La Commission nationale de l’informatique et des libertés (CNIL) a condamné l’Hôpital privé de la Loire à une amende de 500 000 euros pour ne pas avoir suffisamment protégé les données de ses patients. Cette sanction fait suite à une cyberattaque survenue durant l’été 2025 qui avait entraîné la violation des données personnelles de plus de 500 000 patients, dont des données de santé, ainsi que de plus de 200 000 tiers de confiance habilités par les patients à consulter leur dossier médical.
Des failles de sécurité pointées par le régulateur
Dans un communiqué, la CNIL dénonce une « méconnaissance de principes essentiels en matière de sécurité » de la part de l’hôpital. L’autorité relève notamment que l’accès au dossier médical des patients pour des personnes externes à l’hôpital, comme les médecins généralistes, n’était pas suffisamment sécurisé. Cela s’explique par l’absence de VPN et de moyen d’authentification multifacteur. C’est par cette faille que le pirate a pu accéder aux données des patients.
La CNIL reproche également à l’hôpital l’absence de dispositif de détection des activités informatiques suspectes, précisant que « l’attaquant a pu explorer les dossiers des patients de l’hôpital durant plusieurs jours et extraire un volume très important de données, sans que cette activité anormale soit détectée ». L’autorité souligne enfin que l’établissement n’a pas informé les tiers de confiance désignés par les patients, alors que ceux-ci étaient habilités à accéder à leurs données de santé.
La CNIL a constaté deux manquements au Règlement général sur la protection des données (RGPD), portant sur l’obligation d’assurer la sécurité des données et sur l’obligation d’informer les victimes en cas de violation. L’autorité a exigé que l’établissement mette en place des mesures de sécurisation dans un délai de trois à 15 mois, selon le type de mesures concernées, sous peine de pénalités journalières.
