Violation de données : 500 000 € d’amende pour l’Hôpital Privé de la Loire
Le 3 septembre 2026, la Commission Nationale de l’Informatique et des Libertés (CNIL) a infligé une amende de 500 000 euros à l’Hôpital Privé de la Loire pour ne pas avoir mis en œuvre des mes adéquates pour asr la sécurité des données de ses patients et de certains de leurs proches.
Contexte factuel
Au cours de l’été 2025, un attaquant a réussi à accéder au dossier patient informatisé (DPI) de l’Hôpital Privé de la Loire, qui centralise les données des personnes prises en charge. Ce piratage a permis à l’individu d’accéder aux informations de 524 867 patients, incluant des données de santé, ainsi qu’à celles de 202 246 personnes désignées comme « tiers de confiance ».
Suite à cette violation, la CNIL a effectué un contrôle qui a révélé plusieurs manquements de l’établissement aux obligations du règlement général sur la protection des données (RGPD). En conséquence, la formation restreinte de la CNIL a prononcé l’amende, prenant en compte la violation des principes de sécurité, le nombre de personnes affectées et la nature des données compromises.
Données ou statistiques
La formation restreinte a constaté que l’Hôpital Privé de la Loire n’avait pas mis en place des mes de sécurité élémentaires. La procédure d’authentification pour accéder au DPI n’était pas suffisamment robuste, notamment en raison de l’absence de VPN et d’authentification multifacteur. De plus, la politique d’habilitation ne tenait pas compte des équipes de soins, permettant ainsi à l’attaquant d’accéder à l’intégralité des données des patients en utilisant un seul compte.
En outre, l’hôpital n’avait pas de système pour détecter une activité suspecte en temps réel. Cela a permis à l’attaquant de naviguer dans le DPI pendant plusieurs jours, extrayant un volume important de données sans alerte.
Conséquence directe
La CNIL a également noté que seuls les patients concernés par la violation avaient été informés, tandis que les 202 246 tiers de confiance n’avaient reçu aucune information, les privant des détails nécessaires pour comprendre l’attaque et ses conséquences.
Source : CNIL.
