Guide

Registre des activités et traçabilité des connexions : que tracer, combien de temps le conserver, comment le présenter en cas de contrôle

Publié le 13 septembre 2026 · 10 min de lecture

Un journal de connexion jamais consulté, une durée de conservation fixée "au cas où" plutôt que documentée, un registre des activités qui n'existe que dans la tête du responsable qualité : ce sont les trois lacunes les plus fréquentes relevées lors des contrôles CNIL dans les établissements de santé et médico-sociaux. Cet article détaille, en 6 étapes sourcées, ce qu'il faut tracer, combien de temps le conserver et comment présenter le tout en cas de contrôle de l'ARS, d'un organisme évaluateur ou de la CNIL elle-même. À la fin, vous saurez construire ce dossier de preuve et le tenir à jour sans y passer un après-midi par trimestre.

Ce que dit la réglementation sur le registre et la traçabilité

L'obligation de tenir un registre des activités de traitement, prévue à l'article 30 du RGPD, concerne tous les organismes publics comme privés, quelle que soit leur taille, dès lors qu'ils traitent des données personnelles^[2]. Les organismes de moins de 250 salariés bénéficient d'une dérogation, mais elle ne s'applique pas aux traitements de données sensibles : dès qu'un traitement porte sur des données de santé, il doit figurer au registre même dans une petite structure^[2]. Pour chaque traitement, la fiche de registre doit préciser au minimum les finalités, les catégories de personnes et de données concernées, les destinataires, les transferts éventuels, les durées de conservation et une description des mesures de sécurité^[2].

À côté de ce document de gouvernance, la CNIL recommande une mesure de sécurité distincte : la journalisation. Elle attend l'enregistrement des opérations de création, consultation, partage, modification et suppression des données, avec l'identifiant de l'utilisateur, la date, l'heure et le type d'opération^[1]. Sa recommandation du 14 octobre 2021 précise la durée : une conservation glissante de six mois à un an pour la journalisation standard, avec la possibilité de justifier une durée supérieure, jusqu'à trois ans dans les cas les plus courants, lorsqu'un contrôle interne des accès le nécessite^[3]. Elle insiste enfin sur un point souvent négligé : les journaux doivent être exploités, pas seulement activés, via un système d'analyse permettant de détecter les accès anormaux à court terme^[3].

Pour les données de santé spécifiquement, la CNIL a rappelé après une série de contrôles que la traçabilité doit permettre de documenter non seulement qui s'est connecté, mais qui a accédé à quoi, et que seuls les professionnels effectivement impliqués dans la prise en charge d'un patient doivent y avoir accès^[4]. Ces contrôles, menés entre 2020 et 2024 auprès de 13 établissements de santé à la suite d'alertes sur des accès illégitimes au dossier patient informatisé, se sont soldés par plusieurs mises en demeure^[4].

Étape 1 : recenser ce qui doit figurer au registre des activités

Listez chaque traitement de données personnelles de l'établissement : dossier patient ou résident, paie, vidéosurveillance, déclarations qualité, etc. Pour chacun, documentez finalité, données concernées, destinataires, durée de conservation et mesures de sécurité, comme l'exige l'article 30 du RGPD^[2].

Étape 2 : activer une journalisation des connexions et des accès

Assurez-vous que chaque connexion et chaque opération sur une donnée sensible (création, consultation, modification, suppression) est enregistrée avec l'identité de l'utilisateur, la date et l'heure, comme le recommande la CNIL^[1]. Cela suppose des comptes nominatifs : un compte générique partagé rend impossible d'attribuer une action à une personne précise.

Étape 3 : fixer et documenter la durée de conservation des journaux

Écrivez noir sur blanc la durée de conservation retenue pour vos journaux : la CNIL recommande une période glissante de six mois à un an pour la journalisation standard, extensible jusqu'à trois ans dans les cas les plus courants si un contrôle interne le justifie^[3]. Une conservation "indéfinie, au cas où" n'est pas conforme.

Étape 4 : exploiter réellement les journaux, pas seulement les activer

Organisez un contrôle périodique des journaux pour repérer les accès qui semblent anormaux, par exemple une consultation massive ou hors horaires habituels. La CNIL est explicite : la journalisation ne protège que si les données collectées sont réellement exploitées à court terme^[3].

Étape 5 : restreindre l'accès aux journaux eux-mêmes

Protégez les équipements et les données de journalisation contre toute opération non autorisée, et rendez-les inaccessibles aux personnes dont l'activité est précisément tracée : c'est une exigence explicite de la CNIL, qui vise à empêcher qu'un utilisateur puisse modifier ou effacer la trace de ses propres actions^[1].

Étape 6 : constituer un dossier de preuve mobilisable en cas de contrôle

Regroupez le registre des activités, la politique de conservation et un extrait représentatif des journaux dans un dossier facilement mobilisable, pour pouvoir répondre à une question de l'ARS, d'un organisme évaluateur ou d'un contrôle CNIL sans avoir à tout reconstituer dans l'urgence.

Schéma : du geste tracé au contrôle

Ce schéma résume le trajet d'une action journalisée, de sa création à sa mobilisation en cas de contrôle.

Schéma pédagogique proposé par OxcaSanté pour synthétiser la procédure : les durées indiquées reprennent les recommandations CNIL citées en sources, à adapter à la politique de conservation propre à chaque établissement.

Checklist récapitulative

Questions fréquentes

Articles connexes

• Habilitations et droits d'accès à la documentation qualité : la procédure pour définir qui voit quoi
• RGPD et données de santé : les obligations concrètes pour les petites structures en 2026
• Cybersécurité en établissement de santé : obligations et bonnes pratiques pour les petites structures

Sources

• [1] CNIL · Sécurité : tracer les opérations (officiel, mis à jour le 14 mars 2024)
• [2] CNIL · RGPD : le registre des activités de traitement (officiel)
• [3] CNIL · Recommandation relative aux mesures de journalisation, délibération n°2021-122 du 14 octobre 2021 (officiel)
• [4] CNIL · Données de santé : la CNIL rappelle les mesures de sécurité et de confidentialité pour l'accès au dossier patient informatisé (DPI) (officiel)
• [5] CNIL · Règlement européen sur la protection des données, chapitre IV (article 30) (officiel, texte réglementaire)
• [6] Agence du Numérique en Santé · Certification HDS, hébergement des données de santé (officiel)
• [7] CNIL · Référentiel pour la prise en charge médico-sociale des personnes âgées, en situation de handicap ou en difficulté, délibération n°2021-028 du 11 mars 2021 (officiel — cité pour le champ d'application ESSMS ; le détail des clauses de traçabilité de cette délibération n'a pas pu être vérifié par lecture directe, l'accès au texte intégral ayant échoué)

Le schéma présenté dans cet article est une synthèse pédagogique proposée par OxcaSanté : il reprend les durées recommandées par la CNIL, mais ne remplace pas une analyse juridique propre à chaque établissement.