CNIL : 500 000 € d'amende pour l'Hôpital Privé de la Loire

CNIL : 500 000 € d'amende pour l'Hôpital Privé de la Loire après une violation massive de données de santé

Le 3 septembre 2026, la CNIL a prononcé une amende de 500 000 euros à l'encontre de l'Hôpital Privé de la Loire. Cette sanction fait suite à une violation de données survenue au cours de l'été 2025, au cours de laquelle un attaquant a réussi à accéder au dossier patient informatisé (DPI) de l'établissement — le système centralisant l'ensemble des informations des personnes prises en charge.

Une violation aux proportions considérables

L'intrusion a permis à l'attaquant d'accéder aux données de 524 867 patients, dont certaines données particulièrement sensibles au sens du RGPD, ainsi qu'aux données de 202 246 personnes désignées comme « tiers de confiance ». L'ampleur de la violation, la nature des données compromises — relevant du secret médical — et les capacités financières de l'établissement ont tous été pris en compte par la formation restreinte de la CNIL pour fixer le montant de la sanction.

Trois manquements à l'article 32 du RGPD

À l'issue d'un contrôle, la CNIL a identifié plusieurs défaillances dans les mesures de sécurité de l'hôpital :

Authentification insuffisante : la procédure de connexion au DPI pour les utilisateurs externes, notamment les médecins libéraux, ne s'appuyait ni sur un VPN ni sur un dispositif d'authentification renforcée. L'attaquant a exploité cette vulnérabilité pour s'introduire dans le système.
Politique d'habilitation inadéquate : l'établissement n'avait pas appliqué le principe de limitation d'accès en fonction des équipes de soins. Ainsi, un seul compte utilisateur compromis a suffi à l'attaquant pour consulter les données de la totalité des patients de l'hôpital, en violation du secret médical.
Absence de détection en temps réel : aucune mesure ne permettait de détecter des activités anormales au sein du DPI ni de déclencher une alerte à court terme, retardant d'autant la réaction de l'établissement.

Les enseignements pour les organisations traitant des données sensibles

CNIL : 500 000 € d'amende pour l'Hôpital Privé de la Loire après une violation massive de données de santé

Une violation aux proportions considérables

Trois manquements à l'article 32 du RGPD

À l'issue d'un contrôle, la CNIL a identifié plusieurs défaillances dans les mesures de sécurité de l'hôpital :

Authentification insuffisante : la procédure de connexion au DPI pour les utilisateurs externes, notamment les médecins libéraux, ne s'appuyait ni sur un VPN ni sur un dispositif d'authentification renforcée. L'attaquant a exploité cette vulnérabilité pour s'introduire dans le système.

Politique d'habilitation inadéquate : l'établissement n'avait pas appliqué le principe de limitation d'accès en fonction des équipes de soins. Ainsi, un seul compte utilisateur compromis a suffi à l'attaquant pour consulter les données de la totalité des patients de l'hôpital, en violation du secret médical.

Absence de détection en temps réel : aucune mesure ne permettait de détecter des activités anormales au sein du DPI ni de déclencher une alerte à court terme, retardant d'autant la réaction de l'établissement.

CNIL : 500 000 € d'amende pour l'Hôpital Privé de la Loire après une violation de données de santé