Cette rentrée s’est faite sur la sanction d’un établissement de santé privé pour défaut de sécurité.
500 000 euros d’amende.
Difficile de contester les faits, vu l’exposé de la CNIL.
Il y a en revanche un silence dans cette décision.
Un silence pesant.
A propos de l’éditeur.
Ne nous voilons pas la face, des éditeurs et des fabricants qui exigent un accès libre au SI, il y en a.
Et le responsable de traitement serait seul à porter le risque?
Peu probable.
Parfois, la CNIL fait passer des messages entre les lignes.
Prenez la délibération Lusha concluant que le RGPD est inapplicable à l’éditeur.
Tacitement, il fallait comprendre que l’usage de la solution était, disons, problématique.
Dans la décision de juillet 2026, au moins trois points restent hors champ:
👉 La protection des données dès la conception et par défaut : admettons que l’établissement soit libre de définir sa matrice d’habilitation. L’éditeur ne devait-il pas s’assurer de la conformité de son outil au référentiel MIE et à la PGSSI-S ?
👉 L’alerte sur des instructions potentiellement illicites : si l’hôpital a demandé à l’éditeur d’implémenter la matrice de droits, celui-ci n’aurait-il pas dû signaler l’absence de prise en compte de la notion d’équipe de soins?
👉 L’accès libre des personnels de l’éditeur au DPI : choix de l’établissement… ou décision de l’éditeur sur les moyens de traitement? Dans le 2nd cas, ne devient-il pas responsable de traitement?
La CNIL travaille actuellement sur une recommandation DPI.
Peu probable que ces questions aient échappé aux agents et commissaires.
La vraie question, désormais, est de savoir quelles seront les suites.
DPD d’établissement de santé ou d’éditeur : savez-vous comment vos prestataires / vos équipes accèdent au DPI, appareils d’imagerie et autres équipements matériels lourds?
Mieux vaut cartographier cela maintenant, plutôt que dans l’urgence d’un contrôle.
Puis revoir / renégocier les contrats concernés.
Vous êtes concerné? Parlons-en.
Sources :
🇪🇺 Art. 25 et 28 RGPD
🇫🇷 Délibération de la formation restreinte n°SAN-2022-024 du 20 décembre 2022
🇫🇷 Délibération de la formation restreinte n°SAN-2026-009 du 21 juillet 2026
