Brief — 73 dossiers patients par minute pendant six jours : 500 000 € d'amende CNIL pour un hôpital privé qui n'avait ni VPN ni double authentification

Thème : sécurité des données de santé — obligation de moyens de l'article 32 RGPD, authentification des accès externes, cloisonnement des habilitations, détection en temps réel, et périmètre de l'information des personnes en cas de violation (article 34)

Mots-clés : #rgpd #cnil #cyber #sanction #violation-de-donnees #donnees-de-sante #mfa

Le 3 septembre 2026, la CNIL a rendu publique la délibération de la formation restreinte n° SAN-2026-009 du 21 juillet 2026, qui inflige 500 000 euros d'amende à la société HÔPITAL PRIVÉ DE LA LOIRE (Saint-Étienne), établissement du groupe Ramsay Santé, pour manquement aux articles 32 et 34 du RGPD. En juin 2025, un attaquant s'était connecté au dossier patient informatisé (DPI) de l'établissement avec les identifiants d'un médecin libéral rattaché, puis avait exfiltré, entre le 26 juin et le 1er juillet 2025, 524 867 fiches patients — état civil, numéro de sécurité sociale, coordonnées, numéro d'identifiant permanent —, dont plus de 46 000 associées au recto d'une carte d'identité, 202 246 comportant les données d'une personne de confiance et 43 des données de santé.

Ce qui rend cette décision remarquable n'est pas le montant mais sa motivation technique. La CNIL rappelle d'abord que l'article 32 énonce une obligation de moyens, non de résultat — puis démontre que les moyens élémentaires manquaient tous les trois. Un : l'accès externe au DPI, notamment pour les praticiens libéraux, reposait sur un simple couple identifiant / mot de passe, « *sans connexion préalable à un VPN, ni moyen d'identification électronique à deux facteurs* », alors que le référentiel annexé à l'arrêté du 28 mars 2022 relatif à l'identification électronique des utilisateurs des services numériques en santé l'exige expressément. Deux : la politique d'habilitation ne matérialisait pas la notion d'équipe de soins (articles L. 1110-4 et L. 1110-12 du code de la santé publique), de sorte qu'un compte unique donnait accès à l'intégralité des patients de l'établissement. Trois : l'hôpital disposait bien d'un SOC, d'un système de supervision et d'une journalisation des traces applicatives, mais n'avait pas activé l'analyse automatique en temps réel de ces traces sur le DPI ; la CNIL établit, après exploitation des journaux, que la phase d'extraction automatisée consultait en moyenne 73 fiches patients par minute — un signal qu'un moteur de détection aurait immanquablement levé, et qui est resté invisible pendant près d'une semaine.

Deux constats aggravants complètent le tableau, et ils intéressent directement l'ingénierie. D'une part, la société éditrice du logiciel de DPI disposait d'un accès permanent et non contrôlé aux données patients ; la CNIL juge qu'un tel accès n'est pas nécessaire à une mission de maintenance et que l'éditeur « *aurai[t] dû systématiquement solliciter l'autorisation préalable de l'hôpital* ». D'autre part, la remédiation elle-même a créé une vulnérabilité : la réinitialisation post-incident a consisté à attribuer un mot de passe temporaire identique à l'ensemble des praticiens, transmis non pas individuellement mais au président de la commission médicale d'établissement, à charge pour lui de le rediffuser. Valable une semaine, ce mot de passe a, selon l'autorité, fourni à tous les utilisateurs « *les moyens de se connecter à des comptes de tiers* ». Le manquement à l'article 34 est indépendant : seuls les patients ont été informés, jamais les 202 246 tiers de confiance, privés des éléments nécessaires pour comprendre l'attaque et se prémunir contre l'usage malveillant de leurs données.

Outre l'amende, la formation restreinte a prononcé une injonction de mise en conformité — achèvement des mesures de sécurité dans des délais échelonnés de trois à quinze mois selon leur nature, et ouverture de l'accès de l'éditeur au DPI sur autorisation préalable seulement — et a publié la délibération sous forme nominative. Un recours devant le Conseil d'État reste ouvert dans un délai de deux mois. Pour un praticien de la sécurité offensive, la leçon tient en une phrase : la CNIL n'a pas sanctionné une intrusion, elle a sanctionné une architecture — pas d'authentification forte à la frontière, pas de segmentation des habilitations, pas de détection sur le seul actif qui portait des données sensibles. Chacune de ces trois carences est un objectif de test d'intrusion parfaitement banal ; leur conjonction est devenue, ici, un chef de sanction chiffré.

Brief — 73 dossiers patients par minute pendant six jours : 500 000 € d'amende CNIL pour un hôpital privé qui n'avait ni VPN ni double authentification

Sources