Données de santé : 500 000 euros d'amende pour l'Hôpital Privé de la Loire

Le 3 septembre 2026, la CNIL a rendu publique une sanction de 500 000 euros contre l'HÔPITAL PRIVÉ DE LA LOIRE, après l'intrusion d'un attaquant dans son dossier patient informatisé au cours de l'été 2025. Les données de 524 867 patients, dont des données de santé pour certains, et de 202 246 personnes désignées comme « tiers de confiance » ont été exposées. Deux manquements sont retenus, à l'article 32 et à l'article 34 du RGPD, et leur détail vaut check-list bien au-delà de l'hôpital.

Ce que la CNIL reproche à l'Hôpital Privé de la Loire

Au cours de l'été 2025, un attaquant est parvenu à se connecter au dossier patient informatisé (DPI) de l'établissement, l'applicatif qui centralise, selon la CNIL, « l'ensemble des données des personnes prises en charge ». La violation a déclenché un contrôle. La formation restreinte, l'organe de la CNIL qui prononce les sanctions, a constaté qu'au jour de la violation l'hôpital n'avait pas mis en œuvre certaines « mesures élémentaires de sécurité qui auraient pu rendre l'attaque plus difficile ». Elle en détaille trois.

• Ni VPN ni authentification multifacteur pour les utilisateurs externes à l'hôpital, notamment les médecins libéraux. La CNIL écrit que « l'attaquant a profité de cette vulnérabilité pour accéder aux données ».
• Une politique d'habilitation inadéquate, qui ne tenait pas compte de la notion d'équipe de soins. Conséquence relevée par la formation restreinte : avec les identifiants d'un seul compte utilisateur, l'attaquant a pu accéder aux données de l'intégralité des patients.
• Aucune mesure de détection d'activité suspecte dans le DPI, en temps réel ou à très court terme, ni mécanisme d'alerte. L'attaquant a pu explorer le dossier patient « durant plusieurs jours » et en extraire un volume très important de données sans être repéré.

Le second manquement porte sur l'information des personnes. Seuls les patients concernés ont été informés : rien n'a été adressé directement aux 202 246 tiers de confiance, dont les données avaient elles aussi été dérobées. Cette omission, écrit la CNIL, les a privées de quoi comprendre la nature de l'attaque, ses conséquences probables et les mesures pour s'en prémunir. Le montant tient compte « de la méconnaissance de principes essentiels en matière de sécurité, du nombre de personnes concernées, de la nature des données compromises et de ses capacités financières ». L'hôpital ayant engagé des mesures de renforcement en cours de procédure, la formation restreinte a exigé qu'il les achève « dans des délais compris entre trois et quinze mois ». La décision est la délibération n° SAN-2026-009, datée du 21 juillet 2026.

Pourquoi cette décision dépasse le cas de l'hôpital

Aucun des trois manquements n'est propre à la santé. L'article 32 du RGPD impose des mesures appropriées au risque, et c'est sur cette appréciation que la formation restreinte s'appuie : compte tenu du nombre et de la nature des données traitées, les mesures déployées ne suffisaient pas à en assurer la confidentialité. Elle rappelle que « même s'il est impossible d'éliminer tout risque, des mesures de sécurité adaptées peuvent en réduire la probabilité et la gravité ». Être visé par une attaque n'est pas la faute sanctionnée ; ne pas l'avoir rendue plus difficile, si.

Le raisonnement sur les habilitations vaut pour les DPO hors santé. Ce qui est sanctionné n'est pas un accès accordé à tort, mais une politique qui ne segmente pas et transforme la compromission d'un compte en compromission de la base entière. La transposition vers un CRM d'assureur, un SIRH ou un référentiel client bancaire est immédiate.

La CNIL n'en est pas à sa première décision sur les données de santé : elle a sanctionné IQVIA sur ses entrepôts de données de santé, et imposé l'authentification multifacteur en refondant les référentiels MR-001 et MR-003 de la recherche en santé. Sur le volet information, l'article 34 vise la personne concernée, pas le client : figurer dans la base suffit à entrer dans le périmètre, même sans relation directe avec l'organisation.

Ce que ça change pour les organisations

• Recenser les accès externes aux applicatifs métier, praticiens, prestataires, mainteneurs, partenaires, et vérifier que chacun passe par un tunnel chiffré et une authentification multifacteur.
• Reprendre la politique d'habilitation en partant d'une question : qu'obtient un attaquant qui compromet un seul compte ? Si la réponse est « toute la base », le cloisonnement est à refaire.
• Ne pas s'arrêter à la journalisation. Ce que la CNIL reproche ici, c'est l'absence de détection à très court terme et d'alerte : une extraction massive doit produire un signal, et quelqu'un doit le lire.
• Élargir la cartographie au-delà du fichier clients : ayants droit, tiers de confiance, bénéficiaires, contacts d'urgence, et vérifier qu'on sait les joindre. Ce sont eux qui ont coûté le manquement à l'article 34. Le guide Leto sur la réaction à une violation détaille le séquencement.

Ce que Leto en pense

Cette décision n'invente rien, et c'est ce qui la rend utile : la formation restreinte qualifie elle-même d'élémentaires les mesures absentes, et aucune ne suppose un budget de grand groupe. Ce qui manque dans ce type de dossier, c'est rarement la connaissance de la règle, c'est la capacité à dire au moment du contrôle quels accès existent, qui les détient et ce qu'ils ouvrent. Beaucoup de DPO tiennent encore cet inventaire dans des tableurs, qui vieillissent plus vite que le système d'information. C'est là qu'un outil change l'équation, et c'est ce que nous montrons en démo.

Sources

• CNIL, « Violation de données en matière de santé : sanction de 500 000 euros à l'encontre de l'HÔPITAL PRIVÉ DE LA LOIRE », 3 septembre 2026
• EDPB, « Health data breach: the CNIL fined Hôpital Privé de la Loire 500 000 EUR », 9 septembre 2026
• Légifrance, délibération de la formation restreinte n° SAN-2026-009 du 21 juillet 2026