La CNIL a rendue publique le 3 septembre 2026 une amende de 500 000 euros contre l’Hôpital privé de la Loire, sanctionné pour un défaut de sécurité ayant exposé les données de plus de 700 000 personnes lors d’une intrusion à l’été 2025.
La décision, portée par la délibération SAN-2026-009 du 21 juillet 2026, place à nouveau le secteur hospitalier au centre des priorités de contrôle de l’autorité française. Elle intervient alors que les établissements de soins figurent parmi les cibles les plus exposées aux cyberattaques, et que la CNIL a fait de la sécurité des données de santé un axe répété de ses sanctions.
Une intrusion passée inaperçue pendant plusieurs jours
Selon la CNIL, un attaquant s’est connecté au dossier patient informatisé (DPI) de l’établissement, qui centralise l’ensemble des données des personnes prises en charge. L’intrusion a débuté fin juin 2025 à partir des identifiants d’un praticien libéral compromis, et s’est poursuivie plusieurs jours durant, jusqu’à ce qu’un médecin signale début juillet des difficultés de connexion.
Durant cette fenêtre, l’attaquant a accédé aux données de 524 867 patients et de 202 246 personnes désignées comme « tiers de confiance », soit plus de 700 000 individus au total. La plupart des enregistrements comportaient état civil, numéro de sécurité sociale et coordonnées complètes ; pour environ 46 000 dossiers, des copies de pièces d’identité figuraient parmi les informations consultées, et un nombre plus réduit contenait des données de santé détaillées. Les proches enregistrés comme contacts n’ont pas été informés de la violation, relève l’autorité.
Une authentification jugée insuffisante
La formation restreinte de la CNIL a retenu plusieurs manquements à l’obligation de sécurité prévue par l’article 32 du RGPD. Elle pointe l’absence de dispositif d’authentification renforcée pour les utilisateurs externes, comme les médecins libéraux, alors que la solution logicielle proposait cette fonction depuis 2024. Aucun VPN ni authentification multifacteur n’encadrait ces accès distants.
L’autorité reproche également une politique d’habilitations défaillante : n’importe quel praticien pouvait consulter l’ensemble des dossiers, sans cloisonnement par équipe de soins. L’éditeur du logiciel bénéficiait par ailleurs d’un accès permanent au système, sans autorisation préalable encadrée. Enfin, l’établissement ne disposait d’aucun mécanisme de détection en temps réel des activités suspectes, ce qui a permis à l’intrus d’extraire un volume important de données sans être repéré. Ce n’est qu’au signalement d’un praticien, plusieurs jours après le début de l’intrusion, que la compromission a été identifiée.
Des mesures correctrices assorties d’une astreinte
Au-delà de l’amende, la CNIL a enjoint l’hôpital de revoir l’intégralité de sa politique d’habilitations d’accès au DPI dans un délai de quinze mois, et de déployer une journalisation effective des accès dans les trois mois. Le non-respect de ces obligations est assorti d’une astreinte de 1 000 euros par jour de retard.
Le montant de 500 000 euros a été fixé en tenant compte, selon l’autorité, « de la méconnaissance de principes essentiels en matière de sécurité, du nombre de personnes concernées, de la nature des données compromises et de ses capacités financières ». La CNIL a choisi de nommer publiquement l’établissement, une décision réservée aux cas jugés les plus graves au regard de l’ampleur et de la sensibilité des données touchées.
Un secteur hospitalier sous surveillance
La sanction s’inscrit dans une série de décisions visant des acteurs de la santé, où la CNIL considère que la sensibilité des informations impose un niveau d’exigence élevé. L’autorité rappelle régulièrement que, s’il est impossible d’éliminer tout risque, des mesures de sécurité adaptées permettent d’en réduire la probabilité et la gravité.
D’après les informations relayées par Clubic, l’établissement affirme avoir « déjà corrigé certaines défaillances depuis l’attaque », sans détailler les mesures engagées. Il dispose d’un délai pour contester la décision devant le Conseil d’État. Interrogée sur d’éventuelles suites, la direction de l’hôpital n’a pas communiqué publiquement au-delà de cette mention. La délibération a été rendue publique le 3 septembre 2026.
