RGPD hôpital : obligations et conformité en 2026

Entre 2020 et 2024, la CNIL a mené 13 contrôles auprès d’établissements de santé sur le seul dossier patient informatisé. Résultat : plusieurs mises en demeure de la présidente, motivées par des politiques d’habilitation qui laissaient des professionnels accéder à des dossiers de patients qu’ils ne prenaient pas en charge. Ce n’est pas un problème de texte — le RGPD est parfaitement clair — c’est un problème de paramétrage.

Pourquoi l’hôpital est un cas à part

Un établissement de santé cumule trois caractéristiques qui, prises ensemble, n’existent nulle part ailleurs.

D’abord, il traite des données sensibles à très grande échelle. Les données de santé relèvent de l’article 9 du RGPD, dont le paragraphe 1 pose une interdiction de principe. Un CHU de taille moyenne traite les données de plusieurs centaines de milliers de patients, avec un historique de vingt ans.

Ensuite, il superpose deux corps de règles. Le RGPD et la loi Informatique et Libertés s’appliquent, mais le code de la santé publique aussi : secret professionnel (art. L. 1110-4 CSP), notion d’équipe de soins (art. L. 1110-12 CSP), droit d’accès au dossier médical (art. L. 1111-7 CSP), hébergement certifié (art. L. 1111-8 CSP), signalement des incidents (art. L. 1111-8-2 CSP). Quand les deux régimes divergent — et ils divergent, notamment sur les délais de réponse —, il faut savoir lequel appliquer.

Enfin, il fonctionne en urgence permanente. Toute mesure de sécurité qui ralentit l’accès aux données d’un patient en réanimation sera contournée. C’est la raison pour laquelle la conformité hospitalière ne se joue pas sur les principes, mais sur des arbitrages fins : mode « bris de glace », profils d’habilitation, journalisation a posteriori.

Les problématiques diffèrent sensiblement de celles d’un cabinet médical, d’un EHPAD ou d’un laboratoire de biologie médicale, même si le socle juridique est commun.

Les bases légales : l’article 9(2)(h) est votre texte central

C’est le point sur lequel je vois le plus d’erreurs de qualification en audit. Un établissement de santé ne fonde pas ses soins sur le consentement, contrairement à une intuition répandue.

Traitement	Base légale (art. 6)	Levée de l’interdiction (art. 9(2))
Prise en charge du patient, DPI	Mission d’intérêt public — 6(1)(e) pour un établissement public ; obligation légale ou contrat — 6(1)© ou (b) pour un établissement privé	9(2)(h) : médecine préventive, diagnostic, soins
Facturation, T2A, PMSI	Obligation légale — 6(1)©	9(2)(h) puis, pour le PMSI, cadre légal spécifique
Gestion des RH	Contrat / obligation légale — 6(1)(b) et ©	9(2)(b) pour les données de santé des agents
Recherche sur données	Mission d’intérêt public — 6(1)(e)	9(2)(j) + formalités de l’article 66 de la loi Informatique et Libertés
Vidéoprotection des accès	Intérêt légitime ou mission d’intérêt public	Sans objet (hors données sensibles)
Enquêtes de satisfaction, communication institutionnelle	Intérêt légitime — 6(1)(f), voire consentement	Consentement 9(2)(a) si données de santé

Deux précisions que la pratique néglige.

L’article 9(2)(h) ne se suffit pas à lui-même. L’article 9(3) subordonne son application à une condition : les données doivent être traitées par un professionnel soumis à une obligation de secret professionnel, ou sous sa responsabilité. Concrètement, cela signifie que l’agent administratif du bureau des entrées, le technicien du prestataire du DPI et le stagiaire en gestion doivent être formellement engagés au secret et tracés comme tels.

Le consentement reste nécessaire pour certains traitements périphériques. Photographies à visée pédagogique, participation à un protocole de recherche interventionnelle, communication de données à un tiers hors équipe de soins, envoi de la newsletter de la fondation hospitalière : ces traitements ne relèvent pas du soin et exigent un fondement propre.

Le dossier patient informatisé : le point de contrôle n° 1 de la CNIL

Si vous ne deviez traiter qu’un sujet cette année, c’est celui-là. La CNIL a soumis en mars 2025 un projet de recommandation sur le DPI à consultation publique, et son programme de travail 2026 annonce la publication d’un document consolidant les règles applicables ainsi que ses recommandations juridiques et techniques — destiné explicitement aux DPO, aux DSI, aux RSSI et aux directions générales des établissements publics et privés.

