Violation de données de santé : que faire ?

Lorsqu’une violation de données de santé survient, la réactivité est cruciale pour limiter l’impact humain et respecter le cadre légal. Ce guide vous explique ce qu’est exactement une violation de données de santé au sens du RGPD, vos obligations légales et la procédure à suivre en cas d’incident de sécurité.

Vous traitez des données de santé et souhaitez assurer votre conformité ? Un audit RGPD clarifie précisément votre périmètre de conformité et vous aide à transformer vos obligations légales en avantages stratégiques. Nos experts vous accompagnent également dans la gestion de crise.

PARLER À UN EXPERT

Qu’est-ce qu’une violation de données de santé au sens du RGPD ?

L’article 4 du RGPD définit une violation de données à caractère personnel comme :

« Une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d’une autre manière, ou l’accès non autorisé à de telles données. »

Les spécificités des données de santé

Une donnée de santé constitue une catégorie particulière de données sensibles (article 9 du RGPD). Elle bénéficie à ce titre d’une protection renforcée.

Contrairement à un incident portant sur des données administratives, la fuite ou l’altération d’informations de santé présente des risques majeurs pour les personnes physiques : atteinte au secret médical, discrimination, préjudice moral, usurpation d’identité ou risque direct pour la sécurité des soins en cas d’indisponibilité des dossiers des médicaux.

Exemples de violations de données de santé

Type de violation	Contexte	Exemple
Confidentialité	Accès ou divulgation non autorisée à des informations médicales	Piratage d’un logiciel métier, envoi d’un dossier patient ou d’un résultat d’analyse au mauvais destinataire
Disponibilité	Perte d’accès, destruction accidentelle ou indisponibilité temporaire des données	Attaque par ransomware bloquant l’accès au dossier patient, panne majeure d’un serveur HDS
Intégrité	Altération non autorisée ou modification malveillante des données	Modification frauduleuse d’une posologie, d’un groupe sanguin ou d’un antécédent médical dans le dossier de soin

Ainsi, dès lors qu’un événement compromet la confidentialité, la disponibilité ou l’intégrité d’une donnée médicale, la structure fait face à un incident de sécurité qualifié qui active immédiatement ses obligations règlementaires.

Que faire en cas d’incident de sécurité ?

Lorsqu’une violation touchant des données médicales survient, le responsable de traitement est tenu de notifier l’autorité de contrôle (la CNIL) dans les plus brefs délais, sous peine de sanctions administratives et pénales.

1. Qualification et confinement immédiat: il faut d’abord stopper l’incident, isoler les systèmes informatiques compromis et mesurer la sensibilité des informations exposées.
2. Notification à la CNIL sous 72 heures: dès la prise de connaissance de l’incident et via la téléprocédure dédiée. Si l’investigation est en cours, la notification peut être échelonnée.
3. Signalement sectoriel: en application du Code de la santé publique (article L1111-8-2), les établissements de santé doivent déclarer les incidents de sécurité graves aux autorités compétentes de l’Etat.
4. Information des personnes concernées: si la fuite présente un risque élevé pour les droits et libertés des personnes, les patients doivent être informés individuellement et sans délai.
5. Documentation dans le registre interne : chaque incident, ses conséquences et les mesures correctives prises doivent être consignés dans le registre des violations, consultable par la CNIL lors d’un contrôle.

Pour conclure : les étapes clés pour gérer une violation de données de santé

Immédiatement : confinement et alerte interne

• Isoler les systèmes
• Mobiliser la cellule de crise (direction, RSSI, DPO, service juridique)
• Consigner les faits (date, heure de la découverte, nature de l’incident, identité du déclarant)

Premières 24 heures : qualification et évaluation

• Cartographier les données exposées (volume, typologie des données médicales touchées)
• Évaluer le niveau de risque
• Activer la remédiation (changement de mots de passe, colmatage des failles, etc.)

Premières 72 heures : déclarations obligatoires

• Notifier la CNIL et, si pertinent et/ou obligatoire, les autorités compétentes
• Informer les patients (en cas de risque élevé)

Après la crise : capitalisation et conformité

• Mettre à jour le registre (incident, impacts et mesures prises)
• Mener un RETEX (retour d’expérience pour ajuster la politique de sécurité et former les équipes)

Questions fréquentes

Doit-on notifier la CNIL si seulement quelques données de santé sont concernées ?

Oui. La sensibilité des données de santé fait qu’un risque existe même pour un petit nombre de fichiers ou de personnes. L’analyse au cas par cas reste de mise, mais la prudence impose souvent la notification.

Quelles sont les sanctions en cas de non-notification d’une violation ?

Les amendes administratives prévues par le RGPD peuvent s’élever jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial réalisé lors de l’exercice précédent (montant le plus haut retenu). Elles sont cumulables avec les sanctions pénales pour défaut de notification.

Le sous-traitant informatique (hébergeur HDS) est-il responsable de la notification ?

Le sous-traitant doit notifier le responsable de traitement dans les meilleurs délais. C’est ce dernier (clinique, laboratoire, cabinet) qui conserve l’obligation de notifier la CNIL et les personnes concernées par la violation de données.

En prévention comme en gestion de crise, les experts de Lexagone vous accompagnent. Un DPO externe spécialisé en médico-social (ESMS) vous accompagne à chaque étape de votre mise en conformité. Il est présent en cas de violation de données de santé pour vous aider à qualifier l’incident, piloter les notifications CNIL et sécuriser votre organisation.

PARLER À UN EXPERT