Violation de données de santé en ESMS : le règlement européen impose une notification à la CNIL sous 72 heures. Procédure pas à pas, contenu du signalement, information des personnes concernées et sanctions encourues : ce que doivent savoir DPO et directions d’établissement avant la survenue d’un incident.
Violation de données en ESMS : de quoi parle-t-on ?
Une violation de données à caractère personnel se définit, selon la CNIL, comme une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données à caractère personnel. En ESMS, cette définition couvre aussi bien un dossier usager informatisé piraté qu’un email contenant des informations de santé envoyé au mauvais destinataire, ou un ordinateur portable professionnel dérobé dans un véhicule de service.
Dès que l’établissement, responsable du traitement des données de ses usagers, prend connaissance d’un tel incident, le règlement oblige à notifier l’autorité de contrôle compétente — la CNIL, en France — dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance. Cette obligation s’inscrit dans le cadre plus large des mesures que tout ESMS doit mettre en œuvre pour sécuriser les données sensibles de ses usagers en cinq étapes opérationnelles, comme le détaille notre guide de conformité RGPD.
Lorsque l’établissement recourt à un éditeur de logiciel métier pour son dossier usager informatisé, ce prestataire est un sous-traitant au sens du RGPD, soumis à la même logique de réactivité : le texte prévoit qu’il notifie au responsable du traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance, à charge ensuite pour l’ESMS de notifier lui-même la CNIL.
Que la violation soit notifiée à la CNIL ou non, l’établissement documente toute violation de données à caractère personnel, en indiquant les faits concernant la violation des données à caractère personnel, ses effets et les mesures prises pour y remédier — une obligation de traçabilité qui complète les principes rappelés dans notre guide RGPD en ESMS sur les obligations et la protection des données de santé.
Notifier la CNIL en 72 heures : la procédure pas à pas
Le délai de 72 heures ne se déclenche pas au moment de l’incident technique lui-même, mais au moment où l’organisme en prend conscience : la CNIL précise que la notification doit être transmise à la CNIL dans les meilleurs délais à la suite de la constatation d’une violation. Un piratage du dossier usager informatisé peut ainsi être survenu plusieurs jours avant sa détection par l’équipe informatique ou l’hébergeur ; c’est la date de découverte qui fait courir le compteur.
Concrètement, la marche à suivre est indiquée par la CNIL elle-même, qui invite chaque responsable de traitement à « Utilisez le téléservice de notification de violations » pour transmettre son signalement en ligne, sans passer par un courrier postal.
Si le délai de 72 heures ne peut être tenu — incident découvert un vendredi soir, ampleur du piratage encore incertaine — la notification reste possible en deux temps : vous devrez expliquer, lors de votre notification, les motifs du retard.
Le formulaire de notification à la CNIL doit obligatoirement :
- décrire la nature de la violation de données à caractère personnel y compris, si possible, les catégories et le nombre approximatif de personnes concernées par la violation
- communiquer le nom et les coordonnées du délégué à la protection des données ou d’un autre point de contact auprès duquel des informations supplémentaires peuvent être obtenues
- décrire les conséquences probables de la violation de données à caractère personnel
- décrire les mesures prises ou que le responsable du traitement propose de prendre pour remédier à la violation de données à caractère personnel
Au-delà de la CNIL, l’ESMS doit parfois aller plus loin et prévenir directement les usagers ou leurs familles. C’est le cas lorsqu’une violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique — un dossier médical piraté et diffusé, par exemple. La CNIL le confirme sans ambiguïté : si l’incident constitue un risque élevé pour la vie privée des personnes concernées, vous devez également notifier l’incident aux personnes concernées.
Trois situations dispensent toutefois l’établissement de cette communication individuelle : lorsqu’il a mis en œuvre les mesures qui rendent les données à caractère personnel incompréhensibles pour toute personne qui n’est pas autorisée à y avoir accès, telles que le chiffrement ; lorsqu’il a pris des mesures ultérieures qui garantissent que le risque élevé pour les droits et libertés des personnes concernées visé au paragraphe 1 n’est plus susceptible de se matérialiser ; ou, à défaut, lorsque prévenir chaque personne exigerait des efforts disproportionnés, une communication publique se substituant alors à l’information individuelle.
DPO, direction, encadrants : qui fait quoi face à l’incident
Le délégué à la protection des données (DPO) est le point de contact désigné par le règlement lui-même : ce sont son nom et ses coordonnées qui doivent figurer dans la notification à la CNIL. Dans la pratique d’un ESMS, c’est souvent lui qui pilote l’ensemble de la procédure, de la qualification initiale de l’incident jusqu’à la rédaction du formulaire de notification.
