chaque jour entre les services et les secrétariats. Les services de prévention et de santé au travail connaissent la même situation : le dossier médical en santé au travail est informatisé dans la plupart des services, mais les courriers reçus, les documents apportés par les salariés suivis, les impressions de fiches et les archives restent nombreux, souvent répartis entre un siège et plusieurs centres. Les déménagements de centre, les fusions de services et les campagnes de tri d’archives multiplient les cartons en attente, et les prestataires de ménage ou de maintenance passent dans des bureaux où ces cartons restent ouverts. Le document est souvent le plus exposé au moment où il ne sert plus : il quitte le dossier et attend la destruction, parfois dans un carton au pied d’un bureau.
Ce que l’établissement ou le service doit vérifier
- l’inventaire des lieux où des documents nominatifs sont stockés ou jetés : bureaux médicaux, secrétariats, salles d’attente, centres annexes, unités mobiles ;
- des bacs de collecte verrouillés, placés hors des zones de passage du public, avec une fréquence d’enlèvement adaptée au volume réel ;
- un contrat conforme à l’article 28 avec le prestataire de destruction, qui précise le transport sécurisé, le niveau de destruction (la norme DIN 66399 sert souvent de référence) et la remise d’un certificat ;
- une procédure écrite sur le bureau rangé, la fermeture à clé des armoires et le sort des impressions en fin de journée ;
- des contrôles internes inopinés, avec un compte rendu conservé comme preuve ;
- la sensibilisation des équipes, remplaçants, internes et intérimaires compris ;
- l’inscription de tout incident de ce type au registre des violations, et l’évaluation du risque pour décider d’une notification à la CNIL dans les 72 heures (article 33).
La CNIL range parmi les traitements soumis à analyse d’impact ceux qui portent sur les données de santé des personnes prises en charge par un établissement de santé. Son guide de la sécurité des données personnelles comporte aussi des fiches sur l’archivage et la destruction. Une AIPD du dossier médical qui décrit les serveurs et les habilitations sans dire ce que deviennent les impressions laisse un angle mort, et la décision irlandaise montre qu’une autorité de contrôle sait le repérer lors d’une visite.
DPO FRANCE accompagne des établissements de santé et des services de prévention et de santé au travail sur ces questions, de l’audit des locaux à la rédaction des procédures de destruction. DPO SUITE permet de rattacher les locaux et les prestataires aux traitements, de conduire les AIPD et de tenir le registre des violations.