Autrement dit : la doctrine se durcit et se formalise. Les établissements qui attendent la publication pour agir auront un an de retard.

La règle des deux critères d’habilitation

La CNIL exige que la politique d’habilitation combine deux critères cumulatifs, et c’est précisément l’articulation des deux qui manque dans la plupart des paramétrages que j’audite.

1. Le métier exercé. Un agent d’accueil accède au dossier administratif du patient, pas aux données médicales. Un médecin accède aux deux. Un secrétariat médical accède aux comptes rendus mais pas nécessairement aux résultats biologiques bruts.
2. L’appartenance à l’équipe de soins, au sens de l’article L. 1110-12 CSP. Seuls les professionnels effectivement impliqués dans la prise en charge du patient peuvent accéder aux informations couvertes par le secret médical.

Le premier critère est presque toujours implémenté. Le second, presque jamais — parce qu’il suppose un lien dynamique entre le dossier patient et l’unité fonctionnelle qui le prend en charge à l’instant T. C’est ce lien qui fait défaut lorsqu’un praticien du service de cardiologie peut ouvrir le dossier d’un patient hospitalisé en psychiatrie.

La CNIL recommande par ailleurs des mesures de confidentialité renforcées pour certains dossiers particuliers — elle cite les patients provenant d’un établissement pénitentiaire. La même logique s’applique aux personnels de l’établissement soignés dans leur propre structure, aux personnalités publiques et aux dossiers faisant l’objet d’une procédure judiciaire.

La méthode générale de construction d’une matrice de droits est détaillée dans notre guide sur la gestion des habilitations RGPD.

Le mode « bris de glace » : autorisé, mais sous conditions

L’urgence est une réalité clinique. La CNIL admet expressément un mode dégradé permettant d’accéder à tout dossier en cas de nécessité. Elle pose en contrepartie trois exigences :

• l’accès en bris de glace doit être tracé de manière distincte des accès ordinaires ;
• l’utilisateur doit pouvoir être identifié individuellement et justifier des conditions de son recours ;
• l’usage doit être surveillé — un usage fréquent est en soi un signal d’alerte.

En audit, un ratio de bris de glace supérieur à 2 à 3 % des accès révèle presque toujours une matrice d’habilitation trop restrictive que les équipes contournent, plutôt qu’un vrai volume d’urgences.

Journalisation et revue des accès

La traçabilité exigée n’est pas une simple table de connexions. La CNIL demande de savoir qui a accédé à quoi, pas seulement qui s’est connecté quand. Elle recommande vivement un système d’analyse automatique des journaux capable de détecter les accès anormaux : nombre de dossiers consultés hors norme, consultations en dehors des plages de service, recours répété au bris de glace, accès à un patient homonyme du soignant.

C’est ce défaut qui a coûté cher à IQVIA en mai 2026 : la formation restreinte a relevé qu’aucune mesure ne permettait d’analyser régulièrement les journaux de connexion, et donc de détecter efficacement les activités anormales. L’obligation ne s’arrête pas à la production de logs — elle porte sur leur exploitation.

Une durée de conservation des journaux de six mois à un an constitue le standard de place, à documenter dans votre politique de journalisation et à articuler avec vos durées de conservation générales.

Authentification : le calendrier PGSSI-S s’est refermé

La politique générale de sécurité des systèmes d’information de santé (PGSSI-S) impose l’authentification multifacteur pour tout accès externe au système depuis 2022, et pour tout accès interne à l’établissement depuis 2026. Ce n’est plus une recommandation de bonne pratique : c’est un référentiel opposable dans le secteur, dont le non-respect caractérisera un manquement à l’article 32 du RGPD en cas de contrôle.

Les schémas d’authentification par carte CPS avec code porteur, ou par badge sans contact couplé à un facteur de connaissance, répondent à l’exigence tout en restant compatibles avec la mobilité au lit du patient. Les modalités techniques sont détaillées dans notre guide sur l’authentification forte.

