Comment sécuriser un dossier patient informatisé (DPI) de façon à garantir, concrètement, un niveau de sécurité adapté au risque ?
Comment procéder à la notification d’une violation massive de données personnelles ?
Dans une délibération publiée le 3 septembre dernier, la CNIL apporte des réponses très pratiques aux RSSI et DPO, en sanctionnant l'Hôpital Privé de la Loire à hauteur de 500 000 €, pour des manquements à la sécurité des données et à l'obligation d'information des personnes concernées. Les faits remontent à juin 2025, lorsqu’un attaquant s’est introduit dans le dossier patient informatisé (DPI) de l’hôpital, et est parvenu à accéder aux données de plus de 524 000 patients et de 202 000 tiers de confiance.
Au-delà de l'amende qui fera l’objet d’un article distinct, la décision est surtout intéressante parce qu'elle illustre en détail, comment un praticien libéral connecté à distance, a pu devenir un point d'entrée pour l'attaquant, faute de mesures de sécurité suffisantes. Au-delà du seul DPI, les enseignements apportés par la CNIL peuvent être étendus à l’ensemble des logiciels métiers d’un hôpital, hébergés on premise ou en SaaS.
Quelles leçons les RSSI et les DPO peuvent tirer de cette décision de la CNIL ? C’est l’objet du présent article
1 – RSSI : Les mesures de sécurité à prendre
Après avoir confirmé que l’hôpital pouvait être qualifié de responsable de traitement sur le DPI, la CNIL a précisé ce qui était concrètement attendu de sa part pour satisfaire aux exigences de l’article 32 du RGPD.
A ce titre, la formation restreinte rappelle d’abord que lorsque le traitement porte sur des données sensibles, telles que les données de santé, des mesures de sécurité « renforcées » doivent être prises. Elle précise toutefois que l'article 32 reste une obligation de moyens, et que la simple survenance d'une violation ne suffit pas, à elle seule, à caractériser un manquement. Ce qui compte, en pratique, c’est l'adéquation entre les mesures effectivement en place et le risque identifié.
Pour apprécier si les dispositifs de sécurité de l'hôpital étaient à la hauteur des risques de divulgation des données, susceptibles de créer un préjudice moral et matériel aux personnes concernées, la formation restreinte s'appuie sur un principe emprunté à l'ANSSI : celui de la défense en profondeur. En effet, la sécurité d'un système ne doit jamais reposer sur un seul élément, chaque faille potentielle devant être compensée par un second niveau de protection (§52-53). C'est cette grille de lecture qui explique pourquoi chacune des failles identifiées par la CNIL, prise isolément, aurait peut-être été tolérée, mais que leur accumulation a été jugée inacceptable. Voici ce qu'il faut en retenir.
A – Sécuriser tout accès à distance par une authentification à deux facteurs
Pour apprécier si l'hôpital respectait ses obligations sur ce point, la CNIL s'est appuyée sur le référentiel de sécurité relatif à l'identification électronique des utilisateurs des services numériques en santé, rendu opposable par arrêté du 28 mars 2022 en application de l'article L.1470-2 du code de la santé publique. Ce texte impose une authentification à deux facteurs pour tout accès distant à un service numérique en santé, sauf si l'accès passe par un VPN lui-même verrouillé par un second facteur (§58-60).
La formation restreinte de la CNIL rappelle à ce titre que l'ANSSI qualifie ce type de connexion de nomadisme numérique, et alerte depuis longtemps sur les risques accrus qu'il fait peser sur un système d'information : compromission du matériel, accès illégitime ou encore interception des informations échangées (§54-56). Pour l'ANSSI, l'objectif doit être d'aligner le niveau de sécurité d'un accès nomade sur celui du réseau interne, ce qui suppose, concrètement, un VPN (§56-57).
Or, en l’espèce, environ 450 utilisateurs externes à l'hôpital, dont des praticiens libéraux, leur secrétariat et même certains salariés de l'éditeur du logiciel, se connectaient au DPI avec un simple identifiant et un mot de passe, sans VPN, ni moyen d’identification électronique à deux facteurs. C’est exactement cette faille qui a été utilisée par l’attaquant, qui s’est servi des identifiants d’un praticien libéral. A cet égard, la CNIL insiste sur le fait que si un second facteur d’authentification avait été exigé, l'attaquant se serait retrouvé bloqué, même en disposant du mot de passe (§66).
