Notification de violation de données en santé
Guide pratique de l'obligation Notification de violation de données dans le secteur santé. Base légale : RGPD Art. 33-34 + NIS2 Art. 23. Spécificités sectorielles, jurisprudence, solutions Vigil.
Réglementations sectorielles : RGPD Art. 9 · Règlement MDR 2017/745 · Code de la santé publique
I.L'obligation : Notification de violation de données
- Base légale : RGPD Art. 33-34 + NIS2 Art. 23
- Concernés : Tout responsable de traitement (RGPD) ou entité essentielle/importante (NIS2)
- Délai légal : RGPD : 72h (CNIL) + sans délai (personnes si risque élevé). NIS2 : 24h alerte / 72h notif / 1 mois rapport
II.Le secteur santé
Hôpitaux, cliniques, pharmacies, télémédecine, dispositifs médicaux
III.Spécificités du secteur
Vigilance critique
- Notification CNIL 72h + ARS si conséquences sanitaires.
- Information patients renforcée si dossiers médicaux exposés.
IV.Cas notables et jurisprudence
- AP-HP — sanction CNIL 1.5M€ (2024) pour violation données patients.
V.Mise en œuvre dans le secteur santé
- Cartographie initiale des traitements/systèmes concernés par notification de violation de données.
- Gap analysis vs exigences RGPD Art. 33-34 + NIS2 Art. 23.
- Mise en œuvre des outils Vigil dédiés (voir section VI).
- Formation des dirigeants et équipes opérationnelles.
- Coopération avec les autorités sectorielles et l'autorité de protection des données nationale.
- Revue annuelle et après tout incident.
VI.Solutions Vigil pour le secteur santé
Solution RGPD
Registre Art. 30, AIPD Art. 35, droits Art. 15-22, violations 72h, DPA Art. 28.
VIOLSolution AI Act
Classifier 5 categories, registre systemes IA, FRIA Art. 27, surveillance humaine.
VIOLSolution NIS2 / DORA
Registre incidents 24/72/1mois, mesures Art. 21, registre tiers ICT, plans TLPT.
VIOLLanceur d'alerte
Plateforme conforme Directive 2019/1937 Whistleblower (FR + UE).
VIOLAudit GenAI
"Puis-je utiliser X pour Y" — engine determinist 7 regles + verdict GO/CONDITIONS/NO_GO.
VIOLAIPD GenAI
AIPD signable PDF couvrant Art. 35 RGPD + Art. 27 AI Act simultanement.
Risques croisés par obligation
Pour le secteur santé, voici l'intensité des différentes obligations transverses :
| Obligation | Niveau | Référence |
|---|---|---|
| Analyse d'impact (AIPD/PIA + FRIA) | CRITIQUE | RGPD Art. 35 + AI Act Art. 27 |
| Registre des activités de traitement | STANDARD | RGPD Art. 30 |
| Désignation et missions du DPO | ÉLEVÉ | RGPD Art. 37-39 |
| Notification de violation de données | CRITIQUE | RGPD Art. 33-34 + NIS2 Art. 23 |
| Transferts hors UE | ÉLEVÉ | RGPD Chap. V (Art. 44-50) |
Questions fréquentes
Qui est concerné par notification de violation de données dans le secteur santé ?
Tout responsable de traitement (RGPD) ou entité essentielle/importante (NIS2) Dans le secteur santé, cette obligation s'applique avec une intensité critique en raison des hôpitaux, cliniques, pharmacies, télémédecine, dispositifs médicaux et des réglementations sectorielles : RGPD Art. 9, Règlement MDR 2017/745, Code de la santé publique.
Quelle est la base légale de notification de violation de données ?
La base légale est : RGPD Art. 33-34 + NIS2 Art. 23. Voir le texte officiel sur EUR-Lex.
Quel est le délai pour notification de violation de données ?
RGPD : 72h (CNIL) + sans délai (personnes si risque élevé). NIS2 : 24h alerte / 72h notif / 1 mois rapport
Quelles sont les spécificités du secteur santé ?
Notification CNIL 72h + ARS si conséquences sanitaires. Information patients renforcée si dossiers médicaux exposés.
Existe-t-il une jurisprudence spécifique ?
Cas notables : AP-HP — sanction CNIL 1.5M€ (2024) pour violation données patients..
Quelles sanctions en cas de manquement ?
Les sanctions varient selon la base légale violée. Pour le RGPD : jusqu'à 20M€ ou 4% du CA mondial (Art. 83.5). Pour l'AI Act : jusqu'à 35M€ ou 7% pour les pratiques interdites. Voir nos guides complets.
Comment Vigil aide-t-il à respecter notification de violation de données ?
Vigil propose 6 solutions adaptées au secteur santé : Solution RGPD, Solution AI Act, Solution NIS2 / DORA. Voir le menu en bas de page.
Notification de violation de données dans d'autres secteurs
Autres obligations en santé
Vigil pilote notification de violation de données dans votre secteur
Plateforme SaaS adaptée aux spécificités sectorielles. 14 jours d'essai gratuit.
Commencer gratuitement