Données de santé : la Cnil sanctionne Nexpublica d’une amende de 1,7 million d’euros

La Cnil a infligé, fin décembre 2025, une amende de 1,7 million d’euros à l’éditeur de logiciels Nexpublica (ex-Inetum Software) pour violation de ses obligations de sécurité fixées par le RGPD. La société était sous-traitante pour l’édition et l’hébergement d’un outil de CRM utilisé par la Maison départementale des personnes handicapées (MDPH) du Nord.

Cette organisation a subi, en 2022, des expositions de données de santé liées au handicap, consécutives à des erreurs de paramétrage du logiciel. Nexpublica s’est défendue de toute négligence en faisant valoir une autonomie limitée dans la définition des mesures de sécurité.

Mais la Cnil a rappelé que le RGPD impose au sous-traitant de garantir « un niveau de sécurité approprié », en fonction de la sensibilité des données traitées. Or, des audits menés en 2021 avaient établi la présence de vulnérabilités dans le code utilisé, que l’éditeur n’avait pas corrigé. La Cnil reproche également à Nexpublica des mécanismes de chiffrement obsolètes et une traçabilité insuffisante des accès aux données.