Médecins sanctionnés par la Cnil pour défaut de coopération : comment se préparer avant de recevoir un courrier

1. Qu'est-ce qu'un défaut de coopération ?

Tout commence par le droit d’accès des patients et l’obligation qui pèse sur les médecins responsables du traitement de leurs données d'y répondre…

Dans le cadre de leur activité, les professionnels de santé procèdent quotidiennement à des traitements de données à caractère personnel et doivent à ce titre respecter le Règlement général sur la protection des données (UE) 2016/679 du 27 avril 2016 (RGPD), à la Loi n° 78-17 du 6 janvier 1978 ("loi informatique et libertés") mais aussi aux dispositions du code de la santé publique qui traitent de ces sujets.

En vertu de ces textes, les patients ont des droits, parmi lesquels le droit d'accès², qui permet au patient, ou à ses ayants droit s’il est décédé, d’avoir accès au dossier médical et à l’ensemble des informations le concernant conservées par le médecin (résultats d’examens, prescriptions, correspondance écrite entre professionnels de santé, notes internes, etc.).

Lorsqu'un patient envoie à un professionnel de santé une demande d'exercice de droit d'accès, le professionnel de santé est tenu d'y répondre.

Le défaut de coopération entre en jeu si le professionnel de santé ne répond pas ou ou de façon insuffisante à la demande du patient, et que ce dernier s'en plaint à la Cnil³. La Cnil peut alors écrire au professionnel de santé pour lui demander des explications. C'est à ce stade qu'intervient l'obligation de coopération des responsables de traitement avec la Cnil⁴.

Non seulement le professionnel de santé doit répondre à la demande du patient, mais aussi aux sollicitations de la Cnil dans les délais impartis et faciliter les investigations de l'autorité. Dans le cas contraire, le médecin s’expose à une sanction pour défaut de coopération. Cette sanction est distincte et autonome d’une éventuelle violation du RGPD.

Cas concret : un patient fait une demande de droit d’accès. Le médecin y répond dans les délais impartis mais le patient estime que la réponse est insuffisante et saisit la Cnil. La Cnil s’adresse au médecin, qui ne prend pas le temps de lui répondre, estimant avoir dument répondu à la demande du patient. Le médecin pourra alors être sanctionné pour défaut de coopération, quand bien même il aurait répondu correctement à la demande de droit d'accès du patient.

Ainsi, le simple fait de ne pas répondre, de répondre tardivement ou de manière incomplète aux demandes de la Cnil peut justifier une sanction en elle-même.

 

2. Quelles sanctions pour défaut de coopération ?

Le défaut de coopération peut donner lieu à une amende administrative et, le cas échéant, à une injonction de se conformer aux obligations applicables. Dans le cadre de la procédure simplifiée, l'amende est plafonnée à 20 000 euros, même si ce plafond est rarement atteint en pratique.

Illustration : deux médecins ont été sanctionnés à hauteur de 3 000 euros pour défaut de coopération en juillet et septembre 2025 et si le défaut de coopération est associé au non-respect du droit d’accès, l’amende est souvent portée à 4000 euros⁵.

 

3. Comment éviter une sanction pour défaut de coopération ?

Quelques bonnes pratiques permettent de limiter considérablement le risque de sanctions :

• Répondre avec sérieux et diligence aux demandes d'exercice de droit des patients,
• Identifier rapidement toute demande d'exercice de droit ou toute correspondance de la Cnil par email ou courrier ;
• Respecter le délai de réponse au patient :

- Maximum 8 jours à compter de la demande lorsqu'elle porte sur une donnée de santé de moins de 5 ans⁶

- Maximum 2 mois à compter de la demande du patient lorsqu'elle cette demande porte sur une donnée de santé de plus de 5 ans et pour toutes les autres données⁷

• Respecter le délai de réponse à la Cnil indiqué dans le courrier
• Répondre de manière complète et documentée, en joignant les pièces demandées et sans se borner à répondre à la Cnil que le patient a déjà tout reçu ;
• Conserver la preuve des échanges avec le patient et la Cnil ;
• Se faire assister par un avocat ou un délégué à la protection des données (DPO) en cas de doute.

Une réponse rapide et transparente permet bien souvent de mettre fin à la procédure sans qu'une sanction ne soit prononcée !

(1)  Commission nationale de l'informatique et des libertés (Cnil), "Les sanctions prononcées par la Cnil", consulté le 30 juillet 2026

(2)  Art. 15, RGPD

(3)  Art. 77, RGPD

(4)  Art. 31, RGPD et Art. 18, Loi Informatique et Liberté

(5) Commission nationale de l'informatique et des libertés (Cnil), "Les sanctions prononcées par la Cnil", consulté le 30 juillet 2026

(6) Art. L1111-7, Code de la santé publique

(7) Art. L1111-7, Code de la santé publique