La Commission nationale de l’informatique et des libertés (CNIL) a infligé une amende de 500 000 euros à l’hôpital privé de la Loire en raison de la protection insuffisante des données de ses patients. Cette sanction fait suite à une cyberattaque survenue durant l’été 2025, ayant conduit à la violation des données personnelles de plus de 500 000 patients, incluant des informations de santé, ainsi que celles de plus de 200 000 tiers de confiance que les patients avaient autorisés à consulter leur dossier médical.
Des lacunes de sécurité mises en lumière par le régulateur
Dans un communiqué de presse, la CNIL souligne un « manque de connaissance des principes essentiels de sécurité » de l’hôpital. L’autorité a notamment observé que l’accès aux dossiers médicaux des patients pour les personnes extérieures, telles que les médecins généralistes, n’était pas suffisamment sécurisé. Ce constat est lié à l’absence d’un accès via VPN et de mécanismes d’authentification multifacteur. C’est grâce à cette vulnérabilité que le pirate a pu accéder aux données sensibles des patients.
La CNIL critique également l’absence de systèmes de détection des activités suspectes sur le réseau, en précisant que « l’attaquant a pu explorer pendant plusieurs jours les dossiers des patients de l’hôpital et en extraire un très grand volume de données, sans que cette activité anormale ne soit détectée ». Par ailleurs, l’autorité met en évidence que l’établissement n’a pas informé les tiers autorisés par les patients, malgré leur droit d’accès à leurs données de santé.
La CNIL a identifié deux violations du Règlement Général sur la Protection des Données (RGPD), liées à l’obligation d’assurer la sécurité des données ainsi qu’à l’obligation d’informer les victimes en cas de violation. L’autorité a exigé que l’établissement mette en œuvre des mesures de sécurité dans un délai de trois à quinze mois, selon la nature des mesures, sous peine de sanctions financières quotidiennes.
