Actualités › Données de santé & RGPD › Registre interne des violations de données : une obligation souvent méconnue des médecins
Registre interne des violations de données : une obligation souvent méconnue des médecins
Mis à jour le 27/09/2026 — rédigé par l'équipe DoctoAid à partir des textes et référentiels officiels en vigueur
En bref
Le RGPD impose au responsable de traitement de documenter en interne toute violation de données constatée, y compris celles jugées ne pas nécessiter de notification à la CNIL, ce registre interne devant permettre à l'autorité de vérifier le respect de cette obligation en cas de contrôle.
Source
Cet article est un contenu d'information générale sur le cadre réglementaire et numérique de la santé, fondé sur des sources officielles françaises et européennes. Il ne constitue pas un conseil juridique et ne remplace pas la consultation d'un professionnel du droit ou des instances ordinales compétentes.
Une obligation distincte de la seule notification
Même lorsqu'une violation de données est jugée ne pas nécessiter de notification à la CNIL (absence de risque significatif), le RGPD impose de la documenter en interne dans un registre dédié.
Ce que doit contenir cette documentation
Ce registre doit préciser les circonstances de la violation, ses effets et les mesures prises pour y remédier, permettant à la CNIL de vérifier a posteriori le respect de cette obligation en cas de contrôle.
Une bonne pratique pour tout logiciel de santé
Tout éditeur de logiciel de santé sérieux doit disposer d'une procédure documentée de gestion de ces incidents, même mineurs, en complément de sa procédure de notification pour les cas les plus graves.
DoctoAid sur ce sujet
DoctoAid peut vous aider directement sur ce cas précis
100% données officielles
Chaque réponse s'appuie exclusivement sur les données publiques ANSM (RCP, BDPM) — jamais sur le web ouvert.
Synchronisation continue
Base resynchronisée chaque semaine avec les sources officielles, sans intervention manuelle.
Abstention plutôt qu'invention
Si l'information ne figure pas dans les données officielles, DoctoAid le dit — il n'invente jamais de réponse.
Questions fréquentes
Cette obligation s'applique-t-elle même en l'absence de notification à la CNIL ?
Oui, la documentation interne reste obligatoire même lorsque la notification externe n'est pas jugée nécessaire.
Ce registre est-il consultable par les patients concernés ?
Il est destiné en priorité à la CNIL en cas de contrôle, sans consultation publique systématique prévue par le RGPD.
Que risque un responsable de traitement qui ne tient pas ce registre ?
Un manquement à cette obligation documentaire peut être constaté et sanctionné indépendamment de la gravité de la violation elle-même.
Pour aller plus loin
Actualité
Données de santé et employeur : ce que la loi interdit strictement
Actualité
Anonymisation des données de santé pour la recherche : les méthodes reconnues
Actualité
Contrôle de la CNIL dans un cabinet médical : comment il se déroule pour le médecin
Actualité
Amende RGPD dans le secteur de la santé : comment son montant est déterminé
Actualité
Données génétiques : un régime encore plus protecteur au sein du RGPD
Actualité
Sous-traitance en cascade de données de santé : la vigilance du médecin
Actualité
Certification HDS : pourquoi elle est obligatoire pour héberger des données de santé, et ce que le médecin doit vérifier
Guide
Chiffrement des données au repos et en transit : la différence à connaître pour le médecin
Guide
Journalisation des accès au dossier patient : une exigence de sécurité pour le médecin
Guide