CNIL : 500 000 € d'amende pour l'Hôpital Privé de la Loire après une violation massive de données de santé

Le 3 septembre 2026, la CNIL a prononcé une amende de 500 000 euros à l'encontre de l'Hôpital Privé de la Loire. Cette sanction fait suite à une violation de données survenue au cours de l'été 2025, au cours de laquelle un attaquant a réussi à accéder au dossier patient informatisé (DPI) de l'établissement — le système centralisant l'ensemble des informations des personnes prises en charge.

Une violation aux proportions considérables

L'intrusion a permis à l'attaquant d'accéder aux données de 524 867 patients, dont certaines données particulièrement sensibles au sens du RGPD, ainsi qu'aux données de 202 246 personnes désignées comme « tiers de confiance ». L'ampleur de la violation, la nature des données compromises — relevant du secret médical — et les capacités financières de l'établissement ont tous été pris en compte par la formation restreinte de la CNIL pour fixer le montant de la sanction.

Trois manquements à l'article 32 du RGPD

À l'issue d'un contrôle, la CNIL a identifié plusieurs défaillances dans les mesures de sécurité de l'hôpital :

• Authentification insuffisante : la procédure de connexion au DPI pour les utilisateurs externes, notamment les médecins libéraux, ne s'appuyait ni sur un VPN ni sur un dispositif d'authentification renforcée. L'attaquant a exploité cette vulnérabilité pour s'introduire dans le système.
• Politique d'habilitation inadéquate : l'établissement n'avait pas appliqué le principe de limitation d'accès en fonction des équipes de soins. Ainsi, un seul compte utilisateur compromis a suffi à l'attaquant pour consulter les données de la totalité des patients de l'hôpital, en violation du secret médical.
• Absence de détection en temps réel : aucune mesure ne permettait de détecter des activités anormales au sein du DPI ni de déclencher une alerte à court terme, retardant d'autant la réaction de l'établissement.

Les enseignements pour les organisations traitant des données sensibles

Cette décision envoie un signal clair à toutes les structures — établissements de santé, mais aussi toute entreprise conservant des données contractuelles ou des documents signés électroniquement — qui hébergent des informations sensibles accessibles à distance.

La CNIL rappelle ici que l'article 32 du RGPD impose des mesures techniques et organisationnelles appropriées, proportionnées aux risques. L'absence d'authentification multifacteur pour des accès distants à des données de santé, l'insuffisance des habilitations et le défaut de supervision en temps réel constituent des manquements que l'autorité considère comme élémentaires.

Pour les entreprises qui gèrent des archives de documents signés ou des dossiers contractuels dématérialisés, cette sanction rappelle l'importance de sécuriser chaque point d'accès distant, de limiter strictement les droits d'accès selon le principe du moindre privilège, et de mettre en place des mécanismes de détection d'anomalies.

Source : https://www.cnil.fr/fr/sanction-hopital-prive-loire