500 000 € d'amende : à l'Hôpital privé de la Loire, un seul compte a suffi

Par une délibération du 21 juillet 2026, publiée sur Légifrance le 3 septembre 2026, la formation restreinte de la CNIL a prononcé une amende de 500 000 euros contre l'Hôpital privé de la Loire, à Saint-Étienne, établissement du groupe Ramsay Santé. Elle retient deux manquements au RGPD : une sécurité insuffisante des données, au titre de l'article 32, et une information incomplète des personnes concernées par la violation, au titre de l'article 34.

Il faut comprendre ce que cette décision sanctionne, et ce qu'elle ne sanctionne pas.

Être victime d'une cyberattaque ne prouve pas, à lui seul, un manquement au RGPD. La CNIL le rappelle expressément : l'obligation de sécurité est une obligation de moyens. L'analyse porte sur les protections effectivement mises en œuvre, leur adéquation aux risques et leur capacité à réduire la probabilité d'une violation ou à en limiter les conséquences.

Dans cette affaire, ce sont précisément ces protections qui ont été jugées insuffisantes.

Ce qui a été exfiltré : les chiffres, sans les déformer

Le 26 juin 2025, un attaquant se connecte au dossier patient informatisé, ou DPI, avec les identifiants du compte d'un médecin libéral rattaché à l'établissement. Entre le 26 juin et le 1er juillet, il extrait 524 867 fiches patients. Le 1er juillet, le signalement d'un praticien rencontrant un problème de connexion déclenche les investigations de l'hôpital, qui notifie la violation à la CNIL le 4 juillet. Un contrôle sur place a lieu le 29 juillet 2025.

Le paragraphe 12 de la délibération détaille le contenu des fiches exfiltrées :

Ces catégories se recoupent : elles ne doivent pas être additionnées. Et 524 867 fiches patients exfiltrées ne signifie pas 524 867 dossiers médicaux complets dérobés. La précision n'atténue pas la gravité de l'incident ; elle permet de la décrire correctement.

Trois défaillances ont permis ou aggravé l'attaque

La formation restreinte raisonne selon le principe de défense en profondeur de l'ANSSI : la sécurité ne doit pas reposer sur un seul élément. Elle examine donc, l'une après l'autre, les barrières qui auraient dû compenser la compromission d'un mot de passe.

1. Un accès distant insuffisamment protégé

Au moment de la violation, environ 450 utilisateurs externes, praticiens libéraux, secrétariats et certains salariés de l'éditeur, pouvaient accéder au DPI par Internet avec un identifiant et un mot de passe, sans connexion préalable à un VPN ni authentification à deux facteurs. La CNIL constate également que la version du logiciel déployée proposait une authentification multifacteur qui n'avait pas été mise en place.

L'attaquant a exploité cette faiblesse. La CNIL souligne qu'un second facteur aurait constitué un obstacle supplémentaire : détenir le mot de passe n'aurait pas suffi si l'attaquant ne disposait pas également de ce facteur. Elle constate toutefois que l'établissement a ensuite déployé une authentification multifacteur et s'est mis en conformité sur ce point.

Il ne faut pas transformer cette analyse en formule universelle imposant mécaniquement « VPN + MFA » à chaque niveau. Le référentiel d'identification électronique des services numériques en santé, rendu opposable par l'arrêté du 28 mars 2022 et cité par la décision, prévoit notamment qu'une authentification à deux facteurs à l'ouverture du VPN dispense de l'exiger à nouveau pour les services accessibles par ce VPN. L'exigence porte sur la protection effective du parcours d'accès.

2. Des droits d'accès définis par métier, mais pas par patient

L'hôpital disposait bien d'une matrice d'habilitations distinguant les métiers et les modules du DPI. Le problème était ailleurs : les dossiers n'étaient pas cloisonnés selon les patients effectivement pris en charge.

Un praticien pouvait ainsi accéder aux fiches de l'ensemble des patients, pour les modules auxquels son profil lui donnait accès, même sans participer à leur prise en charge. La CNIL considère que cette carence a directement contribué à l'ampleur de la violation : avec un cloisonnement, la fuite se serait limitée aux patients du médecin dont les identifiants avaient été dérobés.

