La Cnil prononce une sanction de 500.000 € à l’encontre de l’Hôpital privé de la Loire, pour ne pas avoir pris des mesures adaptées pour assurer la sécurité des données de ses patients et de certains de leurs proches.Au cours de l'été 2025, un attaquant est parvenu à se connecter au dossier patient informatisé (DPI) de l’Hôpital privé de la Loire, qui centralise l’ensemble des données des personnes prises en charge.
Il a ainsi accédé aux données de 524.867 patients (dont, pour certains d’entre eux, des données de santé) et de 202.246 personnes désignées comme "tiers de confiance".
Lors du contrôle réalisé à la suite de cet incident, la Commission nationale de l'informatique et des libertés (Cnil) a constaté qu’au jour de la violation de données, l'hôpital n'avait pas mis en œuvre certaines mesures élémentaires de sécurité qui auraient pu rendre l’attaque plus difficile. La procédure d’authentification pour se connecter au dossier patient informatisé (DPI) de l’hôpital, utilisée par les utilisateurs externes à l’hôpital, notamment les médecins libéraux, n’était pas suffisamment robuste, en raison de l’absence de VPN et de moyen d’authentification multifacteur. L’attaquant a profité de cette vulnérabilité pour accéder aux données.
Par ailleurs, la politique d’habilitation était inadéquate : elle ne tenait pas compte de la notion d’équipe de soins, afin que seuls les professionnels effectivement impliqués dans la prise en charge d’un patient aient accès aux informations couvertes par le secret médical. Cette absence de limitation d’accès a permis à l’attaquant, en utilisant les identifiants d’un seul compte d’utilisateur, d’accéder aux données de l’intégralité des patients de l’hôpital.
Enfin, l’hôpital n’avait pas pris de mesures permettant de détecter une activité suspecte au sein du DPI en temps réel ou à très court terme, et de déclencher le cas échéant un mécanisme d’alerte. Dans ces conditions, l’attaquant a pu explorer le DPI de l’hôpital durant plusieurs jours et extraire un volume très important de données, sans que cette activité anormale soit détectée. Cette vulnérabilité a contribué à aggraver l’ampleur de la violation de données.
Par ailleurs, la Cnil a constaté que seuls les patients de l’hôpital concernés par la violation de données en avaient été informés, mais qu’aucune information directe n’avait été délivrée aux 202.246 personnes désignées par des patients comme tiers de confiance, alors même que leurs données personnelles avaient également été dérobées par l’attaquant.
En conséquence, par une délibération n° SAN-2026-009 du 21 juillet 2026, la formation restreinte de la Cnil a prononcé une amende de 500.000 € à l’encontre de l’établissement, tenant notamment compte de la méconnaissance de principes essentiels en matière de sécurité, du nombre de personnes concernées, de la nature des données compromises et de ses capacités financières.
