Qui peut consulter les données d’un patient dans un logiciel métier ? Une décision récente de la CNIL rappelle que les droits d’accès doivent correspondre aux missions des professionnels et à leur implication effective dans la prise en charge.
Par sa délibération SAN-2026-009 du 21 juillet 2026, publiée le 3 septembre, la CNIL a prononcé une amende de 500 000 euros à l’encontre d’un établissement de santé pour plusieurs manquements au RGPD. Parmi les insuffisances relevées : l’absence de cloisonnement des dossiers, qui permettait à des praticiens de consulter les informations de patients dont ils n’assuraient pas la prise en charge. Lire la présentation de la sanction par la CNIL.
Le point à retenir
Travailler dans le même établissement ne justifie pas un accès à tous les dossiers patients. Les habilitations doivent tenir compte du métier et de l’équipe de soins.
Un accès lié aux missions et à la prise en charge
La politique d’habilitations doit combiner le métier exercé et l’appartenance à l’équipe de soins prenant en charge le patient. Un agent d’accueil doit ainsi disposer des informations administratives nécessaires à sa mission. L’accès aux informations médicales doit, quant à lui, tenir compte de la participation effective aux soins.
Les situations d’urgence peuvent être couvertes par un accès exceptionnel, dit « bris de glace ». Son utilisation doit être encadrée, tracée et surveillée, afin de pouvoir identifier son auteur et justifier les circonstances de son recours. Consulter les précisions de la CNIL sur les accès au dossier patient informatisé.
Les limites du logiciel n’exonèrent pas l’établissement
La CNIL précise que l’incapacité du logiciel à cloisonner les dossiers ne dégage pas le responsable de traitement de ses obligations. Celui-ci doit choisir un outil offrant des garanties de sécurité suffisantes et conforme à l’état de l’art. Voir le paragraphe 86 de la décision.
Cette décision invite donc les établissements à évaluer les possibilités réelles de leurs outils et à examiner avec leur éditeur les évolutions nécessaires, voire les alternatives disponibles si les adaptations sont insuffisantes.
Quatre points à vérifier dans vos outils
- Les profils : chaque professionnel accède-t-il uniquement aux informations nécessaires à ses missions ?
- Le cloisonnement : les dossiers accessibles tiennent-ils compte de l’équipe qui prend en charge le patient ?
- La traçabilité : les consultations sont-elles enregistrées et contrôlées pour détecter les accès anormaux ?
- Les urgences : les droits exceptionnels sont-ils temporaires, justifiés et surveillés ?
Faire le point avec PROGEDYS
Vous souhaitez examiner la gestion des habilitations de votre structure ? Ce travail associe les équipes métiers, le responsable informatique, le délégué à la protection des données et l’éditeur du logiciel. Découvrez notre accompagnement RGPD et DPO externe ou échangez avec notre équipe pour préciser vos besoins.