Le 26 mai 2026, la CNIL a infligé une amende de 5 millions d’euros à une société exploitant des entrepôts de données de santé, en raison de plusieurs manquements aux règles de protection des données. Il s’agit d’une décision structurante, qui marque la première sanction prononcée par l’autorité à l’encontre d’un acteur exploitant des entrepôts de données de santé.

Ces données sont considérées comme particulièrement sensibles et bénéficient d’une protection renforcée par la loi. Outre le respect du secret professionnel, les établissements doivent veiller à limiter strictement les accès, garantir la confidentialité des échanges et se prémunir contre les risques de violation ou de fuite d’informations.

Le RGPD en donne une définition large : il s’agit de toute donnée relative à la santé physique ou mentale, passée, présente ou future d’une personne (y compris les prestations de soins) qui révèle une information sur son état de santé.

Certaines données ne sont pas, en elles‑mêmes, des données de santé lorsqu’elles sont collectées en dehors d’un contexte médical, par exemple le nombre de pas, le poids ou le niveau d’activité quotidienne mesurés par une montre ou une balance connectée. En revanche, ces mêmes données peuvent devenir des données de santé lorsqu’elles sont croisées avec d’autres informations permettant d’en déduire l’état de santé de la personne.

 

Rappel des faits

La CNIL avait autorisé la mise en place de deux entrepôts de données de santé : l’un alimenté par les données d’environ 14 000 pharmacies, pour réaliser des études sur l’usage réel des médicaments (respect des prescriptions, contre‑indications, durée des traitements, etc.), et l’autre alimenté par les données de médecins, pour analyser les pratiques de soins en médecine générale.

Ces entrepôts regroupaient de nombreuses informations sur les patients (âge, sexe, médecins consultés, traitements, symptômes, diagnostics, arrêts de travail, situation familiale, catégorie socio‑professionnelle, allergies, vaccins, examens, etc.).

L’exploitant considérait que ces données étaient anonymes. La CNIL a au contraire rappelé qu’il s’agissait toujours de données personnelles, rattachées à un identifiant unique par patient et donc potentiellement ré‑identifiables, notamment par croisement avec d’autres informations accessibles.

En conséquence, dès lors que les données sont seulement pseudonymisées et non véritablement anonymisées, elles restent des données à caractère personnel et demeurent pleinement soumises au respect des règles du RGPD.

 

Les principaux manquements relevés par la CNIL

1. Défaut d’information des personnes concernées  

Les données de santé des patients étaient traitées à leur insu, les empêchant d’exercer leurs droits, en particulier leur droit d’opposition.

  • les patients ne recevaient pas l’information prévue (notices non remises, affichage absent ou insuffisant)
  • les documents disponibles comportaient en outre des informations inexactes sur leurs droits.
  • les pharmacies partenaires n’informaient pas effectivement leurs clients.

 Des failles de sécurité sur des données personnelles sensibles

La CNIL a constaté plusieurs insuffisances de sécurité, par exemple :

  • absence d’analyse régulière des journaux de connexion ;
  • mesures techniques de protection insuffisantes pour l’accès aux données.

Ces failles sont jugées particulièrement graves comptes tenus de la nature sensible des données de santé et du nombre important de personnes concernées.

 

2. Une responsabilité qui ne peut pas être déléguée

La décision rappelle un point clé : le responsable de traitement reste pleinement responsable, même lorsqu’il s’appuie sur un réseau de pharmacies, de médecins ou sur des éditeurs de logiciels.

Dans le cas d’espèce, l’exploitant avait confié aux partenaires le soin d’informer les patients, sans s’assurer concrètement que cette information était bien délivrée. Il avait également défini les flux de données dans les modules d’extraction, sans mettre en place de mécanisme efficace pour bloquer la transmission en cas d’opposition. Ainsi des données de patients continuaient à être transmises alors même que certaines pharmacies avaient exprimé leur refus.

Or, au regard du principe de privacy by design, les outils et les flux auraient dû être conçus dès l’origine de manière à empêcher toute transmission de données lorsque le patient ou le professionnel de santé s’y oppose.

 

Une sanction lourde et publique

La CNIL a prononcé une amende de 5 millions d’euros, en tenant compte :

  • de la gravité des manquements (information, base légale, sécurité) ;
  • du caractère sensible des données de santé ;
  • du nombre élevé de personnes concernées ;

La décision est assortie d’une injonction de mettre fin aux manquements dans un délai déterminé, sous peine d’astreinte et d’une publicité de la sanction, afin d’envoyer un signal fort à l’ensemble de l’écosystème des données de santé.

 

Enseignements pratiques pour les acteurs manipulant des données de santé

Que doivent faire concrètement les acteurs qui exploitent des données de santé ?

  • Rédiger une information claire, loyale, accessible, conforme aux articles 12 à 14 du RGPD ;
  • Organiser la chaîne d’information avec les partenaires ;
  • Formaliser contractuellement les obligations d’information des partenaires. ;
  • Contrôler et auditer régulièrement l’effectivité de l’information ;
  • Mettre en place des canaux simples pour exercer les droits et tracer leur traitement ;
  • Mesurer le risque de ré‑identification des données ;
  • Cartographier les traitements de données ;
  • Documenter une analyse d’impact à la protection des données lorsque le traitement présente des risques élevés ( traitement de données sensibles / hautement personnelles, collecte à large échelle, croisement de données, personnes vulnérables) ;
  • Mettre en œuvre ou renforcer les mesures organisationnelles et techniques :
    • Recourir à un prestataire certifié HDS ;
    • Déployer une authentification forte / multifacteur pour l’accès aux entrepôts et outil ;
    • Journaliser les accès et analyser régulièrement les logs ;
    • Segmenter les droits et appliquer le principe du moindre privilège ;
    • Tester régulièrement la sécurité (tests d’intrusion, revues techniques) et prévoir un plan de réponse aux incidents ;
    • Sensibiliser et former les équipes aux risques liés aux données de santé ;
  • Intégrer la protection des données dès la conception (privacy by design) ;
  • Gérer les durées de conservation et les règles de purge.

La décision de la CNIL s’inscrit dans un contexte où les données de santé sont très convoitées par les grands acteurs du numérique et les fournisseurs d’IA (Google, Microsoft, Anthropic, etc.), et où la souveraineté numérique se trouve confrontée aux lois extraterritoriales (Cloud Act, FISA, etc.) qui peuvent permettre à des autorités non européennes d’accéder à certaines données, y compris lorsqu’elles sont stockées sur des serveurs situés dans l’UE.

Il revient ainsi aux acteurs d’être particulièrement vigilants dans le choix de leurs prestataires et dans les garanties techniques et juridiques mises en place.

 

Votre avocat accompagne les professionnels de santé pour sécuriser leurs traitements de données personnelles, en analysant les pratiques et les flux de données, en cartographiant les traitements, en rédigeant ou en mettant à jour les politiques et documents d’information, ainsi qu’en sécurisant les relations contractuelles avec les outils et prestataires.

                                                                                 * * * 

Public concerné par cet article : Dirigeants/DRH/DSI/DPO

contact : aoffroy@avocats.deloitte.fr