{"id":23383,"date":"2026-09-22T17:00:00","date_gmt":"2026-09-22T17:00:00","guid":{"rendered":"https:\/\/atiasavocats.com\/?p=23383"},"modified":"2026-09-14T07:50:45","modified_gmt":"2026-09-14T07:50:45","slug":"securite-donnees-sante-rgpd-mesures-cnil","status":"publish","type":"post","link":"https:\/\/atiasavocats.com\/en\/securite-donnees-sante-rgpd-mesures-cnil\/","title":{"rendered":"Donn\u00e9es de sant\u00e9 : les mesures de s\u00e9curit\u00e9 exig\u00e9es par la CNIL"},"content":{"rendered":"


Par\u00a0<\/em>David Joseph Atias<\/em><\/a>, avocat au Barreau de Paris \u00b7\u00a0<\/em>LinkedIn<\/em><\/a>\u00a0\u00b7 Septembre 2026<\/em><\/em><\/p>\n\n\n\n

\n

Un mot de passe vol\u00e9, et 500 000 dossiers patients expos\u00e9s. C’est l’histoire de la sanction CNIL du 3 septembre 2026. En effet, la s\u00e9curit\u00e9 donn\u00e9es de sant\u00e9 RGPD est aujourd’hui sous haute surveillance. Or, les manquements sanctionn\u00e9s sont souvent \u00e9vitables. Ce guide d\u00e9crypte d’abord cette d\u00e9cision de la CNIL, puis livre la checklist op\u00e9rationnelle des mesures attendues.<\/p>\n<\/blockquote>\n\n\n\n

SOMMAIRE<\/p>\n\n\n\n

    \n
  1. La sanction du 3 septembre 2026 d\u00e9crypt\u00e9e<\/a><\/li>\n\n\n\n
  2. Le cadre juridique renforc\u00e9 de la sant\u00e9<\/a><\/li>\n\n\n\n
  3. La checklist des mesures exig\u00e9es<\/a><\/li>\n\n\n\n
  4. Tableau : mesure, fondement et criticit\u00e9<\/a><\/li>\n\n\n\n
  5. Les r\u00e9flexes pour les prestataires SaaS sant\u00e9<\/a><\/li>\n\n\n\n
  6. Pourquoi faire appel \u00e0 Atias Avocats<\/a><\/li>\n\n\n\n
  7. Conclusion<\/a><\/li>\n\n\n\n
  8. FAQ \u2014 Questions fr\u00e9quentes<\/a><\/li>\n<\/ol>\n\n\n\n

    1. La sanction du 3 septembre 2026 d\u00e9crypt\u00e9e<\/h2>\n\n\n\n

    Le 3 septembre 2026, la CNIL a frapp\u00e9 fort dans le secteur de la sant\u00e9. Elle a inflig\u00e9 500 000 euros \u00e0 l’H\u00f4pital Priv\u00e9 de la Loire. En cause, une violation massive du dossier patient informatis\u00e9 de l’\u00e9tablissement. Ainsi, la s\u00e9curit\u00e9 donn\u00e9es de sant\u00e9 RGPD revient au premier plan.<\/p>\n\n\n\n

    Les faits remontent \u00e0 l’\u00e9t\u00e9 2025. Un attaquant s’est connect\u00e9 avec les identifiants d’un m\u00e9decin lib\u00e9ral. Il a alors acc\u00e9d\u00e9 aux donn\u00e9es de 524 867 patients, dont des donn\u00e9es de sant\u00e9. L’acc\u00e8s s’est prolong\u00e9 plusieurs jours sans \u00eatre d\u00e9tect\u00e9 imm\u00e9diatement. De plus, 202 246 tiers de confiance ont aussi \u00e9t\u00e9 expos\u00e9s. Il s’agit de proches ou de personnes \u00e0 pr\u00e9venir en cas d’urgence m\u00e9dicale.<\/p>\n\n\n\n

    La CNIL a retenu deux manquements principaux. D’abord, une s\u00e9curit\u00e9 insuffisante au regard de l’article 32 du RGPD. Ensuite, une information d\u00e9faillante des personnes, pr\u00e9vue \u00e0 l’article 34. Ces deux fondements structurent presque toutes les sanctions de sant\u00e9. La s\u00e9curit\u00e9 donn\u00e9es de sant\u00e9 RGPD s’appr\u00e9cie donc \u00e0 cette aune.<\/p>\n\n\n\n

