La CNIL inflige une amende de 500 000 EUR à l'Hôpital Privé de la Loire pour violations de données de santé
Amende: EUR 500,000
Le 3 septembre 2026, la CNIL, autorité française de protection des données, a infligé une amende de 500 000 EUR à l'Hôpital Privé de la Loire pour ne pas avoir sécurisé les données des patients et informé toutes les personnes concernées d'une violation. Le dossier patient informatisé de l'hôpital a été accédé par un attaquant, compromettant les données de 524 867 patients et de 202 246 tiers de confiance. Cette décision met en lumière des lacunes critiques en matière de sécurité et des manquements à l'obligation de notification en vertu du Règlement Général sur la Protection des Données (RGPD).
L'enquête a révélé que la procédure d'authentification pour les utilisateurs externes du dossier patient informatisé était dépourvue de réseau privé virtuel (VPN) et d'authentification multifacteur, une vulnérabilité exploitée par l'attaquant. De plus, la politique d'autorisation de l'hôpital était insuffisante, car elle ne limitait pas l'accès en fonction des équipes de soins, permettant à un seul compte utilisateur d'accéder à toutes les données des patients.
L'hôpital ne disposait pas non plus de mécanismes de détection en temps réel ou à court terme des activités suspectes au sein de son dossier patient informatisé, ce qui a permis à l'attaquant d'explorer et d'extraire un volume important de données sans être détecté pendant plusieurs jours. La CNIL a également identifié une violation de l'Article 34 du RGPD car l'hôpital n'a pas informé directement 202 246 personnes désignées comme tiers de confiance de la violation de données, malgré la compromission de leurs données personnelles. Le montant de la sanction a pris en compte l'absence de principes de sécurité essentiels, le nombre de personnes concernées, la nature sensible des données compromises et la capacité financière de l'hôpital. La formation restreinte a également ordonné à l'hôpital de finaliser la mise en œuvre des mesures de sécurité dans un délai de trois à quinze mois, selon le type de mesure.
Les organisations de soins de santé font fréquemment l'objet d'un examen minutieux concernant leur gestion des données sensibles des patients, comme en témoigne cette amende de 500 000 EUR.
Titre original: Violation de données en matière de santé : sanction de 500 000 euros à l’encontre de l’HÔPITAL PRIVÉ DE LA LOIRE
Décision de sanction de la CNIL SAN 2026 009
- Qui cela engage
- L'Hôpital Privé de la Loire est légalement lié par la décision de la CNIL en vertu du Règlement Général sur la Protection des Données (RGPD) en France.
- Ce qui a changé
- L'Hôpital Privé de la Loire doit achever la mise en œuvre des mesures de sécurité dans un délai de trois à quinze mois, comme ordonné par la formation restreinte de la CNIL.
- Ce qu'il faut vérifier
- Les organisations devraient revoir leurs procédures d'authentification pour les utilisateurs externes et leurs politiques d'autorisation afin de s'assurer qu'elles sont conformes aux exigences de l'Article 32 du RGPD.
- Ce que cela ne signifie pas
- Cette décision ne signifie pas que toutes les violations de données entraînent automatiquement une amende de 500 000 EUR, la CNIL ayant pris en compte des facteurs spécifiques tels que la sensibilité des données et la capacité financière.
À transmettre à votre équipe
La CNIL a infligé une amende de 500 000 EUR à l'Hôpital Privé de la Loire pour des manquements à la sécurité et à la notification du RGPD, exigeant de l'hôpital la mise en œuvre d'améliorations de sécurité dans les quinze mois.