Dans quel délai signaler une fuite de données de patients ?

Une violation présentant un risque pour les personnes se notifie à la CNIL dans les meilleurs délais, et au plus tard 72 heures après en avoir pris connaissance. Toute violation, même sans risque, s'inscrit dans le registre interne.

La secrétaire peut-elle utiliser la carte CPS du médecin ?

Non. Le référentiel de la CNIL demande de garder la CPS strictement personnelle, sans communiquer son code au personnel du cabinet ; d'autres moyens d'authentification forte existent pour le personnel.

Cybersécurité du cabinet médical à l'heure de l'IA

Un cabinet médical détient, sur quelques postes, des données parmi les plus sensibles qui soient. La sécurité n'y demande pas un service informatique, mais une dizaine de mesures tenues dans la durée : un compte par personne, la carte de professionnel de santé (CPS) jamais prêtée, des sauvegardes testées, des échanges chiffrés, des mises à jour faites. L'arrivée des outils d'intelligence artificielle (IA) ajoute une règle : savoir quels outils sont utilisés, par qui, avec quelles données.

Les mesures du référentiel de la CNIL

Le référentiel de la Commission nationale de l'informatique et des libertés (CNIL) pour les cabinets médicaux et paramédicaux liste les mesures attendues. Les principales, regroupées :

Domaine	Mesures
Équipe	Informer et sensibiliser le personnel ; dans un cabinet qui mutualise l'informatique, une charte informatique
Comptes	Un identifiant par personne ; authentification forte par CPS ou autre moyen à deux facteurs pour accéder aux données de santé ; CPS strictement personnelle, code jamais communiqué au personnel
Droits	Un profil par personne, distinguant données administratives et données médicales ; suppression des accès obsolètes
Postes	Verrouillage automatique de session ; antivirus à jour ; écrans protégés des regards ; supports amovibles limités et chiffrés ; pas de prêt de téléphone ou de tablette professionnels
Réseau	Limiter la connexion d'appareils non professionnels
Sauvegardes	Sauvegardes régulières, supports stockés en lieu sûr
Prestataires	Clauses spécifiques dans les contrats ; interventions de maintenance tracées et encadrées ; données effacées avant mise au rebut
Échanges	Messagerie sécurisée de santé entre professionnels ; chiffrement avant envoi par messagerie ordinaire, avec le secret transmis par un autre canal
Locaux	Portes verrouillées, alarme, dossiers papier sous clé, broyeur pour les documents à détruire

La CNIL rappelle par ailleurs que la messagerie électronique et le fax ne constituent pas a priori un moyen sûr pour transmettre des données médicales nominatives.

Les dix réflexes de base

Le site public cybermalveillance.gouv.fr résume dix mesures essentielles (page mise à jour le 27/10/2026). Celles qui comptent le plus au cabinet :

des mots de passe solides et différents, avec la double authentification quand elle existe ;
des sauvegardes régulières sur un support externe, déconnecté une fois la sauvegarde faite ;
les mises à jour de sécurité appliquées dès qu'elles sont proposées ;
la méfiance envers les messages inattendus ou alarmistes, à vérifier auprès de l'expéditeur par un autre moyen ;
la séparation des usages personnels et professionnels : appareils, messageries, stockage ;
l'évitement des réseaux Wi-Fi publics ou inconnus.

Ce que l'IA change

De nouveaux outils, souvent installés sans bruit. Une extension de navigateur, une application de transcription, un compte gratuit d'assistant d'IA ouvert par un membre de l'équipe : chacun est une porte de sortie pour les données. La CNIL conseille d'éviter les comptes créés avec des adresses personnelles et d'écrire les usages autorisés.
Un inventaire à tenir. Listez chaque outil d'IA utilisé, ce qu'il reçoit, où il stocke. C'est aussi le point de départ du registre des traitements.
Des prestataires de plus. Chaque fournisseur qui traite des données de patients est un sous-traitant, avec contrat et, s'il conserve des données de santé, hébergement certifié. Voir outil d'IA et hébergeur de données de santé.

Si l'incident arrive

Isoler le poste touché du réseau et prévenir votre prestataire informatique.
Documenter : quoi, quand, quelles données. La CNIL demande d'inscrire toute violation dans un registre interne, même sans risque pour les personnes.
Notifier la CNIL si la violation présente un risque pour les personnes : dans les meilleurs délais, et au plus tard 72 heures après en avoir pris connaissance ; informer les patients si le risque est élevé.
Signaler aux autorités de santé si votre structure y est tenue : l'article L.1111-8-2 du code de la santé publique impose aux établissements de santé et aux organismes et services de prévention, de diagnostic ou de soins de signaler sans délai les incidents significatifs ou graves de sécurité des systèmes d'information. Vérifiez auprès de l'Agence du numérique en santé si votre cabinet entre dans ce champ.

Par où commencer cette semaine

Vérifier que chaque personne a son propre compte, et que personne ne connaît le code d'une CPS qui n'est pas la sienne.
Restaurer une sauvegarde pour de vrai, sur un poste de test.
Faire la liste des outils d'IA déjà utilisés au cabinet, y compris sur les téléphones.

La règle d'usage de l'IA à écrire pour l'équipe est détaillée sur secret médical et IA générative.