L’autorité de contrôle fait ainsi passer un message clair : aucune catégorie d'utilisateurs, nomades ou non, ne doit échapper à l’exigence d’authentification à deux facteurs. Ce message trouve un écho certain pour ceux qui entament le (lourd) chantier de la décentralisation de la recherche clinique.
B- Cloisonner les accès
Sur le manquement relevé par la CNIL sur la politique d’habilitation inadaptée mise en place par l’hôpital, la formation restreinte rappelle la nécessité de combiner deux critères :
- d’une part, le métier exercé : ainsi, un agent responsable de l’accueil des patients dans la structure ne doit accéder qu’au dossier administratif du patient et non aux données médicales, alors qu’un médecin accèdera également aux données médicales ;
- d’autre part, la prise en compte de la notion d’équipe de soins, telle que définie par l’article L. 1110-12 du code de la santé publique, afin que seuls les professionnels effectivement impliqués dans la prise en charge d’un patient ou dans les soins qui lui sont prodigués puissent avoir accès aux informations couvertes par le secret médical prévu à l'article L. 1110-4 du CSP. La CNIL précise qu’un mécanisme de type « bris de glace », tracé et limité dans le temps, permettant dans une situation exceptionnelle d’accéder aux données d’un patient, peut compléter le dispositif, mais ne remplace pas le cloisonnement par défaut.
Face au manquement relevé par la CNIL selon lequel la politique d’habilitation mise en place par l’hôpital était inadaptée, ce dernier invoquait l’existence d’une matrice distinguant les profils d’utilisation en fonction de leurs métiers, et limitant leurs droits d’accès aux seuls modules du DPI nécessaires à l’exercice de leurs fonctions. La formation restreinte retient que le premier critère était rempli mais pas le second. En effet, selon elle, le logiciel ne propose pas le cloisonnement des fiches patients accessibles à partir d’un compte utilisateur, ce qui permettait à l’ensemble des praticiens médicaux et paramédicaux, d’accéder librement aux données personnelles de tous les patients de l’hôpital, même s’ils n’étaient pas impliqués dans leur prise en charge. Le respect de la notion d’équipe de soins n’était donc pas respecté, et ce peu importe pour la CNIL que la fonctionnalité n’existait pas au sein même du logiciel. On notera que la CNIL n’est pas allée question l’obligation de privacy by design de la part de l’éditeur du DPI.
Par conséquent, le responsable des traitements, et le RSSI doivent veiller non seulement à ce qu’une matrice des habilitations existe, mais que celle-ci soit complétée par un réel cloisonnement des données au sein même du logiciel afin de prendre en compte la notion d’équipe de soins.
C – Mettre à jour l’analyse de risques régulièrement avec le DPO
Pourtant, l'analyse d'impact réalisée par l'hôpital en 2021 avait déjà identifié l'absence de cloisonnement des dossiers patients comme la principale menace pesant sur le système, avec une gravité qualifiée de maximale. Cependant, l'hôpital avait alors jugé la vraisemblance de ce risque limitée (§84). Or, c'est précisément ce risque, considéré comme peu probable, qui s'est matérialisé quatre ans plus tard.
Cet événement montre l'intérêt d'un dialogue régulier avec le délégué à la protection des données (DPO) pour réévaluer les AIPD, en particulier quand le contexte de la menace évolue. En effet, une analyse de risques figée depuis plusieurs années, jamais reconsidérée à la lumière de l'actualité des cyberattaques, perd rapidement tout son intérêt et surtout ne pardonne pas face à la CNIL.
D – Analyser les journaux de connexion, pas seulement les collecter
Alors que l’hôpital disposait de plusieurs moyens de supervision des connexions, tels qu’un logiciel de détection et de réponse sur les postes de travail et les serveurs (EDR), un centre des opérations de sécurité (SOC), un système de supervision sur base de la solution, et un système de journalisation avec enregistrement des traces applicatives, la CNIL lui reproche de ne pas les avoir exploités en temps réel. En effet, même si des journaux de connexion existaient, ils n’étaient consultés qu’à la demande, en cas de suspicion de violation. En conséquence, l’attaquant a pu exfiltrer en moyenne 73 fiches patients par minute pendant cinq jours sans déclencher la moindre alerte.
