Violation de données dans une clinique : que faire dans les premières 72 heures
Un courriel envoyé au mauvais destinataire, un accès indu au logiciel clinique ou le vol d'un équipement contenant des dossiers de patients peuvent constituer une violation de données à caractère personnel dans une clinique dentaire exerçant au Portugal. Les 72 heures mentionnées dans le titre correspondent au délai de notification à l'autorité portugaise de protection des données (CNPD) lorsque cette notification est effectivement due — et non à un délai applicable à tout incident, quel qu'il soit. Dans les premières heures, l'ordre des décisions compte autant que la décision elle-même.
Ce texte décrit, en termes généraux, une séquence prudente d'action. Il ne remplace pas une consultation juridique ni un plan interne adapté à la clinique. Le cadre de cette activité figure dans protection des données (RGPD) pour les cliniques dentaires.
Ce qu'est une violation de données à caractère personnel
En règle générale, il y a violation lorsqu'un incident de sécurité entraîne, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation ou l'accès non autorisés à des données à caractère personnel. Dans une clinique, cela peut concerner les dossiers cliniques, les radiographies, les coordonnées, la facturation ou les communications avec les patients.
Tout incident technique n'est pas automatiquement une violation entraînant une obligation de notification. La qualification et ses conséquences dépendent des faits, du type de données concernées, des mesures de protection existantes et du risque pour les personnes concernées.
D'abord : contenir et préserver
Avant toute communication externe, la priorité est généralement de contenir l'incident : révoquer les accès, isoler les systèmes affectés, récupérer les identifiants et empêcher la poursuite de l'exposition, dans la mesure du possible sans détruire des éléments de preuve utiles.
En parallèle, il convient de préserver la chronologie : quand l'incident a été détecté, qui en a eu connaissance, quels systèmes sont concernés et quelles catégories de données peuvent avoir été affectées. Des notes improvisées et incomplètes compliquent l'évaluation ultérieure et la démonstration de la diligence exercée.
Ensuite : évaluer le risque
L'évaluation doit tenir compte de la nature des données (y compris les données de santé), du nombre approximatif de personnes concernées, de la probabilité d'une utilisation abusive, de l'existence d'un chiffrement ou d'autres mesures, et de l'impact potentiel sur les droits et libertés.
Cette évaluation fonde deux décisions distinctes : s'il existe une obligation de notifier l'autorité de contrôle et s'il existe une obligation d'informer les personnes concernées. Ce sont des appréciations juridiques et factuelles ; elles ne doivent pas se fonder uniquement sur l'urgence médiatique du moment.
Le délai de 72 heures — ce que cela signifie en pratique
Le RGPD prévoit, dans certains cas, la notification à l'autorité de contrôle sans retard injustifié et, lorsque cela s'applique, dans un délai de 72 heures après que le responsable du traitement a eu connaissance de la violation. Si la notification n'est pas effectuée dans ce délai, les motifs du retard doivent être indiqués, conformément aux règles applicables.
« Avoir connaissance » n'est pas la même chose que disposer déjà de toutes les réponses. En pratique, la clinique doit agir avec diligence pour confirmer l'incident et réunir les informations essentielles, sans retarder artificiellement le point de départ du délai. Lorsque la notification est due, elle peut être complétée au fur et à mesure que de nouveaux éléments sont connus.
Tous les incidents n'entraînent pas une obligation de notification. S'il est peu probable que la violation engendre un risque pour les droits et libertés des personnes physiques, la notification à l'autorité peut ne pas être requise — mais cette conclusion doit rester documentée.
Communication aux patients et aux fournisseurs
La communication aux personnes concernées peut être nécessaire lorsqu'il existe un risque élevé pour leurs droits et libertés. Le contenu et le moment de cette communication doivent être mûrement réfléchis : information claire sur la nature de la violation, coordonnées utiles et, si possible, recommandations pour atténuer les effets néfastes.
Si l'incident implique un sous-traitant (par exemple, le fournisseur du logiciel clinique), la clinique doit se coordonner avec ce fournisseur conformément au contrat et aux obligations prévues par le RGPD, sans perdre la maîtrise de la chronologie ni des décisions relevant du responsable du traitement.
Documenter et prévenir la répétition
Même en l'absence de notification, le registre interne de l'incident — faits, évaluation, décision et mesures — est un élément central de la responsabilité. Après le confinement, il importe de corriger les causes : accès, formation, contrats, sauvegardes ou canaux d'envoi des informations cliniques.
De nombreuses erreurs qui précèdent les incidents sont décrites dans les erreurs RGPD les plus courantes dans une clinique dentaire.
Questions fréquentes
Le RGPD prévoit, dans certains cas, la notification à l'autorité portugaise de protection des données (CNPD) sans retard injustifié et, lorsque cela s'applique, dans un délai de 72 heures après que le responsable du traitement a eu connaissance de la violation. Tout incident n'entraîne pas une obligation de notification ; l'évaluation du risque est déterminante.
En règle générale, un incident de sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation ou l'accès non autorisés à des données à caractère personnel transmises, conservées ou faisant l'objet d'un autre traitement.
La communication aux personnes concernées peut être obligatoire lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés. La décision dépend de l'évaluation de l'incident ; elle ne doit être ni automatique ni précipitée, sans critères.
Il convient de consigner les faits, la chronologie, les données concernées, les mesures de confinement, l'évaluation du risque et la décision relative à la notification. La documentation aide à démontrer la responsabilité, même lorsque la conclusion est que la notification n'est pas requise.
Pour en savoir plus sur l'activité de consultation et d'audit RGPD pour cliniques dentaires, consultez la page dédiée ou les coordonnées du cabinet.
Note informative
Les informations de cette page sont générales et informatives. Elles ne remplacent pas une consultation juridique ni un plan de réponse aux incidents adapté à la clinique. Le cabinet fournit une consultation et un audit juridiques en protection des données, avec émission d'un avis ; il n'exerce pas la fonction de délégué à la protection des données.