Dossier patient informatisé (DPI) : quelles obligations de sécurité pour les établissements de santé ?

Le 21 juillet 2026, la CNIL a prononcé une sanction de 500 000 euros à l’encontre d’un établissement de santé en raison, notamment, de manquements à son obligation d’assurer la sécurité des données personnelles traitées dans le cadre du dossier patient informatisé (Délibération SAN-2026-009 du 21 juillet 2026).

À ce jour, il s’agit de la première sanction prononcée à l’encontre d’un établissement de santé portant spécifiquement sur la sécurité de son DPI. Alors que la version définitive des recommandations de la CNIL relatives au DPI est encore attendue, cette décision apporte de premières indications concrètes sur les mesures de sécurité attendues des établissements de santé.

Dans cette affaire, un attaquant était parvenu à se connecter au DPI de l’établissement à l’aide des identifiants d’un médecin et avait accédé aux données de 524 867 patients, ainsi qu’à celles de 202 246 personnes désignées comme personnes de confiance.

À la suite de la notification de cette violation et de plusieurs plaintes, la CNIL a procédé à des contrôles qui ont mis en évidence plusieurs insuffisances dans les mesures techniques et organisationnelles mises en œuvre et notamment :

• Absence de sécurisation de l’accès à distance ;

• Politique d’habilitation inadéquate ;

• Insuffisance des mesures de traçabilité.

Au-delà du cas d’espèce, cette décision apporte plusieurs enseignements utiles aux établissements de santé sur les exigences applicables à leur DPI et la manière d’en apprécier la conformité.


Enseignement n°1 – Une violation de données ne caractérise pas, à elle seule, un manquement à l’obligation de sécurité

La CNIL rappelle tout d’abord que l’obligation de sécurité prévue par l’article 32 du RGPD constitue une obligation de moyens. Le responsable de traitement doit mettre en œuvre, au regard des caractéristiques du traitement et des risques qu’il présente, des mesures permettant de réduire la probabilité de survenance d’une violation et, le cas échéant, d’en atténuer la gravité.

Ce n’est donc pas la survenance de la violation qui est, en elle-même, sanctionnée, mais le fait qu’elle ait été rendue possible ou facilitée par l’absence ou l’insuffisance de mesures de sécurité adaptées, conformément à l’état de l’art.

Pour les établissements de santé, l’enjeu n’est donc pas de garantir qu’aucune violation du DPI ne surviendra, mais de pouvoir démontrer qu’en cas de violation, les mesures mises en œuvre étaient adaptées aux risques attachés aux données qui y sont traitées.


Enseignement n°2 – Les limites techniques du logiciel DPI n’exonèrent pas l’établissement de ses obligations

La décision apporte également une précision importante sur l’articulation entre les obligations de l’établissement de santé, responsable de traitement de son DPI, et celle de l’éditeur de la solution utilisée dans ce cadre.

Dans cette affaire, l'établissement soutenait en défense que certaines des insuffisances constatées étaient directement liées aux fonctionnalités du logiciel (qui ne permettait notamment pas de cloisonner les dossiers des patients ni de mettre en œuvre un mécanisme de type « bris de glace »).

La CNIL écarte expressément cet argument : les limites techniques du logiciel ne constituent pas un fait exonératoire pour l’établissement, le responsable de traitement devant choisir un outil à jour de l’état de l’art et présentant des garanties de sécurité suffisantes.

Cette position fait directement écho au projet de recommandation de la CNIL relatif au DPI, qui invite les établissements à prendre en compte les exigences de sécurité dès le choix de la solution, notamment dans les cahiers des charges relatifs à son achat ou à son développement, puis dans son paramétrage.

Les établissements de santé doivent donc s’assurer, en amont comme tout au long de l’utilisation de leur DPI, que les fonctionnalités et le paramétrage de la solution choisie leur permettent effectivement de satisfaire aux exigences de sécurité qui leur incombent.


Enseignement n°3 – La politique d'habilitation doit tenir compte de la notion d’équipe de soins

Parmi les manquements retenus figure également le caractère inadéquat de la politique d’habilitation mise en place par l’établissement. En l'espèce, si les droits d’accès étaient différenciés selon les métiers exercés et les différents modules du DPI, les professionnels pouvaient accéder aux dossiers de patients à la prise en charge desquels ils ne participaient pas.

La CNIL rappelle ainsi qu’en matière de DPI, la politique d’habilitation doit tenir compte de deux dimensions :

• Le métier exercé par l’utilisateur et,

• Son appartenance à l’équipe de soins du patient, au sens de l’article L. 1110-12 du code de la santé publique.

Les habilitations doivent en conséquence être configurées de manière que :

• Seuls les professionnels participant directement à la prise en charge du patient puissent accéder au DPI,

• L’accès se limite aux seules informations strictement nécessaires à la coordination ou à la continuité des soins et dans la limite du périmètre de leur mission (Art. R. 1110-1 du code de la santé publique).

Des habilitations temporaires et tracées peuvent être prévues pour répondre aux situations d’urgence, notamment au moyen d’un mécanisme de type « bris de glace".

La sécurisation des accès au DPI ne peut donc pas reposer sur une seule matrice de droits par métier : sa conception doit également intégrer les règles propres au partage des données de santé.


Enseignement n°4 – Les référentiels de l'ANS participent à l’appréciation du respect de l’article 32 du RGPD

Pour apprécier la sécurisation des accès à distance au DPI, la CNIL ne se limite pas aux dispositions générales de l’article 32 du RGPD. Pour la première fois, elle se fonde également sur le cadre sectoriel applicable aux services numériques en santé et, plus précisément, le référentiel d’identification électronique des acteurs des secteurs sanitaire, médico-social et social de l’Agence du numérique en santé.

Ce référentiel, rendu opposable par arrêté, prévoit des exigences particulières concernant l’identification électronique et l’authentification des acteurs accédant à des services numériques en santé. La décision illustre ainsi concrètement la manière dont une exigence sectorielle propre au numérique en santé peut être prise en compte par la CNIL pour apprécier le caractère approprié des mesures de sécurité mises en œuvre au titre de l’article 32 du RGPD.

Cette articulation ne concerne d’ailleurs pas uniquement l’authentification. S’agissant des habilitations, la CNIL se réfère également à la PGSSI-S et à son guide de gestion des habilitations pour rappeler la nécessité de prendre en compte la notion d’équipe de soins.

Pour les établissements de santé, la conformité du DPI ne peut donc pas être appréciée au seul regard des dispositions générales du RGPD : elle suppose également d’identifier les référentiels et exigences sectoriels applicables au service numérique concerné.


Sans préjuger du contenu de la version définitive des recommandations de la CNIL, cette décision en constitue ainsi un premier indicateur concret des attentes de l'autorité et invite les établissements à vérifier dès à présent que les conditions de choix, de paramétrage et d’utilisation de leur DPI leur permettent de satisfaire aux exigences de sécurité qui leur sont applicables.

Le cabinet accompagne les établissements de santé dans l’identification des exigences applicables à leur DPI et la sécurisation juridique de leurs choix d’outils, de leurs contrats et de leurs conditions d’utilisation. Vous souhaitez évaluer la conformité de votre DPI ? Contactez le cabinet