    Un point a particuli\u00e8rement retenu l’attention de la CNIL. En effet, l’acc\u00e8s externe au dossier ne reposait sur aucune authentification multifacteur. De plus, des prestataires disposaient d’un acc\u00e8s permanent. Enfin, des copies de pi\u00e8ces d’identit\u00e9 \u00e9taient conserv\u00e9es sans r\u00e9elle n\u00e9cessit\u00e9. Cette conservation excessive a aggrav\u00e9 les cons\u00e9quences de la fuite.<\/p>\n\n\n\n

    2. Le cadre juridique renforc\u00e9 de la sant\u00e9<\/h2>\n\n\n\n

    Les donn\u00e9es de sant\u00e9 b\u00e9n\u00e9ficient d’une protection renforc\u00e9e. Plusieurs textes se cumulent pour l’assurer. Ensemble, ils fixent le niveau de s\u00e9curit\u00e9 donn\u00e9es de sant\u00e9 RGPD attendu.<\/p>\n\n\n\n

    2.1 Des donn\u00e9es sensibles par nature<\/h3>\n\n\n\n

    L’article 9 du RGPD classe les donn\u00e9es de sant\u00e9 comme sensibles. Leur traitement est, en principe, interdit sans base sp\u00e9cifique. De plus, l’article 5.1.f impose confidentialit\u00e9 et int\u00e9grit\u00e9. Ainsi, le niveau de s\u00e9curit\u00e9 attendu est particuli\u00e8rement \u00e9lev\u00e9. Une n\u00e9gligence se juge donc bien plus s\u00e9v\u00e8rement dans ce secteur particulier.<\/p>\n\n\n\n

    2.2 L’obligation de s\u00e9curit\u00e9 de l’article 32<\/h3>\n\n\n\n

    L’article 32 impose des mesures techniques et organisationnelles adapt\u00e9es. Ces mesures doivent tenir compte du risque et de l’\u00e9tat de l’art. Or, pour la sant\u00e9, le risque est jug\u00e9 maximal. C’est pourquoi la s\u00e9curit\u00e9 donn\u00e9es de sant\u00e9 RGPD exige un effort renforc\u00e9.<\/p>\n\n\n\n

    2.3 L’h\u00e9bergement certifi\u00e9 HDS<\/h3>\n\n\n\n

    L’h\u00e9bergement des donn\u00e9es de sant\u00e9 est strictement encadr\u00e9. L’article L.1111-8 du Code de la sant\u00e9 publique impose la certification HDS. Cette certification vise directement l’h\u00e9bergeur, mais engage aussi le responsable. Le choix d’un prestataire non certifi\u00e9 devient une faute en soi. Il doit donc v\u00e9rifier la conformit\u00e9 de son prestataire.<\/p>\n\n\n\n

    2.4 La sous-traitance et les violations<\/h3>\n\n\n\n

    L’article 28 encadre le recours aux sous-traitants. Un contrat pr\u00e9cis, appel\u00e9 DPA, est obligatoire. De plus, les articles 33 et 34 r\u00e9gissent les violations de donn\u00e9es. La notification \u00e0 la CNIL intervient alors sous soixante-douze heures. L’information des personnes concern\u00e9es suit, selon la gravit\u00e9 du risque.<\/p>\n\n\n\n

    3. La checklist des mesures exig\u00e9es<\/h2>\n\n\n\n

    Voici les mesures concr\u00e8tes que la CNIL attend d\u00e9sormais. Chacune r\u00e9pond directement aux manquements sanctionn\u00e9s. Elles forment le socle d’une s\u00e9curit\u00e9 donn\u00e9es de sant\u00e9 RGPD s\u00e9rieuse.<\/p>\n\n\n\n

    3.1 L’authentification multifacteur<\/h3>\n\n\n\n

    D\u00e9ployez une authentification multifacteur pour tous les acc\u00e8s sensibles. Elle s’impose surtout pour les acc\u00e8s externes et distants. En effet, son absence a \u00e9t\u00e9 au c\u0153ur de la sanction. Ainsi, un simple mot de passe ne prot\u00e8ge plus des donn\u00e9es de sant\u00e9.<\/p>\n\n\n\n

