Un article de la loi de modernisation du système de santé dispose que tous les incidents de sécurité doivent être rapportés à l'ARS, qui les agrège au niveau national. Les incidents peuvent concerner le système d'information lui-même ou résulter d'une effraction qui donne accès à des données personnelles. Dans le second cas, la CNIL sera-t-elle saisie de ces incidents ?