Sanction de 500 000 euros pour un hôpital suite à une intrusion dans les données patients
Le 3 septembre, la Commission nationale de l’informatique et des libertés (Cnil) a annoncé une sanction de 500 000 euros à l’encontre d’un établissement de santé privé. Cette décision fait suite à une intrusion dans son dossier patient informatisé survenue durant l’été 2025, entraînant l’accès non autorisé aux données de 524 867 patients et de 202 246 personnes désignées comme tiers de confiance.
L’enquête a révélé que l’accès distant des utilisateurs externes, notamment des médecins libéraux, se réalisait sans l’utilisation d’un réseau privé virtuel (VPN) et sans authentification multifacteur. Toutefois, ces éléments techniques ne constituent qu’une partie de l’analyse.
Les griefs principaux portent sur les actions de l’attaquant une fois à l’intérieur du système et sur les capacités de l’établissement à répondre après l’incident. La Cnil a mis en évidence que la politique d’habilitation ne tenait pas compte de la notion d’équipe de soins, permettant ainsi à un seul identifiant d’accéder à l’ensemble des dossiers patients. Ce manque de modélisation a conduit à une défaillance dans la sécurité des données.
De plus, aucune me ne permettait de détecter une activité suspecte en temps réel. L’attaquant a pu explorer et extraire des données pendant plusieurs jours sans être détecté, ce qui soulève des questions sur l’efficacité des systèmes de supervision.
Enfin, l’établissement a informé ses patients de l’incident, mais n’a pas notifié les 202 246 tiers de confiance concernés, en violation de l’article 34 du RGPD. Cela soulève des inquiétudes quant à la capacité des organisations à gérer les données des personnes dont elles ne connaissent pas la liste.
Cette affaire souligne les défis liés à la gouvernance des agents d’intelligence artificielle dans les organisations, où la sécurité des données et la conformité au RGPD doivent être des priorités.
Source : Cnil.
