Par sa délibération SAN-2026-009 du 21 juillet 2026, rendue publique le 3 septembre 2026, la formation restreinte de la CNIL a prononcé une amende de 500 000 euros à l'encontre de l'Hôpital privé de la Loire. À l'été 2025, un attaquant s'est connecté au dossier patient informatisé de l'établissement à partir d'un compte compromis et a consulté puis extrait, pendant plusieurs jours, les données de 524 867 patients et de 202 246 personnes désignées comme « tiers de confiance ». Le contrôle consécutif à la notification de la violation a révélé des défauts de sécurité et un défaut d'information. La question posée aux établissements de santé, publics comme privés, est celle du niveau de protection attendu pour un dossier patient accessible à des professionnels extérieurs.
L'accès des médecins libéraux au dossier patient sans VPN ni authentification multifacteur méconnaît l'article 32
Le premier manquement retenu au titre de l'article 32 du RGPD porte sur l'authentification des utilisateurs externes. Les praticiens libéraux accédaient au dossier patient informatisé par une simple connexion à distance, sans réseau privé virtuel ni second facteur d'authentification. La CNIL rappelle qu'un accès distant à des données de santé exige une authentification renforcée, conformément à ses recommandations et au référentiel d'identification électronique applicable au secteur. La compromission d'un seul identifiant a suffi à ouvrir l'ensemble du système.
Le deuxième manquement tient à la politique d'habilitation, qui ne tenait pas compte de la notion d'équipe de soins : tout utilisateur habilité pouvait consulter le dossier de n'importe quel patient de l'établissement, sans lien avec sa prise en charge, en violation du principe de limitation des accès au strict nécessaire. Le troisième manquement concerne la détection : aucun mécanisme ne permettait de repérer à bref délai une activité anormale sur le dossier patient.
L'information des « tiers de confiance » était due au même titre que celle des patients
Sur le fondement de l'article 34 du RGPD, la CNIL retient que l'établissement n'a informé que les patients. Les 202 246 personnes de confiance, proches ou aidants dont l'identité et les coordonnées figuraient dans les dossiers, n'ont reçu aucune communication directe et n'ont donc pu se prémunir contre l'hameçonnage ou l'usurpation d'identité. L'obligation d'information s'étend à toute personne dont les données ont été compromises, quelle que soit sa qualité au regard de la prise en charge.
L'amende tient compte des mesures correctrices mais impose un calendrier d'achèvement
Pour fixer le montant à 500 000 euros, la formation restreinte retient les principes de sécurité méconnus, le nombre de personnes concernées, la nature des données compromises et les capacités financières de l'établissement. Elle prend en considération les mesures adoptées pendant la procédure, tout en imposant leur achèvement dans des délais de trois à quinze mois selon leur nature. La décision confirme la ligne suivie depuis 2025 à l'égard des organismes victimes d'attaques : la qualité de victime ne fait pas obstacle à la responsabilité du responsable de traitement lorsque les mesures élémentaires faisaient défaut.
Ce que la décision induit pour les établissements publics de santé et les groupements hospitaliers
Les centres hospitaliers et les groupements hospitaliers de territoire, qui ouvrent largement leur dossier patient aux praticiens de ville, aux établissements partenaires et aux prestataires, doivent procéder à des vérifications immédiates. L'accès distant au dossier patient doit passer par un réseau privé virtuel ou une passerelle sécurisée et par une authentification à deux facteurs, y compris pour les utilisateurs externes. La matrice d'habilitation doit restreindre la consultation aux patients effectivement pris en charge par l'utilisateur, en s'appuyant sur la notion d'équipe de soins du code de la santé publique. Un dispositif de supervision des journaux d'accès doit permettre de détecter rapidement les consultations massives ou atypiques. Le plan de gestion des violations doit prévoir l'information de toutes les catégories de personnes concernées, personnes de confiance comprises. Les directions des systèmes d'information et les délégués à la protection des données ont intérêt à documenter ces mesures dès maintenant, la CNIL ayant annoncé consacrer en 2026 la moitié de ses contrôles à la cybersécurité, le secteur de la santé figurant parmi ses priorités.
Références : CNIL, formation restreinte, délibération SAN-2026-009 du 21 juillet 2026, Hôpital privé de la Loire ; Articles 32 et 34 du règlement (UE) 2016/679 (RGPD).
