Hôpital privé de la Loire : 500 000 € d'amende pour une intrusion que rien n'a arrêtée, ni détectée

Le 3 septembre 2026, la CNIL a rendu publique une sanction de 500 000 euros contre l'Hôpital privé de la Loire, établissement stéphanois, pour ne pas avoir pris les mesures propres à garantir la sécurité des données de ses patients et de leurs proches. La délibération de la formation restreinte, numérotée SAN-2026-009 et datée du 21 juillet 2026, retient deux manquements au RGPD : la sécurité des traitements (article 32) et l'information des personnes après une violation (article 34). Elle s'accompagne de deux injonctions sous astreinte et d'une publication nominative pendant deux ans.

Au-delà du montant, cette décision est un cas d'école pour tout établissement de santé : elle décrit, faille par faille, ce que la CNIL considère comme des « principes essentiels de sécurité » et ce qu'elle attend d'un responsable de traitement qui vient d'être attaqué.

Les faits : un accès distant, un seul compte, tout le dossier patient

À l'été 2025, entre la fin du mois de juin et le début du mois de juillet, un attaquant se connecte au dossier patient informatisé (DPI) de l'établissement par le service d'accès à distance mis à disposition des praticiens, en utilisant les identifiants compromis d'un médecin libéral. Le DPI centralise l'ensemble des données des personnes prises en charge. L'attaquant accède aux données de 524 867 patients, dont des données de santé pour une partie d'entre eux, et de 202 246 personnes désignées comme « personnes de confiance ».

Pendant près d'une semaine, il parcourt les dossiers et exécute un nombre extrêmement élevé de requêtes, extrayant un très grand volume de données, sans qu'aucune activité anormale ne soit détectée. La violation est ensuite notifiée à la CNIL, qui procède à un contrôle et relève plusieurs manquements.

Premier manquement (article 32) : trois défauts élémentaires de sécurité

La CNIL retient d'abord une authentification insuffisamment robuste pour les utilisateurs externes, au premier rang desquels les médecins libéraux : ni réseau privé virtuel (VPN), ni authentification multifacteur. Un identifiant et un mot de passe volés suffisaient à entrer depuis l'extérieur.

Elle relève ensuite une politique d'habilitation qui ne tenait pas compte de la notion d'équipe de soins : un seul compte utilisateur donnait accès aux dossiers de tous les patients de l'établissement, qu'il les ait pris en charge ou non. C'est ce défaut qui a transformé la compromission d'un compte en fuite de plus de 700 000 personnes.

Enfin, l'établissement n'avait pas activé d'analyse automatisée, en temps réel, des journaux applicatifs du DPI. Faute de supervision, des jours d'extraction massive sont passés inaperçus. La délibération pointe également la procédure de réinitialisation adoptée après l'incident : un mot de passe temporaire identique pour tous les praticiens, transmis par l'intermédiaire du président de la commission médicale d'établissement plutôt qu'à chacun directement.

Second manquement (article 34) : les personnes de confiance oubliées

Après la violation, l'établissement a informé ses patients. Il n'a en revanche adressé aucune information directe aux 202 246 personnes de confiance dont les données avaient elles aussi été exfiltrées : nature de l'attaque, conséquences probables, mesures à prendre. La formation restreinte y voit un manquement à l'article 34 du RGPD.

La leçon dépasse ce dossier. Un DPI ne contient pas que des patients : personnes de confiance, personnes à prévenir, représentants légaux, parfois professionnels correspondants. Toutes sont des personnes concernées au sens du RGPD. Un plan de communication de crise qui ne les recense pas est incomplet par construction.

La sanction : 500 000 €, deux injonctions sous astreinte, deux ans de publicité

Pour fixer l'amende, la CNIL a tenu compte de la méconnaissance de principes essentiels de sécurité, du nombre de personnes concernées, de la nature des données compromises et des capacités financières de l'établissement. Elle a assorti l'amende de deux injonctions : mettre en place une journalisation effective des accès au DPI dans un délai de trois mois, et procéder à une revue complète des habilitations d'accès au DPI dans un délai de quinze mois. Chaque retard est sanctionné d'une astreinte de 1 000 euros par jour.

La décision est en outre publiée sous forme nominative pendant deux ans. Pour un établissement de soins, cette publicité pèse au moins autant que le montant : patients, praticiens libéraux, tutelles et assureurs y ont accès.

Pourquoi cette décision compte davantage que son montant

Être victime d'une cyberattaque n'exonère pas le responsable de traitement : c'est la constante des décisions de la CNIL depuis Dedalus Biologie en 2022, et cette délibération l'applique cette fois à un établissement de soins, non plus à un éditeur ou à un sous-traitant. L'établissement n'est pas sanctionné pour avoir été attaqué, mais parce que les mesures qui auraient contenu l'attaque étaient élémentaires, connues et absentes.

Le second enseignement tient à l'articulation des trois défauts. Pris isolément, aucun n'aurait produit une fuite de cette ampleur : l'authentification faible a ouvert la porte, l'absence de cloisonnement des habilitations a rendu tous les dossiers accessibles, l'absence de supervision a laissé le temps d'exfiltrer. La sécurité d'un DPI se juge en profondeur, pas mesure par mesure.

Le troisième est calendaire. La CNIL a fixé des délais courts et concrets : trois mois pour la journalisation, quinze mois pour les habilitations. Ce sont, de fait, les délais qu'elle considère raisonnables pour n'importe quel établissement qui découvrirait aujourd'hui les mêmes lacunes.

Les sept vérifications à mener dans votre établissement

1. Authentification multifacteur sur tous les accès distants au DPI et aux applications métier, praticiens libéraux et prestataires inclus, derrière un VPN ou un bastion. 2. Habilitations fondées sur l'équipe de soins et le rôle : un professionnel n'accède qu'aux dossiers des patients qu'il prend en charge, avec une procédure de « bris de glace » tracée pour l'urgence. 3. Journalisation des accès au DPI et analyse automatisée en temps réel, avec alertes sur les volumes de requêtes, les horaires et les exports anormaux. 4. Revue périodique des comptes : suppression des accès des praticiens partis, des comptes génériques et des mots de passe partagés.

5. Procédure de réinitialisation individuelle des mots de passe, jamais un secret commun transmis par un tiers. 6. Cartographie de toutes les personnes présentes dans le DPI, personnes de confiance et à prévenir comprises, pour être capable de les informer sous les délais de l'article 34. 7. Un exercice de crise par an, sur table, qui teste à la fois la détection, la notification à la CNIL sous 72 heures et la communication aux personnes.

Aucune de ces mesures n'est nouvelle. Toutes figurent dans les référentiels que les établissements connaissent déjà. Ce que cette décision change, c'est le coût désormais chiffré de leur absence : 500 000 euros, deux ans de publicité et une supervision de la CNIL sous astreinte.