Violation de données de santé : 500 000 euros d'amende pour un hôpital privé

Introduction

La sécurité des données est l’obligation la plus fréquemment sanctionnée par la CNIL, et la plus coûteuse lorsque les données concernées touchent à la santé. Le 3 septembre 2026, la CNIL a rendu publique une amende de 500 000 euros prononcée contre l’Hôpital privé de la Loire par délibération du 21 juillet 2026. Les faiblesses relevées ne sont pas propres au secteur hospitalier.

Les faits

Au cours de l’été 2025, un attaquant s’est connecté au dossier patient informatisé de l’établissement en utilisant les identifiants d’un seul compte utilisateur. Il a pu explorer le dossier pendant plusieurs jours et extraire un volume très important de données sans être détecté. Les données de 524 867 patients, dont certaines données de santé, et de 202 246 personnes désignées comme « tiers de confiance » ont été dérobées.

Les manquements relevés

Le premier manquement porte sur l’obligation de sécurité de l’article 32 du RGPD. La CNIL relève trois faiblesses. L’authentification des utilisateurs externes, notamment des médecins libéraux, n’était pas assez robuste, faute de VPN et d’authentification multifacteur. La politique d’habilitation ne tenait pas compte de la notion d’équipe de soins, si bien qu’un seul compte donnait accès à l’ensemble des patients. Enfin, aucun mécanisme ne permettait de détecter en temps réel, ou à très court terme, une activité suspecte dans le dossier patient, ni de déclencher une alerte.

Le second manquement porte sur l’article 34 du RGPD, relatif à la communication de la violation aux personnes concernées. Seuls les patients avaient été informés. Les tiers de confiance, dont les données avaient aussi été volées, n’avaient reçu aucune information sur la nature de l’attaque, ses conséquences probables et les mesures à prendre pour se protéger.

La sanction

La CNIL a pris en compte la « méconnaissance de principes essentiels en matière de sécurité », le nombre de personnes concernées, la nature des données compromises et les capacités financières de l’établissement. Elle a noté que l’hôpital avait renforcé sa sécurité en cours de procédure, et qu’il devra achever ces mesures dans un délai de trois à quinze mois.

En pratique

Trois vérifications s’imposent à tout responsable de traitement qui ouvre un accès à distance à des données sensibles : authentification forte des accès externes, habilitations limitées à ce que chaque utilisateur doit voir, et journalisation assortie d’alertes sur les comportements anormaux, comme une extraction massive.

En cas de violation, l’analyse des personnes à informer doit couvrir toutes les catégories de données dérobées, et pas seulement les clients ou patients principaux. C’est typiquement la mission du délégué à la protection des données, qui doit être associé dès la détection de l’incident.

En résumé

• La CNIL a infligé 500 000 euros d’amende à l’Hôpital privé de la Loire (délibération du 21 juillet 2026, publiée le 3 septembre 2026).
• Sécurité insuffisante (article 32 du RGPD) : pas d’authentification multifacteur, habilitations trop larges, aucune détection d’activité suspecte.
• Information incomplète des personnes (article 34 du RGPD) : 202 246 tiers de confiance non informés.
• Les mesures en cause sont des standards attendus de tout responsable de traitement exposé à distance.