    3.2 La gestion des acc\u00e8s au moindre privil\u00e8ge<\/h3>\n\n\n\n

    Appliquez ensuite le principe du moindre privil\u00e8ge. En effet, chaque utilisateur n’acc\u00e8de qu’aux donn\u00e9es strictement n\u00e9cessaires. De plus, supprimez les acc\u00e8s permanents non justifi\u00e9s des prestataires. Une revue r\u00e9guli\u00e8re et document\u00e9e des habilitations reste absolument indispensable. Les d\u00e9parts et les changements de poste doivent syst\u00e9matiquement y \u00eatre int\u00e9gr\u00e9s.<\/p>\n\n\n\n

    3.3 La journalisation et la d\u00e9tection<\/h3>\n\n\n\n

    Mettez en place une journalisation compl\u00e8te des acc\u00e8s. Ainsi, ces journaux permettent de d\u00e9tecter une intrusion rapidement. Par ailleurs, des alertes automatiques renforcent cette surveillance. La tra\u00e7abilit\u00e9 devient alors une preuve pr\u00e9cieuse en cas de contr\u00f4le de la CNIL.<\/p>\n\n\n\n

    3.4 La minimisation des donn\u00e9es<\/h3>\n\n\n\n

    Par ailleurs, ne conservez que les donn\u00e9es r\u00e9ellement utiles. Par exemple, une copie de pi\u00e8ce d’identit\u00e9 doit \u00eatre justifi\u00e9e. De plus, fixez des dur\u00e9es de conservation claires. Cette minimisation r\u00e9duit fortement la surface d’attaque exploitable. Moins de donn\u00e9es stock\u00e9es, c’est moins de risques en cas d’intrusion.<\/p>\n\n\n\n

    3.5 Le chiffrement et la sauvegarde<\/h3>\n\n\n\n

    De plus, chiffrez les donn\u00e9es sensibles, au repos comme en transit. De plus, pr\u00e9voyez des sauvegardes r\u00e9guli\u00e8res et test\u00e9es. Ainsi, une attaque ne se transforme pas en catastrophe irr\u00e9versible. La r\u00e9silience fait aussi pleinement partie de la s\u00e9curit\u00e9 attendue. Un plan de reprise \u00e9prouv\u00e9 compl\u00e8te tr\u00e8s utilement ces mesures techniques.<\/p>\n\n\n\n

    4. Tableau : mesure, fondement et criticit\u00e9<\/h2>\n\n\n\n

    Le tableau ci-dessous synth\u00e9tise les mesures cl\u00e9s. Il relie chaque mesure \u00e0 son fondement et \u00e0 sa criticit\u00e9.<\/p>\n\n\n\n

    Mesure<\/th>Fondement<\/th>Criticit\u00e9<\/th><\/tr><\/thead>
    Authentification multifacteur<\/td>Article 32 + reco CNIL<\/td>\ud83d\udd34 Critique<\/td><\/tr>
    Moindre privil\u00e8ge<\/td>Article 32<\/td>\ud83d\udd34 Critique<\/td><\/tr>
    Journalisation<\/td>Article 32<\/td>\ud83d\udfe0 \u00c9lev\u00e9e<\/td><\/tr>
    Minimisation<\/td>Article 5.1.c<\/td>\ud83d\udfe0 \u00c9lev\u00e9e<\/td><\/tr>
    H\u00e9bergement HDS<\/td>L.1111-8 CSP<\/td>\ud83d\udd34 Critique<\/td><\/tr>
    Contrat de sous-traitance<\/td>Article 28<\/td>\ud83d\udfe0 \u00c9lev\u00e9e<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

    5. Les r\u00e9flexes pour les prestataires SaaS sant\u00e9<\/h2>\n\n\n\n

    La sanction concerne aussi les prestataires de la sant\u00e9. Un \u00e9diteur SaaS mal pr\u00e9par\u00e9 fragilise tous ses clients. Sa s\u00e9curit\u00e9 donn\u00e9es de sant\u00e9 RGPD devient alors l’affaire de toute la cha\u00eene.<\/p>\n\n\n\n

