# Brief — 73 dossiers patients par minute pendant six jours : 500 000 € d'amende CNIL pour un hôpital privé qui n'avait ni VPN ni double authentification

**Thème : sécurité des données de santé — obligation de moyens de l'article 32 RGPD, authentification des accès externes, cloisonnement des habilitations, détection en temps réel, et périmètre de l'information des personnes en cas de violation (article 34)**

**Mots-clés :** #rgpd #cnil #cyber #sanction #violation-de-donnees #donnees-de-sante #mfa

Le **3 septembre 2026**, la CNIL a rendu publique la **délibération de la formation restreinte n° SAN-2026-009 du 21 juillet 2026**, qui inflige **500 000 euros** d'amende à la société **HÔPITAL PRIVÉ DE LA LOIRE** (Saint-Étienne), établissement du groupe **Ramsay Santé**, pour manquement aux **articles 32 et 34 du RGPD**. En **juin 2025**, un attaquant s'était connecté au **dossier patient informatisé (DPI)** de l'établissement avec les identifiants d'un **médecin libéral** rattaché, puis avait exfiltré, entre le **26 juin et le 1er juillet 2025**, **524 867 fiches patients** — état civil, numéro de sécurité sociale, coordonnées, numéro d'identifiant permanent —, dont plus de **46 000** associées au recto d'une carte d'identité, **202 246** comportant les données d'une personne de confiance et **43** des données de santé.

Ce qui rend cette décision remarquable n'est pas le montant mais sa **motivation technique**. La CNIL rappelle d'abord que l'article 32 énonce une **obligation de moyens**, non de résultat — puis démontre que les moyens élémentaires manquaient tous les trois. **Un** : l'accès externe au DPI, notamment pour les praticiens libéraux, reposait sur un simple couple identifiant / mot de passe, « *sans connexion préalable à un VPN, ni moyen d'identification électronique à deux facteurs* », alors que le référentiel annexé à l'**arrêté du 28 mars 2022** relatif à l'identification électronique des utilisateurs des services numériques en santé l'exige expressément. **Deux** : la **politique d'habilitation** ne matérialisait pas la notion d'**équipe de soins** (articles L. 1110-4 et L. 1110-12 du code de la santé publique), de sorte qu'un compte unique donnait accès à l'intégralité des patients de l'établissement. **Trois** : l'hôpital disposait bien d'un **SOC**, d'un système de supervision et d'une journalisation des traces applicatives, mais **n'avait pas activé l'analyse automatique en temps réel** de ces traces sur le DPI ; la CNIL établit, après exploitation des journaux, que la phase d'extraction automatisée consultait en moyenne **73 fiches patients par minute** — un signal qu'un moteur de détection aurait immanquablement levé, et qui est resté invisible pendant près d'une semaine.

Deux constats aggravants complètent le tableau, et ils intéressent directement l'ingénierie. D'une part, la société **éditrice du logiciel de DPI** disposait d'un **accès permanent et non contrôlé** aux données patients ; la CNIL juge qu'un tel accès n'est pas nécessaire à une mission de maintenance et que l'éditeur « *aurai[t] dû systématiquement solliciter l'autorisation préalable de l'hôpital* ». D'autre part, la **remédiation elle-même a créé une vulnérabilité** : la réinitialisation post-incident a consisté à attribuer un **mot de passe temporaire identique à l'ensemble des praticiens**, transmis non pas individuellement mais au président de la commission médicale d'établissement, à charge pour lui de le rediffuser. Valable une semaine, ce mot de passe a, selon l'autorité, fourni à tous les utilisateurs « *les moyens de se connecter à des comptes de tiers* ». Le manquement à l'**article 34** est indépendant : seuls les patients ont été informés, jamais les **202 246 tiers de confiance**, privés des éléments nécessaires pour comprendre l'attaque et se prémunir contre l'usage malveillant de leurs données.

Outre l'amende, la formation restreinte a prononcé une **injonction de mise en conformité** — achèvement des mesures de sécurité dans des délais échelonnés de **trois à quinze mois** selon leur nature, et ouverture de l'accès de l'éditeur au DPI sur autorisation préalable seulement — et a publié la délibération sous forme nominative. Un recours devant le Conseil d'État reste ouvert dans un délai de deux mois. Pour un praticien de la sécurité offensive, la leçon tient en une phrase : la CNIL n'a pas sanctionné une intrusion, elle a sanctionné une **architecture** — pas d'authentification forte à la frontière, pas de segmentation des habilitations, pas de détection sur le seul actif qui portait des données sensibles. Chacune de ces trois carences est un objectif de test d'intrusion parfaitement banal ; leur conjonction est devenue, ici, un chef de sanction chiffré.

## Sources

- [CNIL — « Violation de données en matière de santé : sanction de 500 000 euros à l'encontre de l'HÔPITAL PRIVÉ DE LA LOIRE », 3 septembre 2026](https://www.cnil.fr/fr/sanction-hopital-prive-loire)
- [Légifrance — Délibération de la formation restreinte n° SAN-2026-009 du 21 juillet 2026 concernant la société HOPITAL PRIVE DE LA LOIRE](https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000054790100)
- [CNIL — Article 32 du RGPD, sécurité du traitement](https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4#Article32)
- [CNIL — Article 34 du RGPD, information des personnes en cas de violation de données](https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4#Article34)
- [CNIL — Authentification multifacteur : les recommandations de la CNIL](https://www.cnil.fr/fr/recommandation-mfa)
- [CNIL — Données de santé : mesures de sécurité et de confidentialité pour l'accès au dossier patient informatisé (DPI)](https://www.cnil.fr/fr/donnees-de-sante-la-cnil-rappelle-les-mesures-de-securite-et-de-confidentialite-pour-lacces-au)
- [CNIL — Recommandation relative aux mesures de journalisation](https://www.cnil.fr/fr/la-cnil-publie-une-recommandation-relative-aux-mesures-de-journalisation)
- [Légifrance — Arrêté du 28 mars 2022 portant approbation du référentiel d'identification électronique des utilisateurs des services numériques en santé](https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000045457991)
- [Next — « L'Hôpital privé de Loire sanctionné pour absence de "mesures élémentaires de sécurité" », 3 septembre 2026 (contexte et citations de la délibération)](https://next.ink/254472/lhopital-prive-de-loire-sanctionne-pour-absence-de-mesures-elementaires-de-securite/)
- [franceinfo — « Une clinique privée de Saint-Étienne sanctionnée pour des "manquements", après le vol de données de 500 000 patients », 3 septembre 2026](https://www.franceinfo.fr/internet/securite-sur-internet/cyberattaques/une-clinique-privee-de-saint-etienne-sanctionnee-pour-des-manquements-apres-le-vol-de-donnees-de-500-000-patients_8175071.html)