Blog Données personnelles
L’Hôpital privé de la Loire sanctionné lourdement par la CNIL pour une négligence de sécurité ayant permis une violation de données à grande échelle
Dans sa délibération SAN 2026-009 du 21 juillet 2026 [1], publiée le 3 septembre dernier, la CNIL a sanctionné l’HOPITAL PRIVE DE LA LOIRE pour un manquement à la sécurité des données personnelles ainsi qu’à l’information des personnes, à la suite d’une intrusion malveillante intervenue en juin 2025.
La violation de données a été permise par l’utilisation des identifiants d’un médecin de l’hôpital permettant d’accéder au dossier patient informatisé (DPI) de l’hôpital qui centralise les données des personnes prises en charge. Ainsi, 524 867 patients et 202 246 personnes désignées comme « tiers de confiance » ont été impactés par cette intrusion. Après investigations, la formation restreinte a prononcé une sanction d’un montant de 500 000 euros pour ces faits, calculée en prenant en compte la méconnaissance de principes essentiels en matière de sécurité, du nombre de personnes concernées, de la nature des données compromises et des capacités financières de l’hôpital.
La CNIL sanctionne lourdement en s’appuyant sur deux fondements.
Tout d’abord sur l’article 32 du RGPD, la CNIL reproche à l’hôpital des manquements importants de sécurité n’ayant pas permis une protection adaptée des données personnelles des patients et des tiers de confiance.
- L’autorité de sanction a constaté que les mesures élémentaires de sécurité n’avaient pas été mises en place, notamment l’absence de VPN et d’authentification multifacteur pour les connexions au DPI effectuées à distance. La CNIL rappelle ces obligations et renvoie aux recommandations déjà publiées [2] en précisant que cette vulnérabilité a largement facilité l’intrusion.
- La CNIL a également reproché un défaut dans la politique d’habilitation ce qui a permis à l’individu d’avoir accès aux données de tous les patients via l’accès d’un seul membre du personnel. La CNIL rappelle que les habilitations doivent être définies pour que seul le personnel médical ait accès aux données de santé des seuls patients dont ils assurent le suivi. Ce cloisonnement aurait permis d’éviter le vol de données à grande échelle.
- Enfin, l’hôpital n’avait pas mis en place une sécurité suffisante pour le DPI, ce qui n’a pas permis de se rendre compte rapidement de l’intrusion. Ce manquement a permis le vol de données à grande échelle sur plusieurs jours, ce qui aurait pu être limité.
Ensuite, sur l’article 34 du RGPD, la CNIL souligne un défaut de l’information des personnes concernées au sujet de la violation de leurs données personnelles. En effet, le RGPD oblige les responsables de traitement à informer les victimes de la violation et leur précisant sa nature, les types de données concernées, les mesures de remédiation mises en place ou encore les conséquences probables pour les personnes concernées avec des recommandations pour atténuer les effets négatifs. Or, en l’espèce, l’hôpital n’avait prévenu que les patients concernés, en omettant les 202 246 tiers de confiance pour lesquels les données avaient également été dérobées. Ce manquement est contraire à la règlementation et n’a pas pu leur permettre de se prémunir face à d’éventuelles utilisations malveillantes de leurs données.
L’autorité de contrôle a également prononcé une injonction contre l’hôpital de se mettre en conformité, en mettant en place des mesures correctrices dans des délais allant de trois à quinze mois en fonction des mesures concernées, sous astreinte de mille euros par jour de retard. Elle a également imposé la mise à jour de la politique d’habilitation et des mesures techniques empêchant l’éditeur du logiciel d’accéder au DPI sans autorisation. La publication de la décision, sur le site de la CNIL et sur Légifrance a finalement été actée, servant ainsi de modèle pour tous les établissements de santé.