Sanctions et données de santé : six décisions qui dessinent la ligne rouge

La conformité des données de santé n'est pas une matière théorique : elle se juge, décision après décision. Et le message de ces décisions est remarquablement constant — la taille ne protège personne, l'autorisation n'est pas un blanc-seing, et la sécurité se prouve en continu. Recensement des affaires marquantes, chacune vérifiée à sa source officielle.

2020 — Deux médecins libéraux : 3 000 € et 6 000 €

En décembre 2020, la CNIL sanctionne deux médecins libéraux : des milliers d'images médicales de leurs patients étaient librement accessibles sur internet, à cause d'un mauvais paramétrage de la box du cabinet et du logiciel d'imagerie, sans chiffrement systématique. Deux manquements retenus : la sécurité (article 32) — et l'absence de notification de la violation à la CNIL (article 33).

La leçon : il n'existe pas de « trop petit pour être contrôlé ». Un cabinet individuel répond des mêmes obligations de sécurité qu'un groupe — et ne pas notifier une violation constitue un manquement autonome, qui s'ajoute à celui qui l'a causée.

2022 — Dedalus Biologie : 1,5 million d'euros

En avril 2022, la CNIL inflige 1,5 million d'euros à Dedalus Biologie, éditeur de logiciels pour laboratoires d'analyse, après la fuite des données médicales de près de 500 000 personnes — jusqu'aux statuts sérologiques, pathologies et données génétiques. En cause : des défaillances techniques et organisationnelles multiples, dont l'absence de chiffrement et de procédures encadrant les migrations de données.

La leçon : un sous-traitant peut être sanctionné directement, et lourdement. Pour les structures de soins, cela signifie que la revue des éditeurs et des contrats de sous-traitance n'est pas une formalité administrative — c'est là que la CNIL est allée chercher la plus grande fuite de données de santé française.

2023 — Doctissimo : 380 000 €

En mai 2023, la CNIL sanctionne Doctissimo de 380 000 € : les tests en ligne du site collectaient des données de santé sans le consentement explicite exigé par l'article 9, auxquels s'ajoutaient des durées de conservation excessives, un encadrement défaillant de la responsabilité conjointe, et des manquements cookies (100 000 € sur le total).

La leçon : on peut traiter des données de santé sans être un acteur de soins. Un simple questionnaire « bien-être » suffit à faire basculer un site dans l'article 9 — un angle mort fréquent chez les éditeurs, les médias santé et les porteurs d'applications.

2024 — Cegedim Santé : 800 000 €

En septembre 2024, la CNIL sanctionne Cegedim Santé de 800 000 € : l'éditeur, dont les logiciels équipent environ 25 000 cabinets médicaux, traitait sans autorisation des données de santé issues des dossiers patients à des fins d'études et de statistiques. Point central de la décision : ces données, présentées comme anonymes, n'étaient que pseudonymisées — la réidentification restait possible.

La leçon : pseudonymisé n'est pas anonyme, et la différence vaut 800 000 €. Toute réutilisation de données de patients — pour la recherche, les statistiques, l'entraînement d'un modèle — exige de qualifier honnêtement le statut des données et de respecter les formalités préalables.

2026 — IQVIA : 5 millions d'euros

Le 26 mai 2026, la CNIL prononce 5 millions d'euros contre IQVIA Operations France (délibération SAN-2026-008), qui exploite deux entrepôts de données de santé pourtant dûment autorisés — l'un alimenté par quelque 14 000 pharmacies, l'autre par plusieurs milliers de médecins. Manquements retenus : des données pseudonymes et non anonymes, des journaux de connexion jamais analysés, l'absence d'authentification multifacteur sur l'un des entrepôts, une notice d'information inexacte et un droit d'opposition sans procédure effective.

La leçon — la plus importante du recensement : l'autorisation n'immunise pas. Les garanties annoncées dans un dossier d'autorisation deviennent des obligations contrôlables ; les tenir dans la durée (journaux, MFA, information, droits) est précisément le travail d'une gouvernance de conformité, pas d'un dossier déposé une fois.

Et ailleurs en Europe : le DPO lui-même en cause

La ligne rouge ne concerne pas que les traitements : en septembre 2022, l'autorité de Berlin a sanctionné une entreprise de 525 000 € parce que son délégué à la protection des données cumulait sa fonction avec la direction de sociétés dont il était censé contrôler la conformité — un conflit d'intérêts prohibé par l'article 38 §6. Le choix du DPO, son positionnement et son indépendance font partie intégrante de la conformité.

Ce que ces décisions disent, ensemble

De 3 000 € à 5 millions, le spectre couvre toute la chaîne du secteur : le praticien, l'éditeur, le média, l'exploitant d'entrepôt. Les motifs, eux, se répètent : sécurité insuffisante (article 32), violations non notifiées (article 33), consentement explicite absent (article 9), formalités préalables ignorées, sous-traitance mal encadrée, pseudonymisation confondue avec l'anonymisation, droits des personnes ineffectifs. Autrement dit : exactement les briques d'un socle de conformité bien construit.

Ces sanctions publiées ne sont d'ailleurs que la partie visible : la CNIL prononce aussi des mises en demeure et des sanctions en procédure simplifiée qui ne font pas les mêmes titres. La bonne lecture n'est pas la peur — c'est la méthode : chaque motif de sanction de ce recensement correspond à un chantier identifiable, priorisable et démontrable. C'est précisément ce qu'un diagnostic met en évidence, et ce qu'un socle de conformité corrige.