Le directeur d’établissement, de son côté, porte la responsabilité de la décision de notifier ou non : c’est lui qui engage l’ESMS. Sa première tâche, en lien avec le DPO, consiste à évaluer le risque, pour les personnes, engendré par la violation en tenant compte de la gravité et de la probabilité — une analyse qui conditionne à la fois la notification à la CNIL et l’éventuelle information des usagers. Cette vigilance rejoint les objectifs du programme de cybersécurité destiné aux structures médico-sociales pilotes porté par l’agence du numérique en santé.
Pour l’encadrant de proximité — moniteur d’atelier, chef de service, AES — qui découvre l’incident sur le terrain, le réflexe attendu est simple : signaler immédiatement, sans attendre d’avoir mesuré l’ampleur exacte des dégâts. Trois scénarios concrets illustrent la diversité des situations que la CNIL range parmi les violations de données : perte d’une clef USB non sécurisée contenant une copie de la base clients, transposable à une clé USB regroupant des dossiers d’usagers ; suppression accidentelle de données médicales conservées par un établissement de santé et non sauvegardées ; ou encore introduction malveillante dans une base de données scolaires et modification des résultats, un scénario proche du piratage d’un logiciel de dossier usager informatisé avec altération de son contenu. Un ordinateur portable professionnel volé dans un véhicule, ou un email de santé envoyé au mauvais destinataire, relèvent de la même logique de vigilance immédiate.
Mettre en place un dispositif de gestion des violations
Face à des délais aussi courts, l’improvisation n’est pas une option. La CNIL recommande à tout organisme de tenir un registre interne de toutes les violations de données personnelles, y compris celles qui ne franchissent pas le seuil de notification à la CNIL — ce registre permet de démontrer, en cas de contrôle, la vigilance de l’établissement.
En amont, l’ESMS gagne à établir des procédures détaillant les dispositifs de génération et de remontée des alertes des différentes sources (ex. : automatiques, par les utilisateurs), leur traitement et les actions à mener en cas d’incident avéré.
Cette organisation ne tient que si les équipes de terrain savent reconnaître un incident et à qui le remonter. La formation des professionnels en contact avec le dossier usager informatisé est donc une pièce centrale du dispositif, au même titre que les actions engagées dans le cadre de la transformation numérique des établissements médico-sociaux. Les ESMS qui candidatent au programme national de cybersécurité CaRE ou qui accompagnent le déploiement de la vague 2 du Ségur numérique ont tout intérêt à adosser leur plan de réaction aux violations de données à ces chantiers de sécurisation des systèmes d’information.
Sanctions et enjeux à venir pour les ESMS
Le non-respect de l’obligation de notification expose l’ESMS, en tant que responsable de traitement, aux mêmes plafonds d’amendes administratives que n’importe quel organisme soumis au RGPD.
| Manquement | Plafond de l’amende administrative |
|---|---|
| les obligations incombant au responsable du traitement et au sous-traitant en vertu des articles 8, 11, 25 à 39, 42 et 43 (dont la notification de violation) | amendes administratives pouvant s’élever jusqu’à 10 000 000 EUR ou, dans le cas d’une entreprise, jusqu’à 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent |
| Manquements aux principes fondamentaux du RGPD | amendes administratives pouvant s’élever jusqu’à 20 000 000 EUR ou, dans le cas d’une entreprise, jusqu’à 4 % du chiffre d’affaires annuel mondial total |
Au-delà de la sanction administrative de la CNIL, le défaut de notification d’une violation de données constitue une infraction pénale autonome, punie par le Code pénal d’cinq ans d’emprisonnement et de 300 000 € d’amende. Pour un ESMS, cette double sanction — administrative et pénale — fait de la notification en 72 heures un réflexe non négociable, au même titre que les autres obligations réglementaires qui structurent la vie de l’établissement.
À mesure que les dossiers usagers se numérisent et que les échanges de données de santé se multiplient entre ESMS, MDPH et partenaires sanitaires, la probabilité d’incidents — humains ou techniques — augmente mécaniquement. Les établissements qui auront formalisé leur procédure de notification avant la survenue d’une violation gagneront un temps précieux le jour où le délai de 72 heures commencera à courir.
Mini-FAQ : notification CNIL et violations de données en ESMS
Quel est le délai pour notifier une violation de données à la CNIL ?
Faut-il aussi informer les usagers concernés par la violation ?
Que risque un ESMS qui ne notifie pas une violation de données ?
Sources officielles
- CNIL — RGPD, chapitre IV : notification et communication des violations de données (articles 33-34)
- CNIL — RGPD, chapitre VIII : amendes administratives
- CNIL — Téléservice de notification d’une violation de données personnelles
- CNIL — Violations de données personnelles : les règles à suivre
- CNIL — Les sanctions prononcées par la CNIL
- CNIL — Les sanctions pénales applicables en matière de protection des données
- CNIL Direct — Quand faut-il notifier une violation de données à la CNIL ?
- CNIL — Sécurité : gérer les incidents et les violations
- Légifrance — Sanction pénale du défaut de notification d’une violation de données