Cartographier : le registre d’un établissement de santé

Un hôpital ne tient pas un registre de trente lignes. Une structure de 500 lits arrive typiquement entre 80 et 150 traitements. Les familles à ne pas oublier, parce qu’elles échappent souvent au recensement initial :

• Soin : DPI, dossier de soins infirmiers, prescription connectée, imagerie (PACS), laboratoire (SIL), pharmacie, bloc opératoire, dossier anesthésie, télémédecine.
• Administratif : identité patient (IEP/INS), admissions, facturation, T2A, recouvrement, régie.
• Médico-économique : PMSI, comptabilité analytique, indicateurs qualité, certification HAS.
• Recherche : essais cliniques, entrepôt de données de santé, registres de spécialité, biobanque.
• RH : paie, médecine du travail, accidents du travail, gestion des temps, dossiers disciplinaires, plateforme de recrutement.
• Technique et sécurité : annuaire, messagerie, vidéoprotection, contrôle d’accès, journalisation, sauvegardes, outils de supervision.
• Périphérique : espace patient, prise de rendez-vous en ligne, enquêtes de satisfaction, dons et mécénat, associations d’usagers, aumônerie.

L’article 30 du RGPD impose de distinguer, pour chacun, finalité, base légale, catégories de données, destinataires, durée et mesures de sécurité. Notre guide du registre détaille la méthode.

Les AIPD à réaliser en priorité

L’article 35 du RGPD impose une analyse d’impact dès lors qu’un traitement est susceptible d’engendrer un risque élevé. La liste de traitements de la CNIL soumis à AIPD vise expressément plusieurs traitements hospitaliers. En pratique, votre plan pluriannuel doit couvrir au minimum :

Traitement	Motif de risque élevé
Dossier patient informatisé	Données sensibles, échelle, personnes vulnérables
Entrepôt de données de santé	Croisement, échelle, finalités secondaires
Télésurveillance et objets connectés	Collecte continue, données de santé, domicile
Systèmes d’IA d’aide au diagnostic	Décision impactante, données sensibles
Biométrie d’accès aux zones sensibles	Donnée biométrique, art. 9(1)
Vidéoprotection couplée à de l’analyse d’image	Surveillance systématique de lieux publics
Dispositifs de géolocalisation des équipes	Surveillance des salariés

L’AIPD n’est pas un document à produire une fois. Elle doit être révisée à chaque évolution structurante du traitement — changement d’éditeur du DPI, ouverture d’un accès partenaire, ajout d’un module d’IA. Notre méthode détaillée figure dans le guide quand faut-il faire une AIPD.

Sous-traitance et hébergement : deux régimes à ne pas confondre

Un établissement de santé travaille avec des dizaines de sous-traitants : éditeur du DPI, hébergeur, tierce maintenance applicative, prestataire d’archivage, société de transcription, télésecrétariat, éditeurs de solutions de télémédecine.

Le socle RGPD est celui de l’article 28 : contrat écrit, instructions documentées, garanties suffisantes, engagement de confidentialité, sous-traitance ultérieure encadrée, assistance à la sécurité et aux droits, sort des données en fin de contrat.

Le socle sectoriel s’y ajoute : toute personne hébergeant des données de santé à caractère personnel pour le compte d’un tiers doit être certifiée HDS (art. L. 1111-8 CSP). Cette obligation vise l’hébergeur, pas l’éditeur — mais si votre éditeur héberge lui-même sa solution SaaS, il doit l’être. Vérifiez le périmètre exact du certificat : les activités couvertes (de la mise à disposition d’infrastructure à l’infogérance) varient d’un prestataire à l’autre et un certificat « infrastructure » ne couvre pas l’exploitation applicative. Notre guide HDS détaille les six activités du référentiel.

Point de vigilance sur les transferts : de nombreuses solutions médicales reposent sur des briques américaines (support niveau 3, télémétrie, IA embarquée). L’existence d’une certification HDS ne dit rien du lieu de traitement ni des accès depuis un pays tiers — ce sont deux analyses distinctes, la seconde relevant du chapitre V du RGPD et des mécanismes de transfert hors UE.

Durées de conservation : le code de la santé publique prime

C’est un domaine où le RGPD renvoie au droit national, et où le droit national est précis.