    5.1 S\u00e9curiser son offre d\u00e8s la conception<\/h3>\n\n\n\n

    Int\u00e9grez la s\u00e9curit\u00e9 d\u00e8s la conception du service. C’est l’exigence de protection d\u00e8s la conception du RGPD. De plus, un mod\u00e8le de mesures techniques structure cette d\u00e9marche. Notre annexe de mesures techniques et organisationnelles<\/strong><\/a> aide \u00e0 la formaliser.<\/p>\n\n\n\n

    5.2 Clarifier son r\u00f4le et sa responsabilit\u00e9<\/h3>\n\n\n\n

    Qualifiez pr\u00e9cis\u00e9ment votre r\u00f4le au sens du RGPD. \u00cates-vous sous-traitant, responsable ou responsable conjoint ? Cette qualification d\u00e9termine vos obligations exactes. De plus, elle conditionne le contenu du contrat avec vos clients.<\/p>\n\n\n\n

    5.3 Anticiper le contr\u00f4le et la sanction<\/h3>\n\n\n\n

    Un incident d\u00e9clenche souvent un contr\u00f4le de la CNIL. Il faut donc savoir r\u00e9agir vite et bien. Notre guide de la proc\u00e9dure de sanction de la CNIL<\/strong><\/a> d\u00e9taille cette phase. Une pr\u00e9paration en amont limite fortement le risque et le co\u00fbt final.<\/p>\n\n\n\n

    5.4 R\u00e9aliser une analyse d’impact<\/h3>\n\n\n\n

    Un traitement de sant\u00e9 \u00e0 grande \u00e9chelle impose une analyse d’impact. L’article 35 du RGPD l’exige dans ce cas. Cette analyse identifie les risques et d\u00e9finit les mesures adapt\u00e9es. Elle constitue aussi une preuve utile en cas de contr\u00f4le. Ainsi, elle d\u00e9montre une d\u00e9marche de conformit\u00e9 s\u00e9rieuse.<\/p>\n\n\n\n

    6. Pourquoi faire appel \u00e0 Atias Avocats<\/h2>\n\n\n\n

    S\u00e9curiser des donn\u00e9es de sant\u00e9 exige une double expertise. Il faut ma\u00eetriser le RGPD et les contraintes propres au secteur sant\u00e9. Il faut aussi comprendre la r\u00e9alit\u00e9 technique des syst\u00e8mes d’information. Atias Avocats accompagne acteurs de sant\u00e9 et \u00e9diteurs SaaS. En effet, une mesure oubli\u00e9e peut co\u00fbter des centaines de milliers d’euros. De m\u00eame, un contrat de sous-traitance mal con\u00e7u expose l’ensemble de la cha\u00eene de soins. Cet accompagnement transforme une lourde contrainte r\u00e9glementaire en s\u00e9curit\u00e9 r\u00e9ellement durable. Pour aller plus loin, consultez nos services en protection des donn\u00e9es<\/strong><\/a>.<\/p>\n\n\n\n

    Conclusion<\/h2>\n\n\n\n

    La sanction du 3 septembre 2026 a valeur d’avertissement pour tout le secteur. Or, les manquements retenus \u00e9taient largement \u00e9vitables. C’est pourquoi l’authentification multifacteur devient un r\u00e9flexe absolu. De plus, la gestion des acc\u00e8s et l’h\u00e9bergement HDS ne se n\u00e9gocient pas. Enfin, une s\u00e9curit\u00e9 donn\u00e9es de sant\u00e9 RGPD solide prot\u00e8ge autant les patients que l’\u00e9tablissement. Agir d\u00e8s maintenant reste, ainsi, la meilleure strat\u00e9gie. \u00c0 d\u00e9faut, une simple faille peut se payer tr\u00e8s cher, et publiquement.<\/p>\n\n\n\n

    FAQ \u2014 Questions fr\u00e9quentes<\/h2>\n\n\n\n

    Pourquoi l’H\u00f4pital Priv\u00e9 de la Loire a-t-il \u00e9t\u00e9 sanctionn\u00e9 ?<\/h3>\n\n\n\n

    Le 3 septembre 2026, la CNIL a prononc\u00e9 une amende de 500 000 euros. Un attaquant avait acc\u00e9d\u00e9 au dossier patient informatis\u00e9 durant l’\u00e9t\u00e9 2025. Cette violation a expos\u00e9 les donn\u00e9es de 524 867 patients et de 202 246 proches. La CNIL a jug\u00e9 les mesures de s\u00e9curit\u00e9 insuffisantes au regard de l’article 32. Elle a aussi relev\u00e9 un manquement \u00e0 l’information des personnes pr\u00e9vue \u00e0 l’article 34.<\/p>\n\n\n\n