Une politique d'habilitations doit donc répondre à deux questions différentes : quelles informations ce professionnel peut-il consulter au regard de ses fonctions, et pour quels patients a-t-il besoin de les consulter ? C'est la notion d'équipe de soins des articles L. 1110-4 et L. 1110-12 du code de la santé publique, que la CNIL rappelait déjà dans sa délibération du 29 octobre 2021 sur la gestion des habilitations et que la PGSSI-S de l'Agence du numérique en santé décline pour les établissements. Les situations d'urgence peuvent être prises en compte par un mécanisme de « bris de glace », dont l'utilisation doit être tracée et surveillée.

L'hôpital objectait que son logiciel ne permettait pas ce cloisonnement. La réponse de la formation restreinte mérite d'être retenue mot pour mot : « les limites techniques du logiciel ne constituent pas un fait exonératoire pour le responsable de traitement, ce dernier devant s'assurer que l'outil choisi est conforme à l'état de l'art ».

3. Une extraction massive qui n'a pas déclenché l'alerte attendue

L'analyse réalisée après l'incident a révélé une phase de reconnaissance d'environ douze heures, comportant 665 requêtes, puis une extraction automatique sur cinq jours. La CNIL calcule une moyenne de 73 fiches patients consultées par minute. Cette activité anormale n'a pas été détectée ; seul le signalement d'un utilisateur a permis de révéler la violation.

L'hôpital disposait pourtant d'un dispositif de détection sur les postes et serveurs, d'un centre d'opérations de sécurité et de journaux applicatifs. Mais ces journaux n'étaient exploités qu'à la demande, et la charge réseau générée par l'attaque n'a pas franchi les seuils des outils en place. La formation restreinte souligne qu'un enregistrement et une analyse automatique des traces applicatives auraient pu permettre de repérer le volume anormal de consultations depuis un même compte, en temps réel ou à court terme, et d'interrompre plus rapidement l'exfiltration.

Conserver des traces permet de comprendre ce qui s'est passé. Les exploiter rapidement peut permettre d'agir pendant que cela se passe.

Le contrôle révèle deux autres carences

Un même mot de passe temporaire pour tous les praticiens externes. Après la découverte de l'incident, l'hôpital réinitialise les mots de passe des utilisateurs externes. Il attribue un mot de passe temporaire identique à tous, transmis au président de la commission médicale d'établissement, chargé de le redistribuer. Valable une semaine, ce mot de passe devait être modifié lors de la première connexion.

L'établissement invoquait l'urgence, la continuité des soins et les limites techniques du logiciel. La décision rappelle néanmoins qu'un mot de passe, même temporaire, doit être transmis dans des conditions garantissant sa confidentialité, et qualifie la pratique de négligence. La gestion de crise ne dispense pas de cette exigence.

Un accès permanent de l'éditeur au DPI. La CNIL relève également que les salariés de l'éditeur pouvaient accéder au DPI de leur propre initiative, sans autorisation préalable de l'hôpital. Elle considère que ces droits dépassaient les nécessités de leur mission d'assistance et de maintenance.

Point important : le passage ultérieur par un serveur bastion n'a pas suffi à corriger ce manquement. Le problème ne concernait pas seulement la sécurisation de la connexion, mais le droit d'accéder aux données sans validation préalable. La CNIL exige un dispositif technique empêchant cet accès tant que l'établissement ne l'a pas autorisé.

Une connexion sécurisée ne rend pas automatiquement légitime l'accès qu'elle permet.

Le détail à ne pas manquer : le risque figurait déjà dans l'AIPD

La délibération rapporte qu'une analyse d'impact relative à la protection des données, réalisée en 2021, avait déjà identifié l'absence de cloisonnement des dossiers comme une menace majeure d'accès illégitime. Elle évaluait la gravité du risque comme maximale, tout en considérant sa vraisemblance comme limitée.

Ce constat appelle une distinction essentielle : identifier une vulnérabilité n'équivaut pas à la corriger. Dans cette affaire, la CNIL relève que l'hôpital connaissait la gravité du risque et qu'il lui appartenait de mettre en œuvre des mesures de sécurité à sa hauteur. C'est sur ce point qu'elle fonde le caractère négligent des manquements.

Notre recommandation opérationnelle est simple : pour chaque risque important identifié dans une AIPD, la revue de conformité devrait permettre de retrouver la mesure décidée, son responsable, son échéance, son état de déploiement et les éléments démontrant son efficacité.

Une AIPD doit aider à piloter la protection des personnes, pas seulement à documenter leur exposition.

Les tiers de confiance avaient, eux aussi, droit à l'information

Sur l'information des patients, la décision est explicite : la CNIL reconnaît la conformité de la communication réalisée par l'établissement, par communiqué, 126 000 courriels, 210 000 SMS et 88 000 courriers postaux. Il serait donc inexact d'affirmer que l'hôpital n'a informé personne.

