Mesures de sécurité dans le secteur de la santé encore pointées par les régulateurs
Le RGPD est applicable depuis plusieurs années, et l’article 32 reste la disposition la plus souvent citée lors des sanctions majeures. Les systèmes de santé qui traitent des données de patients relevant de catégories particulières sont soumis à des exigences plus strictes, car tout doit être « adapté au risque ».
En partie, cela s’explique par le fait que l’article 32 ne se présente pas comme une liste de contrôle. Il définit quatre catégories de mesures à titre d’exemple et laisse le soin d’évaluer ce qui est « approprié » en fonction du risque. Cet article vous explique ce que ces quatre catégories impliquent concrètement pour les systèmes de santé.
Résumé exécutif
L’article 32 du RGPD définit quatre catégories de mesures techniques et organisationnelles à titre d’exemple. Aucune ne se limite à une mise en œuvre ponctuelle. Pour les systèmes de santé, la vraie question, plusieurs années après l’entrée en vigueur du règlement, n’est pas de savoir si l’article 32 a été respecté une fois, mais s’il continue d’être respecté face aux risques actuels.
Résumé des points clés
- L’article 32 définit quatre catégories de mesures à titre d’exemple, et non une liste de contrôle figée.
- « Adapté au risque » signifie que le niveau d’exigence évolue avec la sensibilité des données patients et l’évolution des menaces.
- Les défaillances de sécurité sont à l’origine de la majorité des sanctions RGPD, plus que les lacunes procédurales.
- Le chiffrement sans contrôle des clés par le client ne répond que partiellement à la pseudonymisation.
- La quatrième exigence, à savoir tester régulièrement l’efficacité des mesures, est celle que la plupart des systèmes de santé négligent totalement.
Pourquoi « adapté au risque » est une cible mouvante pour les données patients
L’article 32 évite volontairement de citer des technologies précises, exigeant à la place que les mesures soient adaptées au risque lié au traitement concerné.
Un langage fondé sur le risque : le niveau d’exigence évolue avec les données et les menaces
Une mesure jugée adaptée pour une catégorie de données patients ne le reste pas forcément si la sensibilité ou le paysage des menaces évolue.
Les autorités évaluent la notion d’« adapté » selon ce qu’un système de santé raisonnable aurait mis en place
Les décisions d’application examinent si les mesures en place correspondent à ce qu’un système de santé raisonnable, traitant ce type de données, aurait mis en œuvre.
Ce que chaque catégorie exige concrètement
Chacune de ces catégories a fait l’objet de manquements récurrents dans les décisions des autorités.
Pseudonymisation et chiffrement qui limitent réellement l’exposition
Le chiffrement ne répond que partiellement à cette catégorie si l’entité qui détient les données chiffrées peut également les déchiffrer sans contrainte.
Confidentialité, intégrité, disponibilité et résilience continues
Cette catégorie implique explicitement une démarche continue, et non une évaluation unique lors du déploiement.
Pourquoi cet article reste celui qui entraîne les plus grosses sanctions
Les sanctions majeures jusqu’en 2026 continuent de porter sur des mesures techniques et organisationnelles insuffisantes après une violation, et non sur des lacunes documentaires.
Comment bâtir un programme Article 32 qui tient la route dans la durée
La bonne approche consiste à considérer les quatre catégories comme des engagements opérationnels permanents : vérifiez que le chiffrement limite réellement l’exposition, assurez-vous que les contrôles d’accès sont surveillés en continu et testez la reprise d’activité selon un calendrier réel.
Comment un Data Control Plane permet de respecter l’article 32 dans la durée
Le Data Control Plane de Kiteworks prend en charge les clés de chiffrement détenues par le client via un module matériel de sécurité, afin que le chiffrement limite réellement l’exposition. Les journaux d’audit sont anonymisés par défaut, ajoutant ainsi une véritable couche de pseudonymisation. L’architecture à locataire unique et les configurations intégrées de reprise d’activité garantissent la confidentialité, l’intégrité et la résilience dans la durée, tandis que chaque action sur chaque canal est enregistrée dans un journal d’audit inviolable et non limité qui alimente directement les outils SIEM.
Les systèmes de santé qui souhaitent évaluer leurs mesures actuelles à l’aune d’un nouvel audit Article 32 peuvent planifier une démo personnalisée.
Foire aux questions
L’article 32 définit quatre catégories de mesures techniques et organisationnelles qui doivent être adaptées au risque, dont la pseudonymisation et le chiffrement, la confidentialité, l’intégrité, la disponibilité et la résilience continues, ainsi que le test régulier de leur efficacité.
Parce que le règlement exige que les mesures soient évaluées selon la sensibilité actuelle des données et le paysage des menaces, un contrôle qui était suffisant auparavant peut ne plus répondre aux exigences si les risques évoluent pour les données patients.
Le chiffrement ne limite réellement l’exposition que si l’organisation qui détient les données ne peut pas les déchiffrer par défaut ; sinon, la protection reste superficielle et ne répond pas à l’intention de la première catégorie.
L’exigence de tester régulièrement l’efficacité des mesures est la plus souvent omise, alors qu’elle est essentielle, car les quatre catégories doivent être considérées comme des engagements opérationnels permanents et non comme des actions ponctuelles.