    L’authentification multifacteur est-elle obligatoire pour les donn\u00e9es de sant\u00e9 ?<\/h3>\n\n\n\n

    Elle est fortement attendue par la CNIL pour les acc\u00e8s sensibles. Dans l’affaire de la Loire, son absence a \u00e9t\u00e9 un manquement central. La CNIL recommande une authentification multifacteur pour les acc\u00e8s externes et distants. Un simple identifiant et mot de passe ne suffit plus pour des donn\u00e9es de sant\u00e9. Cette mesure est devenue un standard de s\u00e9curit\u00e9 incontournable.<\/p>\n\n\n\n

    Un h\u00e9bergeur de donn\u00e9es de sant\u00e9 doit-il \u00eatre certifi\u00e9 HDS ?<\/h3>\n\n\n\n

    Oui, l’article L.1111-8 du Code de la sant\u00e9 publique l’impose. Tout h\u00e9bergement de donn\u00e9es de sant\u00e9 sur support num\u00e9rique exige une certification HDS. Cette obligation vise l’h\u00e9bergeur, mais engage aussi le responsable de traitement. Il doit donc v\u00e9rifier la certification de son prestataire. \u00c0 d\u00e9faut, il s’expose lui-m\u00eame \u00e0 une sanction.<\/p>\n\n\n\n

    Comment encadrer l’acc\u00e8s des prestataires au dossier patient ?<\/h3>\n\n\n\n

    L’acc\u00e8s permanent des prestataires a \u00e9t\u00e9 critiqu\u00e9 dans l’affaire de la Loire. Il faut appliquer le principe du moindre privil\u00e8ge. Chaque prestataire n’acc\u00e8de qu’au strict n\u00e9cessaire, et de mani\u00e8re trac\u00e9e. Un contrat de sous-traitance conforme \u00e0 l’article 28 du RGPD est indispensable. La journalisation des acc\u00e8s permet ensuite de d\u00e9tecter toute anomalie.<\/p>\n\n\n\n

    Que risque un acteur de sant\u00e9 en cas de s\u00e9curit\u00e9 insuffisante ?<\/h3>\n\n\n\n

    Le risque est \u00e0 la fois financier, r\u00e9putationnel et p\u00e9nal. L’amende peut atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial. La d\u00e9cision peut aussi \u00eatre rendue publique, comme pour l’H\u00f4pital Priv\u00e9 de la Loire. S’y ajoutent des recours possibles des patients concern\u00e9s. La s\u00e9curit\u00e9 des donn\u00e9es de sant\u00e9 est donc un enjeu de premier plan.<\/p>\n\n\n\n


    Contact :     david@atiasavocats.com<\/a> | LinkedIn: David Joseph Atias<\/em><\/a> | https:\/\/www.atiasavocats.com<\/a> | 42 rue de la Clef, 75005 Paris<\/p>\n\n\n\n

    Atias Avocats \u2014 RGPD sant\u00e9, s\u00e9curit\u00e9 des donn\u00e9es, h\u00e9bergement HDS & contentieux CNIL<\/em><\/p>","protected":false},"excerpt":{"rendered":"

    Par\u00a0David Joseph Atias, avocat au Barreau de Paris \u00b7\u00a0LinkedIn\u00a0\u00b7 Septembre 2026 Un mot de passe vol\u00e9, et 500 000 dossiers patients expos\u00e9s. C’est l’histoire de la sanction CNIL du 3…<\/p>","protected":false},"author":1,"featured_media":23384,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"om_disable_all_campaigns":false,"_monsterinsights_skip_tracking":false,"footnotes":""},"categories":[1],"tags":[],"class_list":["post-23383","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-uncategorized"],"_links":{"self":[{"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/posts\/23383","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/comments?post=23383"}],"version-history":[{"count":1,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/posts\/23383\/revisions"}],"predecessor-version":[{"id":23385,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/posts\/23383\/revisions\/23385"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/media\/23384"}],"wp:attachment":[{"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/media?parent=23383"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/categories?post=23383"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/tags?post=23383"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}