Régulation numérique : ce que la feuille de route 2025-2028 de la CNIL change pour la santé

Ce n’est pas un rapport de plus. En dévoilant sa stratégie 2025-2028, la CNIL a franchi une étape : assumer pleinement son rôle d’aiguilleur dans une époque où les données sont à la fois ressource, risque et responsabilité. Quatre priorités ont été posées, claires et ambitieuses : intelligence artificielle, protection des mineurs, cybersécurité, usages numériques du quotidien.

Dans les couloirs des hôpitaux, dans les labos de recherche, dans les bureaux des start-up e-santé, cette annonce résonne comme un appel à la vigilance – et à l’anticipation.

L’intelligence artificielle sous surveillance éthique

Le premier axe du plan est limpide : l’IA, omniprésente dans la santé, sera observée de près. La CNIL veut imposer des exigences claires de transparence, de maîtrise des biais et d’explicabilité. Pour les établissements de santé, cela signifie revoir les solutions déployées pour le triage, le diagnostic assisté, la logistique. Du côté des éditeurs de logiciels médicaux, on devra anticiper des obligations documentaires dès la conception : architecture des algorithmes, justification des choix de design, auditabilité.

L’IA en santé, qui se déploie de plus en plus pour assister les professionnels dans leurs prises de décision, présente un potentiel énorme, mais aussi des risques. L’algorithme qui détermine la priorité d’un patient en fonction de ses symptômes, ou celui qui aide à diagnostiquer une pathologie à partir de données d’imagerie, peut être affecté par des biais. Ces biais, s’ils ne sont pas identifiés et maîtrisés, peuvent conduire à des erreurs médicales graves, à des discriminations ou à des inégalités dans l’accès aux soins.

« L’IA n’est plus un laboratoire d’innovation, c’est une réalité clinique. On ne peut pas laisser ses décisions échapper à la responsabilité humaine », martèle une source proche du dossier.

La CNIL met en avant l’importance de la transparence des systèmes d’IA utilisés dans le secteur médical. Les établissements de santé devront être en mesure de comprendre et d’expliquer le fonctionnement des outils d’IA qu’ils déploient. Cela implique qu’ils doivent non seulement maîtriser la logique des algorithmes, mais aussi pouvoir communiquer clairement sur la manière dont les décisions sont prises. Les patients doivent également être informés de l’utilisation de ces technologies, avec des explications accessibles sur leur rôle dans les soins.

Des mineurs mieux protégés face au numérique santé

Deuxième priorité : les mineurs. Le sujet est sensible et en pleine mutation. Avec la montée en puissance des apps de santé mentale pour ados, du suivi hormonal ou des objets connectés, la CNIL veut éviter un Far West éthique. L’encadrement portera sur les mécanismes de consentement, les autorisations parentales, mais aussi la conception même des services.

Concrètement, une startup développant une app bien-être pour les collégiens devra intégrer des garde-fous dès l’onboarding, éviter les dark patterns, et sécuriser la gestion des données.

Face à l’augmentation de l’utilisation des apps de santé mentale, qui gagnent en popularité auprès des jeunes, mais aussi à la prolifération des objets connectés destinés à suivre en temps réel des paramètres de santé, la CNIL met en place des régulations visant à protéger les données sensibles des mineurs. L’objectif est d’assurer une sécurité maximale sur les informations personnelles, en particulier les données médicales et psychologiques, qui peuvent être utilisées à des fins commerciales ou manipulées de manière abusive.

« Le public jeune est particulièrement vulnérable. Il faut que l’innovation ne rime pas avec captation », souligne un membre du collège de la CNIL.

La cybersécurité, ligne rouge de la décennie

2023 et 2024 ont vu se multiplier les attaques contre les établissements de santé, avec des conséquences parfois dramatiques : blocage d’accès aux dossiers, perte de données sensibles, interruption des soins. La CNIL place donc la sécurité au cœur de sa feuille de route, insistant sur l’auditabilité, la documentation et la résilience.

Les hôpitaux sont clairement en ligne de mire, mais aussi les prestataires techniques : hébergeurs, éditeurs, intégrateurs. Pour tous, une règle d’or se dessine : prouver, par avance, que l’on a pensé la sécurité à chaque étape du cycle de vie de la donnée.

Des usages numériques à cadrer, même les plus banals

Enfin, la CNIL met les pieds dans le quotidien. Les pratiques banalisées, comme l’usage de WhatsApp entre soignants, les cookies sur les plateformes patients, ou les objets connectés dans les chambres, sont dans le viseur.

Pas pour les interdire, mais pour mieux les encadrer. Le message est clair : tout usage numérique manipulant de la donnée sensible devra justifier sa légitimité, sa sécurité, son utilité. Même un outil pratique peut devenir risqué s’il n’est pas borné juridiquement.

La CNIL ne cherche pas à interdire ces usages – elle comprend leur utilité sur le terrain. Le message est plutôt de les encadrer, de les responsabiliser. Chaque outil numérique utilisé dans le champ médical devra désormais répondre à trois critères fondamentaux : légitimité, sécurité, utilité.

• Légitimité : Pourquoi ce canal ou cet outil est-il utilisé ? Est-ce le seul moyen ? Existe-t-il une alternative plus conforme ?
• Sécurité : Les données sont-elles protégées ? Y a-t-il un chiffrement, une authentification, un contrôle d’accès ?
• Utilité : Est-ce que l’usage améliore réellement la prise en charge, la coordination, l’efficacité des soins ? Ou est-ce un confort d’usage non indispensable qui met en péril la protection des données ?

Et maintenant ? Ce qu’il faut anticiper

La stratégie est posée, les orientations sont publiques. Ce qui reste, c’est le travail de terrain : mettre à jour les outils, revoir les process, former les équipes, anticiper les audits. Mais c’est aussi une opportunité.

En structurant l’encadrement des technologies émergentes, la CNIL crée un climat de confiance. Pour les patients, évidemment. Mais aussi pour les investisseurs, les agences de financement, et les partenaires publics qui regardent de plus en plus la conformité comme un critère de sélection.

La feuille de route 2025-2028 de la CNIL dessine les contours d’un numérique de santé plus sûr, plus éthique, plus maîtrisé. Elle interpelle tous les métiers – soignants, ingénieurs, dirigeants – sur leur responsabilité. Mais elle donne aussi les clés pour faire de la conformité un levier de crédibilité, de financement, et d’innovation responsable.