Principe-clé : l'article 32 du RGPD est une obligation de moyens, mais des moyens que l'état de l'art rend exigibles — l'absence simultanée d'authentification forte à la frontière, de cloisonnement des habilitations et de détection en temps réel transforme un compte compromis en exfiltration totale, et c'est cette chaîne de carences élémentaires, plus que l'intrusion elle-même, que le régulateur sanctionne.
Art. 32 RGPD — sécurité du traitement : mesures techniques et organisationnelles appropriées au risque (chiffrement, résilience, procédure de test et d'évaluation régulière).Art. 34 RGPD — communication de la violation à la personne concernée, dans les meilleurs délais, en cas de risque élevé. Distincte de la notification à l'autorité (art. 33).Art. 9 RGPD — les données concernant la santé sont des catégories particulières, ce qui rehausse le niveau de sécurité attendu.Art. 5.1.f RGPD — principe d'intégrité et de confidentialité.Art. 83 RGPD et art. 20 loi n° 78-17 du 6 janvier 1978 — pouvoirs de sanction et d'injonction de la formation restreinte de la CNIL.Art. L. 1110-4 et L. 1110-12 CSP — secret professionnel et notion d'équipe de soins, qui borne le périmètre légitime d'accès au dossier.Art. L. 1111-6 CSP — personne de confiance désignée par le patient.Arrêté du 28 mars 2022 — référentiel d'identification électronique des utilisateurs des services numériques en santé (authentification à deux facteurs pour les accès externes).Délibération de la formation restreinte n° SAN-2026-009 du 21 juillet 2026, rendue publique par la CNIL le 3 septembre 2026, contre la société HÔPITAL PRIVÉ DE LA LOIRE (Saint-Étienne), établissement du groupe Ramsay Santé.
En juin 2025, un attaquant se connecte au dossier patient informatisé (DPI) avec les identifiants d'un médecin libéral rattaché à l'établissement. Entre le 26 juin et le 1er juillet 2025, il exfiltre 524 867 fiches patients (état civil, numéro de sécurité sociale, coordonnées, identifiant permanent) ; plus de 46 000 comportent le recto d'une carte d'identité, 202 246 les données d'une personne de confiance, et 43 des données de santé.
Trois carences fondent le manquement à l'article 32 : l'accès externe au DPI se faisait par simple identifiant / mot de passe, sans VPN ni authentification à deux facteurs ; la politique d'habilitation ignorait la notion d'équipe de soins, si bien qu'un seul compte ouvrait l'intégralité de la base ; et si l'hôpital disposait d'un SOC, d'une supervision et d'une journalisation, l'analyse automatique en temps réel des traces applicatives du DPI n'était pas activée — l'attaquant a consulté en moyenne 73 fiches par minute pendant près d'une semaine sans déclencher d'alerte. La CNIL relève encore l'accès permanent et non contrôlé de l'éditeur du logiciel aux données patients, et une remédiation défaillante : après la violation, un mot de passe temporaire identique a été attribué à l'ensemble des praticiens et communiqué au président de la commission médicale d'établissement à charge pour lui de le rediffuser.
Le manquement à l'article 34 est distinct : seuls les patients ont été informés, jamais les 202 246 tiers de confiance, pourtant touchés. Sanction : 500 000 €, injonction de mise en conformité à échéances échelonnées de trois à quinze mois, et publication nominative de la délibération. Recours possible devant le Conseil d'État dans un délai de deux mois.
La CNIL sanctionne rarement lourdement les établissements de santé, qu'elle préfère accompagner : le montant dit donc quelque chose du seuil franchi. Et ce seuil n'est pas juridique, il est technique. Aucun 0-day, aucune sophistication : un identifiant valide, une porte sans second facteur, une base sans cloisonnement, un SOC qui journalise mais n'analyse pas. Le raisonnement de l'autorité est explicitement architectural — elle démontre, logs à l'appui, qu'un détecteur automatisé aurait vu passer 73 requêtes/minute et coupé l'hémorragie au premier jour plutôt qu'au sixième.
Pour qui conçoit ou audite des systèmes, trois enseignements opérationnels. Un : la conformité ne se prouve pas par la présence d'outils mais par leur activation effective — un SOC dont les règles de détection ne couvrent pas l'application qui porte les données sensibles n'existe pas juridiquement. Deux : le rayon d'explosion d'un compte compromis est un paramètre de conception, et une politique d'habilitation qui ne matérialise pas l'équipe de soins convertit mécaniquement une compromission unitaire en fuite massive. Trois : la réponse à incident est elle-même un traitement à sécuriser — le mot de passe temporaire partagé a créé, pendant une semaine, une seconde vulnérabilité au moins aussi large que la première. Enfin, l'article 34 rappelle que le périmètre des personnes à informer n'est pas celui de la base clients : les tiers présents dans les fiches — proches, personnes de confiance, aidants — sont des personnes concernées à part entière.