Document	Durée	Fondement
Dossier médical d’établissement	20 ans à compter du dernier séjour ou de la dernière consultation externe	Art. R. 1112-7 CSP
Dossier d’un mineur	Jusqu’au 28e anniversaire si le terme des 20 ans intervient avant	Art. R. 1112-7 CSP
Dossier d’un patient décédé moins de 10 ans après son dernier passage	10 ans à compter du décès	Art. R. 1112-7 CSP
Journaux d’accès au DPI	6 mois à 1 an (standard de place)	Art. 32 RGPD, doctrine CNIL
Données de facturation	10 ans	Art. L. 123-22 code de commerce
Dossier de médecine du travail avec exposition	Jusqu’à 50 ans selon l’agent	Code du travail

Attention : le délai de vingt ans est un plancher de conservation, pas une autorisation d’usage illimité. Passé la période de prise en charge active, le dossier bascule en archivage intermédiaire à accès restreint. Il ne reste pas indéfiniment consultable par l’ensemble des soignants. Et si le décès survient, l’articulation avec le régime des données des personnes décédées et les droits des ayants droit prend le relais.

À l’issue de la durée, l’élimination doit être documentée et techniquement irréversible, y compris sur les sauvegardes et les environnements de test — un point que les procédures d’archivage hospitalier oublient presque systématiquement.

Droits des patients : deux régimes, deux délais

C’est la question la plus fréquente des DPO hospitaliers, et la réponse n’est pas intuitive.

	Art. L. 1111-7 CSP	Art. 15 RGPD
Objet	Informations formalisées de santé	Toutes données personnelles
Délai	8 jours, après un délai de réflexion de 48 heures	1 mois, prorogeable de 2 mois
Délai si informations de plus de 5 ans	2 mois	Sans changement
Frais	Coût de reproduction et d’envoi à la charge du demandeur	Première copie gratuite
Modalités	Consultation sur place ou copie ; accompagnement médical recommandé	Copie

Le patient choisit son fondement, et vous devez appliquer le plus favorable sur chaque paramètre. En pratique : le délai court de l’article L. 1111-7 CSP, la gratuité de la première copie de l’article 12(5) du RGPD. Une réponse facturée systématiquement au motif du code de la santé publique est une source de plainte évitable. Notre modèle de réponse à une demande de droit d’accès peut être adapté à ce double régime.

Deux limites propres au secteur : les informations recueillies auprès de tiers n’intervenant pas dans la prise en charge, et celles concernant des tiers, ne sont pas communicables. En psychiatrie, la présence d’un médecin peut être imposée en cas d’hospitalisation sous contrainte, sur décision du médecin et après saisine de la commission départementale des soins psychiatriques en cas de refus du patient.

Violation de données : deux notifications, deux horloges

Un établissement de santé victime d’un rançongiciel déclenche deux obligations distinctes, qui ne visent pas la même autorité et ne courent pas selon le même déclencheur.

1. Notification à la CNIL au titre de l’article 33 du RGPD : 72 heures à compter de la prise de connaissance, sauf risque nul pour les droits et libertés — condition qui ne sera jamais remplie s’agissant de données de santé. Communication aux patients concernés au titre de l’article 34 en cas de risque élevé, ce qui est la règle pour une exfiltration de dossiers médicaux.
2. Signalement des incidents graves de sécurité des systèmes d’information au titre de l’article L. 1111-8-2 CSP, via le portail dédié, avec relais du CERT Santé et de l’ARS. Ce signalement est indépendant du RGPD et vise la continuité des soins.

À cela s’ajouteront, une fois la transposition française de NIS 2 pleinement applicable, les obligations de notification propres aux entités essentielles — catégorie dans laquelle les établissements de santé figurent au premier rang. Le sujet est traité dans notre article sur NIS 2 et les hôpitaux et l’articulation générale dans le guide sur les violations de données.

Préparez la procédure à froid. Un établissement sous rançongiciel n’a ni le temps ni les moyens techniques de rédiger une notification : le modèle de notification 72 heures doit être imprimé et présent dans le classeur de crise, aux côtés du plan de continuité d’activité. Les mesures de prévention spécifiques sont détaillées dans notre guide rançongiciel.

Recherche et entrepôts : la leçon IQVIA

Le 26 mai 2026, la CNIL a prononcé une amende de 5 millions d’euros contre IQVIA Operations France (délibération SAN-2026-008), assortie d’injonctions sous astreinte de 10 000 euros par jour de retard, pour la gestion de deux entrepôts de données de santé. Trois enseignements valent directement pour les établissements.

Une autorisation obtenue n’est pas une conformité acquise. La société était bien autorisée à constituer ses entrepôts. Les contrôles ont établi que les traitements ne respectaient pas les conditions posées par les autorisations — sécurité, information, droits. Si votre établissement exploite un entrepôt de données de santé sur le fondement d’une autorisation ou d’un référentiel de l’article 66 de la loi Informatique et Libertés, la question à se poser est celle de l’écart entre le dossier déposé et la réalité opérationnelle.