En revanche, aucune information directe n'a été délivrée aux 202 246 personnes désignées comme tiers de confiance, dont les données avaient également été appréhendées.

L'hôpital estimait que ces informations, jugées parcellaires, ne créaient pas de risque élevé. La CNIL retient une autre analyse : les noms, coordonnées et liens de parenté doivent être appréciés avec les informations du patient auquel ils sont rattachés. Cet ensemble peut notamment être utilisé pour des opérations d'hameçonnage ou d'usurpation d'identité. Il s'agit de risques identifiés par l'autorité, et non de fraudes dont la décision établirait qu'elles ont effectivement eu lieu.

Le communiqué publié sur le site de l'hôpital n'a pas été jugé suffisant pour informer ces personnes. Plus généralement, l'article 34 prévoit une communication aux personnes lorsqu'une violation est susceptible d'engendrer un risque élevé, sous réserve des exceptions qu'il encadre. Une communication publique ne remplace donc pas librement une information directe ; en cas d'efforts disproportionnés, elle doit permettre une information tout aussi efficace.

L'enseignement opérationnel dépasse ce dossier : lors d'une violation, il faut recenser les personnes dont les données sont compromises, pas seulement les titulaires des dossiers.

Attention à ne pas confondre les deux communications

La notification à la CNIL, prévue par l'article 33, intervient dans les meilleurs délais et, si possible, au plus tard 72 heures après avoir pris connaissance de la violation, sauf si celle-ci n'est pas susceptible d'engendrer un risque pour les droits et libertés. Un retard doit être motivé.

La communication aux personnes, prévue par l'article 34 en cas de risque élevé, intervient dans les meilleurs délais. Cet article ne fixe pas un délai général de 72 heures. Ce sont deux obligations distinctes.

La sanction : 500 000 euros et trois mesures imposées sous astreinte

Pour fixer le montant, la formation restreinte a raisonné à l'échelle de l'unité économique à laquelle appartient l'établissement, c'est-à-dire du groupe Ramsay Santé, conformément à la jurisprudence de la Cour de justice de l'Union européenne. C'est ce qui explique qu'un hôpital dont les comptes sont déficitaires se voie infliger 500 000 euros. L'amende s'accompagne d'une injonction de mise en conformité comportant trois mesures, chacune assortie d'une astreinte de 1 000 euros par jour de retard :

L'établissement doit transmettre les justificatifs de sa mise en conformité. La décision prévoit également une publication sur les sites de la CNIL et de Légifrance, avec suppression de l'identification nominative de la société après deux ans.

Ces délais concernent cette affaire. Ils ne constituent pas un délai de grâce offert aux autres établissements. De même, 500 000 euros n'est pas un tarif automatique : la CNIL apprécie notamment la gravité des manquements, les démarches de mise en conformité et les capacités économiques du destinataire de la sanction.

Sept vérifications à mettre à l'ordre du jour de votre établissement

Les contrôles ci-dessous constituent notre traduction opérationnelle des enseignements de la décision. Ils ne remplacent ni l'analyse des risques propre à chaque établissement ni l'examen des référentiels applicables.

Pour éprouver cet ensemble, nous recommandons un exercice de crise associant direction, équipes informatiques, sécurité, DPO et représentants des métiers. Sa fréquence doit être adaptée au contexte : la décision n'instaure pas une obligation générale d'organiser exactement un exercice par an.

La question à poser avant le prochain incident

Cette affaire ne démontre pas qu'un établissement pourrait garantir l'absence de toute cyberattaque. Elle illustre l'importance de protections complémentaires : sécuriser l'entrée, limiter les données accessibles, détecter les comportements anormaux, maîtriser les accès des prestataires et informer les personnes exposées.

Pour votre prochaine revue de conformité, ne demandez pas seulement si les procédures existent. Demandez une démonstration de leur fonctionnement.

Si un compte est compromis demain, quels dossiers resteront protégés, quelle alerte sera déclenchée et qui interviendra ? C'est sur ces réponses concrètes que devrait commencer la discussion.

Cet article présente les constats de la délibération SAN-2026-009 du 21 juillet 2026 et en distingue les recommandations opérationnelles de notre rédaction. La décision prévoit la possibilité d'un recours devant le Conseil d'État dans les deux mois suivant sa notification ; elle n'est pas présentée ici comme une décision juridictionnelle définitive.