On entend parler du RGPD depuis des années, mais sur le terrain, les hôpitaux et les cliniques réalisent que la donne a changé en 2026. Fini le temps de la simple tolérance ou des avertissements sans frais. La commission nationale de l’informatique et des libertés (CNIL) a clairement durci le ton, particulièrement pour tout ce qui touche aux données de santé. Et pour cause : le dossier patient informatisé (DPI) est devenu une cible de choix pour les cyberattaques, mais aussi une source de négligences internes parfois étonnantes.
Si vous dirigez un établissement de santé ou que vous êtes en charge de la protection des données (DPO), ce qui suit va vous intéresser. On va faire le point sur ce qui est vraiment attendu de vous aujourd’hui et sur les risques réels si vous passez à côté.
Les nouvelles exigences autour du dossier patient informatisé
Le dossier médical n’est plus ce classeur papier qu’on rangeait dans une armoire. C’est aujourd’hui une base de données ultra-sensible. La CNIL a récemment mis à jour ses recommandations sur le DPI, et elle ne laisse plus de place à l’improvisation.
L’une des obligations majeures aujourd’hui, c’est le cloisonnement strict. Qu’est-ce que ça veut dire concrètement ? Les données administratives de vos patients (adresse, numéro de téléphone) ne doivent pas être mélangées avec le cœur du dossier médical. Le personnel de l’accueil n’a aucune raison d’avoir accès aux résultats d’analyses ou aux prescriptions. Cela demande souvent de revoir l’architecture même de vos logiciels pour garantir que chaque agent ne voit que ce dont il a besoin pour travailler.
L’accès au dossier médical : un droit qui ne se négocie pas
C’est l’un des déclencheurs de contrôle les plus fréquents : un patient demande son dossier, le médecin ou l’hôpital tarde à répondre ou refuse. Aujourd’hui, la loi informatique et libertés est intraitable là-dessus. Un patient a le droit d’obtenir une copie complète de ses informations médicales dans les délais légaux.
Ignorer ces demandes est devenu très risqué. Des professionnels de santé libéraux ont pris des amendes de plusieurs milliers d’euros simplement pour avoir ignoré les relances de patients puis de la CNIL (source : RGPDKit – Sanctions 2024-2025). Dans un grand hôpital, où les procédures sont censées être structurées, un défaut d’accès est directement considéré comme une faute de gestion.
Cybersécurité et fuites de données : votre réactivité sous surveillance
On ne va pas se mentir ; les hôpitaux sont des passoires potentielles si on ne verrouille pas les accès. Le partage de mots de passe entre infirmiers ou l’écran laissé déverrouillé dans le couloir, c’est encore trop courant.
En 2026, la sécurité exige un contrôle strict des accès (avec traçabilité des connexions) et le chiffrement des données. Si une faille survient, vous avez exactement 72 heures pour prévenir la CNIL si les droits des patients sont menacés, et alerter les patients eux-mêmes si le risque est élevé. Tenter d’étouffer un piratage ou une perte de données, c’est s’exposer à une sanction maximale.
D’ailleurs, les erreurs internes coûtent aussi cher. Pour l’anecdote, l’homologue italien de la CNIL a récemment collé une amende de 75 000 euros à un réseau d’hôpitaux parce qu’une infirmière avait tranquillement consulté le dossier de son ex-mari sans aucune raison médicale (source : Lexing Avocats). Un système d’alerte pour détecter les accès anormaux est désormais indispensable.
Le vrai risque financier : les sanctions récentes de la cnil
Si vous vous demandez si les sanctions tombent vraiment, la réponse est oui. Les montants donnent le vertige et ciblent directement les acteurs de la santé qui ne jouent pas le jeu de la sécurité et de la transparence.
Le 26 mai 2026, la société IQVIA a été sanctionnée à hauteur de 5 millions d’euros pour ne pas avoir suffisamment limité les risques liés aux traitements des données de santé (source : CNIL – Actualités mai 2026).
En septembre 2024, Cegedim Santé a écopé de 800 000 euros d’amende. Le motif ? Ils traitaient des données de santé sans véritable autorisation, pensant que les données étaient anonymisées alors qu’elles n’étaient que pseudonymisées (source : Lefebvre Dalloz).
Pseudonymiser n’est pas anonymiser. Tant qu’on peut retrouver l’identité d’un patient, le RGPD s’applique de bout en bout. La CNIL vérifie aujourd’hui de très près si les hôpitaux s’assurent que leurs sous-traitants informatiques respectent bien ces règles.
Foire aux questions sur la conformité des hôpitaux
Combien de temps un hôpital doit-il conserver un dossier médical ? En règle générale, c’est 20 ans à compter de la dernière consultation. Il y a des exceptions, par exemple pour les mineurs ou en cas de décès, mais la base reste de 20 ans pour des raisons de suivi et de responsabilité médicale.
Un établissement peut-il utiliser l’identifiant national de santé pour tous ses fichiers ? L’identifiant national de santé (INS) doit être utilisé pour référencer les données de santé afin de sécuriser la prise en charge. Mais attention ; il ne faut pas l’utiliser pour croiser des bases de données purement administratives sans rapport avec les soins.
Que risque concrètement un médecin qui regarde le dossier d’un proche sans raison médicale ? C’est une violation caractérisée de la sécurité et de la confidentialité. L’établissement peut être lourdement sanctionné par la CNIL pour défaut de contrôle d’accès, et le professionnel s’expose à des sanctions disciplinaires et pénales.