Pseudonyme ne veut pas dire anonyme. IQVIA a soutenu, en s’appuyant sur l’arrêt SRB de la CJUE du 4 septembre 2025, que ses données étaient anonymes. La formation restreinte a écarté l’argument : identifiant unique par patient, profondeur des données collectées, possibilité de recoupement avec des données publiquement accessibles. Le raisonnement est transposable à la quasi-totalité des bases hospitalières « anonymisées » — voir notre analyse pseudonymisation vs anonymisation.

L’information des personnes ne se délègue pas. IQVIA avait confié aux pharmaciens le soin d’informer les patients ; aucune des quatre pharmacies contrôlées ne le faisait. La CNIL a rappelé qu’il appartient au responsable de traitement de s’assurer du respect de l’obligation. Un établissement qui délègue l’information à ses services cliniques doit en contrôler l’exécution — affichage, notice remise à l’admission, mention dans le livret d’accueil.

IA en santé : le sujet 2026

La CNIL et la HAS ont soumis à consultation publique, jusqu’au 16 avril 2026, un projet de guide sur le recours à l’IA dans un contexte de soins, et la CNIL annonce la finalisation de ses travaux sectoriels sur l’IA en santé. En parallèle, les systèmes d’IA à finalité médicale relèvent le plus souvent de la catégorie « haut risque » du règlement européen sur l’IA.

Trois réflexes avant tout déploiement d’un outil d’aide au diagnostic, de triage aux urgences ou de transcription automatique de consultations :

• qualifier votre rôle (déployeur, le plus souvent) et celui du fournisseur ;
• vérifier la base légale du traitement d’entraînement si vos données alimentent le modèle — c’est une finalité distincte du soin, qui ne relève pas de l’article 9(2)(h) ;
• réaliser une AIPD couvrant les biais et les erreurs de sortie, articulée avec les exigences du règlement IA.

Le détail sectoriel figure dans notre article AI Act et santé.

Plan d’action 90 jours

Pour une direction qui part d’une base incomplète, l’ordre de priorité qui produit le plus d’effet en cas de contrôle :

Jours 1-30 — Diagnostiquer le DPI. Extraire la matrice des habilitations réelles (pas celle du document de référence). Compter le nombre de comptes ayant accès à l’ensemble des dossiers. Mesurer le taux de bris de glace. Vérifier que la journalisation enregistre bien l’objet consulté et pas seulement la connexion. Vérifier l’état du déploiement MFA sur les accès internes.

Jours 31-60 — Corriger et documenter. Restreindre les profils « super-utilisateur ». Implémenter ou simuler le critère « équipe de soins ». Mettre en place une revue trimestrielle des accès avec compte rendu écrit. Écrire la procédure de traitement des alertes de journalisation. Actualiser le registre sur les traitements du périmètre soin.

Jours 61-90 — Sécuriser la chaîne. Auditer les contrats des sous-traitants critiques (DPI, hébergeur, TMA) sur les clauses de l’article 28 et le périmètre exact du certificat HDS. Réaliser un exercice de notification de violation en temps réel. Programmer les AIPD manquantes. Faire valider par la direction générale une feuille de route annuelle chiffrée.

Ce travail de cartographie, de tenue du registre et de suivi des sous-traitants est celui que Legiscope automatise pour les établissements qui ne disposent pas d’une équipe conformité dédiée.