La formation restreinte souligne à cet égard que si un système de journalisation efficient, avec un enregistrement et une analyse automatique des traces applicatives avait été mis en place, il aurait permis de déceler « le volume anormalement élevé de consultation de dossiers à partir du même compte d’utilisateur, incompatible avec une activité humaine » (§101).
La leçon à en tirer est simple : collecter des logs ne sert à rien si personne, ni aucun système automatisé, n'est chargé de les analyser en continu pour repérer un comportement anormal.
E – Rester vigilant pendant la gestion de crise
Pour répondre à l’urgence après avoir identifié la violation, l'hôpital a réinitialisé les mots de passe de tous les utilisateurs externes en leur attribuant le même mot de passe temporaire, celui-ci étant, en outre, transmis par un intermédiaire (le président de la commission médicale d'établissement) plutôt que directement à chaque utilisateur. La CNIL y voit un manquement à l'article 32, et parle même de « négligence », alors que l'hôpital faisait face à la crise et réagissait à une violation déjà en cours (§111).
Ce point mérite d'être intégré dans toute procédure de gestion de crise : une réinitialisation de masse, même en urgence, ne doit jamais sacrifier le caractère personnel et confidentiel du mot de passe.
F – Contrôler les accès des prestataires
De manière assez classique, l'éditeur du logiciel disposait d'un accès permanent au DPI pour ses opérations de maintenance, sans avoir à demander la moindre autorisation à l'hôpital. La CNIL considère que ce niveau d'accès dépasse ce qui est nécessaire à une mission de support, et retient un manquement distinct à l'article 32.
Le point le plus intéressant ici concerne la réponse de la CNIL à l'argument de l'hôpital. En effet, ce dernier soutenait que depuis l'incident, l'accès de l'éditeur passe par un serveur bastion, où toute activité est tracée. Cependant, la formation restreinte considère que ce n'est pas suffisant pour faire cesser le manquement, parce que le problème n'est pas la sécurisation de l'accès à distance, mais l'absence d’habilitation. Autrement dit : un accès distant sécurisé et tracé reste un manquement s'il n'est pas soumis à une validation explicite, au cas par cas, par le responsable de traitement.
Pour tout RSSI qui gère des accès de prestataires, il faut donc vérifier ce point dans les contrats et les architectures techniques : outre la sécurisation des accès, il faut également les contrôler et les valider.
2– DPO : L’information de TOUTES les personnes concernées
Outre le manquement à l’article 32 du RGPD, la CNIL retient également un manquement à l’article 34 relatif à l’information des personnes en cas de violation de leurs données.
Alors que l’hôpital avait correctement informé ses patients, sans ménager ses efforts, par le biais de plusieurs dispositifs (courriels personnalisés, SMS, courriers postaux et communiqué sur son site internet), les personnes désignées comme tiers de confiance n’ont reçu aucune communication directe, alors que leurs données ont été exfiltrées au même titre que celles des patients.
En effet, l'hôpital arguait que ces données étaient trop parcellaires pour représenter un risque élevé. Toutefois la CNIL n’a pas suivi ce raisonnement, en affirmant que combinées à celles du patient auquel elles se rattachent, ces informations permettent des usurpations d'identité ciblées, y compris pour des formalités administratives au nom d'un patient décédé. En effet, si ces données étaient prises isolément, une telle information des tiers de confiance n’aurait peut-être pas été exigée.
Bien que ces arguments soient parfaitement compréhensibles au regard des risques encourus, il semblerait tout de même que la CNIL adopte une lecture très stricte et sévère de cette situation, alors que l’hôpital avait tout de même déployé des efforts importants pour s’assurer que les patients étaient correctement informés.
Pour les responsables de traitement, il faut néanmoins retenir, que dès lors qu’une violation touche par ricochet des tiers identifiables dont les données ont été collectées indirectement, ils doivent tout de même faire l'objet d'une communication personnelle et directe, et un communiqué sur le site internet du responsable de traitement ne suffira pas.
Laurence Huin, Associée Connect Avocats, Barreau de Paris et Klaudia Brylinska, Juriste Stagiaire