Le rapport annuel 2025 de la CNIL, publié le 18 mai 2026, envoie un signal fort aux directeurs d’établissements et services sociaux et médico-sociaux : en 2026, 50 % des contrôles et actions répressives seront consacrés à la cybersécurité. Une orientation qui concerne directement le secteur médico-social, traitant massivement des données de santé et sociales hautement sensibles.
Des chiffres qui doivent alerter
- 6 167 violations de données notifiées en 2025 (+9,5 % vs 2024)
- 1 incident sur 2 relève d’un piratage informatique
- 487 M€ d’amendes prononcées, un montant record
- 20 150 plaintes reçues (+10 %)
- Les violations « impliquent souvent des prestataires »
Trois enseignements pour les ESSMS :
Personne n’est épargné : la CNIL rappelle que toutes les structures sont concernées, des petites associations aux grands groupes. Les ESSMS, souvent dotés de moyens IT limités, sont particulièrement exposés.
Les violations sont de plus en plus massives : un piratage d’un dossier usager peut exposer données de santé, données sociales et données familiales en cascade.
La responsabilité s’étend aux sous-traitants : logiciels métiers (DUI, télégestion, paie), hébergeurs, prestataires informatiques… Le directeur reste responsable du traitement.
Ce qu’il faut faire dès maintenant
- Cartographier ses traitements sensibles : dossiers des personnes accompagnées, données RH, vidéosurveillance, objets connectés (silver économie également ciblée par la CNIL).
- Auditer ses contrats sous-traitants : clauses RGPD, hébergeur HDS, plan de reprise d’activité.
- Renforcer les mesures techniques de l’article 32 RGPD : authentification forte, chiffrement, sauvegardes testées, gestion des accès.
- Préparer la procédure de notification sous 72h en cas de violation.
- Sensibiliser les équipes : le facteur humain reste la première faille (par exemple : envoi à un mauvais destinataire, perte de matériel).
La CNIL met à disposition un guide sécurité dédié, un appui précieux pour structurer votre démarche avant un éventuel contrôle.
Télécharger le rapport de la CNIL 2025
