Violation de données en matière de santé : sanction de 500 000 euros à l’encontre de l’HÔPITAL PRIVÉ DE LA LOIRE 03 septembre 2026 Le 3 septembre 2026, la CNIL a prononcé une sanction de 500 000 € à l’encontre de l’HÔPITAL PRIVÉ DE LA LOIRE, pour ne pas avoir pris des mesures adaptées pour assurer la sécurité des données de ses patients et de certains de leurs proches. Diminuer la taille de la police Augmenter la taille de la police Le contexte Au cours de l'été 2025, un attaquant est parvenu à se connecter au dossier patient informatisé (DPI) de l’HÔPITAL PRIVÉ DE LA LOIRE, qui centralise l’ensemble des données des personnes prises en charge. Il a ainsi accédé aux données de 524 867 patients (dont, pour certains d’entre eux, des données de santé) et de 202 246 personnes désignées comme « tiers de confiance ».
À la suite de cette violation de données, la CNIL a réalisé un contrôle qui a mis en évidence plusieurs manquements de l’HÔPITAL PRIVÉ DE LA LOIRE aux obligations prévues par le règlement général sur la protection des données (RGPD). En conséquence, la formation restreinte – organe de la CNIL chargé de prononcer les sanctions – a prononcé une amende de 500 000 euros à l’encontre de l’HÔPITAL PRIVÉ DE LA LOIRE, tenant notamment compte de la méconnaissance de principes essentiels en matière de sécurité, du nombre de personnes concernées, de la nature des données compromises et de ses capacités financières. Les manquements sanctionnés Un manquement à l’obligation d’assurer la sécurité des données personnelles (article 32 du RGPD) La formation restreinte a constaté qu’au jour de la violation de données, l’HÔPITAL PRIVÉ DE LA LOIRE n’avait pas mis en œuvre certaines mesures élémentaires de sécurité qui auraient pu rendre l’attaque plus difficile.
La procédure d’authentification pour se connecter au dossier patient informatisé (DPI) de l’hôpital, utilisée par les utilisateurs externes à l’hôpital, notamment les médecins libéraux, n’était pas suffisamment robuste, en raison de l’absence de VPN et de moyen d’authentification multifacteur. L’attaquant a profité de cette vulnérabilité pour accéder aux données. Par ailleurs, la politique d’habilitation était inadéquate : elle ne tenait pas compte de la notion d’équipe de soins, afin que seuls les professionnels effectivement impliqués dans la prise en charge d’un patient aient accès aux informations couvertes par le secret médical.
Cette absence de limitation d’accès a permis à l’attaquant, en utilisant les identifiants d’un seul compte d’utilisateur, d’accéder aux données de l’intégralité des patients de l’hôpital. Enfin, l’hôpital n’avait pas pris de mesures permettant de détecter une activité suspecte au sein du DPI en temps réel ou à très court terme, et de déclencher le cas échéant un mécanisme d’alerte. Dans ces conditions, l’attaquant a pu explorer le DPI de l’hôpital durant plusieurs jours et extraire un volume très important de données, sans que cette activité anormale soit détectée.
Cette vulnérabilité a contribué à aggraver l’ampleur de la violation de données. Compte tenu du nombre et de la nature des données traitées, la formation restreinte a considéré que les mesures de sécurité déployées par l’HÔPITAL PRIVÉ DE LA LOIRE afin d’assurer leur confidentialité n’étaient pas suffisantes. Elle a rappelé que, même s’il est impossible d’éliminer tout risque, des mesures de sécurité adaptées peuvent en réduire la probabilité et la gravité.
La formation restreinte a également noté que l’HÔPITAL PRIVÉ DE LA LOIRE avait pris, en cours de procédure, plusieurs mesures renforçant son niveau de sécurité. Elle a exigé que l’hôpital achève la mise en œuvre de ces mesures dans des délais compris entre trois et quinze mois (selon le type de mesures). Un manquement à l’obligation d’informer les personnes concernées par la violation de données (article 34 du RGPD) La formation restreinte a enfin constaté que seuls les patients de l’HÔPITAL PRIVÉ DE LA LOIRE concernés par la violation de données en avaient été informés, mais qu’aucune information directe n’avait été délivrée aux 202 246 personnes désignées par des patients comme tiers de confiance, alors même que leurs données personnelles avaient également été dérobées par l’attaquant.
Elle a considéré que cette omission avait notamment privé ces personnes des informations nécessaires pour comprendre la nature de l’attaque et ses conséquences probables, ainsi que pour connaître les mesures permettant d’en limiter les conséquences et se prémunir d’éventuelles utilisations malveillantes de leurs données. Texte reference La délibération Délibération de la formation restreinte n°SAN-2026-009 du 21 juillet 2026 concernant la société HOPITAL PRIVE DE LA LOIRE Texte reference Pour approfondir Les procédures de sanction La CNIL publie une recommandation relative aux mesures de journalisation Violations massives de données en 2024 : quels sont les principaux enseignements et mesures à prendre ? Plaquette Cybersécurité 2026 Victimes de violations de données : restez vigilants face aux offres d’accompagnement Texte reference Textes de référence Article 32 du règlement général sur la protection des données ou RGPD – Sécurité des données Article 34 du RGPD – Information des personnes en cas de violation de données #Sanction#Violation de données#Sécurité#Dossier patient Ceci peut également vous intéresser ...
Décisions automatisées : sanction de près de 825 millions d’euros à l’encontre d’UBER 24 août 2026 Sanction Piratage du système d’information des impôts : les vérifications sont en cours 18 août 2026 Violation de données La CNIL a prononcé 23 nouvelles sanctions depuis janvier au titre de la procédure simplifiée 06 juillet 2026 Sanction