Actualités › Données de santé & RGPD › Violation de données de santé : le délai de 72 heures pour notifier la CNIL, pour le médecin
Violation de données de santé : le délai de 72 heures pour notifier la CNIL, pour le médecin
Mis à jour le 27/09/2026 — rédigé par l'équipe DoctoAid à partir des textes et référentiels officiels en vigueur
En bref
Le RGPD impose au responsable de traitement de notifier une violation de données à caractère personnel à la CNIL dans un délai de 72 heures après en avoir eu connaissance, dès lors qu'elle est susceptible d'engendrer un risque pour les droits des personnes concernées — un enjeu particulièrement sensible pour les données de santé.
Source
Cet article est un contenu d'information générale sur le cadre réglementaire et numérique de la santé, fondé sur des sources officielles françaises et européennes. Il ne constitue pas un conseil juridique et ne remplace pas la consultation d'un professionnel du droit ou des instances ordinales compétentes.
Le principe du délai de 72 heures
Le RGPD impose au responsable de traitement de notifier toute violation de données à caractère personnel à l'autorité de contrôle compétente, en France la CNIL, dans un délai de 72 heures après en avoir eu connaissance, sauf si la violation n'est pas susceptible d'engendrer de risque.
Une sensibilité renforcée pour les données de santé
Les données de santé étant une catégorie particulière de données à caractère personnel, une violation les concernant est généralement considérée comme présentant un risque élevé, ce qui renforce l'obligation de notification, y compris auprès des personnes concernées dans certains cas.
Ce que cela implique pour l'éditeur
Tout éditeur de logiciel de santé doit disposer d'une procédure documentée de détection et de notification des violations de données, un point qui doit figurer dans sa documentation de sécurité et de conformité RGPD.
DoctoAid sur ce sujet
DoctoAid peut vous aider directement sur ce cas précis
100% données officielles
Chaque réponse s'appuie exclusivement sur les données publiques ANSM (RCP, BDPM) — jamais sur le web ouvert.
Synchronisation continue
Base resynchronisée chaque semaine avec les sources officielles, sans intervention manuelle.
Abstention plutôt qu'invention
Si l'information ne figure pas dans les données officielles, DoctoAid le dit — il n'invente jamais de réponse.
Questions fréquentes
Le patient doit-il être informé directement d'une violation ?
Oui, si la violation est susceptible d'engendrer un risque élevé pour ses droits, le RGPD impose également une information directe des personnes concernées.
Que risque un éditeur qui ne notifie pas une violation ?
Des sanctions administratives de la CNIL, pouvant être significatives, ainsi qu'un risque de mise en cause de sa responsabilité civile.
Comment un praticien peut-il vérifier la procédure d'un éditeur sur ce point ?
En consultant la documentation de sécurité ou la politique de confidentialité du logiciel utilisé, qui doit mentionner cette procédure.
Pour aller plus loin
Actualité
Contrôle de la CNIL dans un cabinet médical : comment il se déroule pour le médecin
Actualité
Amende RGPD dans le secteur de la santé : comment son montant est déterminé
Actualité
Données génétiques : un régime encore plus protecteur au sein du RGPD
Actualité
Sous-traitance en cascade de données de santé : la vigilance du médecin
Actualité
Registre interne des violations de données : une obligation souvent méconnue des médecins
Actualité
Certification HDS : pourquoi elle est obligatoire pour héberger des données de santé, et ce que le médecin doit vérifier
Actualité
Le référentiel CNIL pour les cabinets médicaux : ce qu'il encadre pour le médecin
Guide
Mot de passe partagé en cabinet médical : un risque sous-estimé par les médecins
Guide
Suppression d'un compte patient sur un logiciel de santé : la procédure attendue du médecin
Guide