Ce qu’il faut retenir

• Le consentement n’est pas la base légale du soin. L’article 9(2)(h) du RGPD lève l’interdiction, combiné à l’article 6(1)(e) pour le secteur public. L’article 9(3) impose que les données soient traitées par ou sous la responsabilité de professionnels soumis au secret — étendez formellement l’engagement aux personnels administratifs et techniques.
• La politique d’habilitation est le premier point de contrôle CNIL. Elle doit croiser deux critères : le métier exercé et l’appartenance effective à l’équipe de soins au sens de l’article L. 1110-12 CSP. Le second est presque toujours absent des paramétrages.
• Le bris de glace est admis, sa surveillance est obligatoire. Traçage distinct, identification individuelle, justification, revue régulière. Un taux élevé signale une matrice trop restrictive, pas une conformité.
• Journaliser ne suffit pas : il faut exploiter les journaux. L’absence d’analyse régulière des connexions a été retenue comme manquement dans la sanction IQVIA du 26 mai 2026 (5 M€).
• L’authentification multifacteur est exigée sur les accès internes depuis 2026 au titre de la PGSSI-S. Son absence caractérisera un manquement à l’article 32 du RGPD.
• Deux régimes d’accès au dossier coexistent : 8 jours au titre de l’article L. 1111-7 CSP, un mois au titre de l’article 15 du RGPD. Appliquez le paramètre le plus favorable au patient sur chaque point, notamment la gratuité de la première copie.
• Une violation déclenche deux notifications : CNIL sous 72 heures (article 33 du RGPD) et signalement des incidents graves au titre de l’article L. 1111-8-2 CSP. Préparez les deux procédures à froid.
• La CNIL publiera en 2026 sa recommandation consolidée sur le DPI. Les établissements qui alignent leur politique d’habilitation dès maintenant convertiront un chantier réglementaire en simple mise à jour documentaire.

FAQ

Un hôpital doit-il obligatoirement désigner un DPO ?

Oui, dans tous les cas de figure. Un établissement public relève de l’article 37(1)(a) du RGPD en tant qu’autorité ou organisme public. Un établissement privé relève de l’article 37(1)©, qui vise le traitement à grande échelle de catégories particulières de données — ce qu’est par définition l’activité de soins. Les critères généraux sont détaillés dans notre guide sur le DPO obligatoire.

Un médecin peut-il consulter le dossier de n’importe quel patient de l’établissement ?

Non. L’accès est réservé aux professionnels participant effectivement à la prise en charge du patient, au sens de l’article L. 1110-12 du code de la santé publique. C’est précisément ce point qui a motivé les mises en demeure prononcées par la présidente de la CNIL à l’issue de ses contrôles sur le dossier patient informatisé. Un accès hors équipe de soins n’est légitime que via le mode « bris de glace », tracé et justifiable.

Combien de temps faut-il conserver un dossier médical hospitalier ?

Vingt ans à compter de la date du dernier séjour ou de la dernière consultation externe (art. R. 1112-7 CSP). Pour un mineur, la conservation est prolongée jusqu’à son 28e anniversaire si le terme intervient avant. Si le patient décède moins de dix ans après son dernier passage, le dossier est conservé dix ans à compter du décès. Ces durées sont des minima légaux, pas des autorisations d’accès permanent.

Le certificat HDS de mon éditeur suffit-il à me couvrir ?

Non, pour deux raisons. D’une part, la certification vise l’activité d’hébergement, dont le périmètre exact — de la mise à disposition d’infrastructure à l’infogérance — varie selon le certificat délivré : vérifiez que les activités réellement exercées sont couvertes. D’autre part, la certification HDS ne se substitue pas au contrat de sous-traitance de l’article 28 du RGPD ni à l’analyse des transferts hors UE, qui restent à votre charge en tant que responsable de traitement.

Faut-il notifier une cyberattaque à la CNIL même si aucune donnée n’a été exfiltrée ?

Oui, dans la quasi-totalité des cas. Une violation au sens de l’article 4(12) du RGPD inclut la perte de disponibilité et l’altération, pas seulement la divulgation. Un chiffrement de vos serveurs par rançongiciel, même sans exfiltration démontrée, prive les soignants de l’accès aux données de patients : le risque pour les droits et libertés est établi. L’exemption de notification suppose un risque nul, ce qui ne se rencontre pas s’agissant de données de santé.

---

Sources : CNIL, « Données de santé : la CNIL rappelle les mesures de sécurité et de confidentialité pour l’accès au dossier patient informatisé (DPI) », 9 février 2024 — CNIL, « Accompagnement des professionnels : le programme de travail de la CNIL pour 2026 », 7 avril 2026 — CNIL, « Données de santé : sanction de 5 millions d’euros à l’encontre de la société IQVIA », 28 mai 2026 (délibération SAN-2026-008) — CNIL, projet de recommandation « Dossier patient informatisé », consultation publique du 20 mars au 16 mai 2025 — Article R. 1112-7 du code de la santé publique (Légifrance) — Article L. 1111-7 du code de la santé publique (Légifrance)

Thiébaut Devergranne est docteur en droit (Paris II) et conseille les organisations en protection des données depuis plus de vingt ans, dont six passées au service du Premier ministre. Cet article présente une analyse juridique générale et ne constitue pas un conseil juridique individualisé.