CNIL : amende de 500 000 € contre l’Hôpital privé de la Loire après une faille du dossier patient

En bref

Le 3 septembre 2026, la CNIL a annoncé une sanction de 500 000 euros contre l’établissement. Les données concernées portent sur 524 867 patients et 202 246 tiers de confiance. Les faits ont été relayés par Next et Le Progrès. Cette décision administrative met en lumière les manquements constatés lors de l’enquête menée par l’autorité de contrôle. L’amende reflète la gravité des lacunes identifiées en matière de protection des données de santé, particulièrement sensibles. Elle ne constitue pas une évaluation exhaustive de l’ensemble des pratiques de l’établissement, mais se concentre sur les points précis relevés concernant les accès externes. Les sources mentionnent également Solutions Numériques parmi les publications ayant couvert l’affaire, confirmant les éléments chiffrés et les circonstances de l’intrusion survenue fin juin 2025. La sanction s’inscrit dans un cadre où la CNIL rappelle que les exigences de sécurité doivent être appliquées de manière effective et non seulement déclarées.

Le mécanisme

Fin juin 2025, une intrusion a permis l’accès aux dossiers patients informatisés de l’Hôpital privé de la Loire à Saint-Étienne. Les investigations ont mis en évidence l’absence de réseau privé virtuel pour les connexions externes et l’absence d’authentification à plusieurs facteurs pour ces accès. L’absence de réseau privé virtuel signifie que les flux de données circulent sans être isolés dans un tunnel chiffré, exposant directement les informations aux interceptions possibles sur des réseaux ouverts ou partagés. De même, l’absence d’authentification à plusieurs facteurs laisse la porte ouverte à une compromission unique dès qu’un identifiant est connu, sans couche supplémentaire de vérification. Après l’incident, des praticiens ont continué à utiliser un mot de passe temporaire identique pour se connecter au système. Cette situation a révélé des faiblesses persistantes dans la gestion des accès distants, où les mesures de protection élémentaires n’avaient pas été mises en place avant l’événement. Le maintien d’un même mot de passe temporaire après détection prolonge la période pendant laquelle un accès non autorisé reste possible, car aucune rotation ni renforcement n’intervient immédiatement. L’absence de ces protections a facilité l’intrusion, et le maintien d’identifiants temporaires identiques a prolongé la vulnérabilité même après la détection de l’attaque. Les faits soulignent que les connexions externes au dossier patient informatisé s’effectuaient sans les dispositifs de sécurisation habituellement recommandés dans le secteur de la santé. Il ne s’agit pas ici d’une défaillance isolée sur un seul poste, mais d’une configuration globale des accès distants qui n’intégrait pas les protections de base attendues pour des données de santé.

Ce qui est sourcé

Les sources indiquent que l’accès externe au dossier patient informatisés s’effectuait sans réseau privé virtuel et sans authentification à plusieurs facteurs. Après l’incident de fin juin 2025, un mot de passe temporaire identique a été maintenu pour les praticiens. Le nombre de personnes concernées est de 524 867 patients et 202 246 tiers de confiance. Ces informations proviennent directement des articles publiés le 3 septembre 2026 par Next, Le Progrès et Solutions Numériques. Elles décrivent précisément les conditions de l’intrusion et les suites immédiates, sans extrapolation sur d’autres aspects techniques ou organisationnels non mentionnés dans les communiqués officiels. Il convient de distinguer ce qui est explicitement rapporté de ce qui pourrait relever d’hypothèses supplémentaires : les sources ne détaillent pas, par exemple, les procédures internes de détection d’incident ni les formations dispensées au personnel.

Nuance

Les informations disponibles proviennent des communiqués et articles publiés le 3 septembre 2026. Les chiffres cités sont ceux rapportés par les sources et peuvent être sujets à des mises à jour ultérieures. Aucune conclusion définitive sur l’ampleur exacte de l’intrusion n’est fournie au-delà des éléments publiés. Il convient donc de considérer ces données comme le reflet des constats effectués à la date de la sanction, sans présumer d’évolutions postérieures qui pourraient modifier le décompte des personnes impactées ou les mesures correctives appliquées par la suite. Cette approche évite de présenter la situation comme figée ou exhaustive ; elle souligne simplement l’état des connaissances publiques au moment de la décision.

Et ensuite

L’établissement devra mettre en œuvre des mesures correctives pour les accès externes. La CNIL a rendu sa décision sur la base des éléments constatés à la date de l’enquête. Ces obligations visent à renforcer la sécurité des connexions distantes au dossier patient informatisé, afin d’éviter la répétition de tels incidents. La sanction financière de 500 000 euros constitue un signal adressé à l’ensemble du secteur hospitalier concernant l’importance du respect des exigences en matière de protection des données personnelles. Il ne s’agit pas d’une injonction portant sur l’ensemble des systèmes d’information, mais d’un rappel ciblé sur les modalités d’accès à distance. Les mesures attendues consistent à introduire les protections absentes, sans que les sources ne précisent les délais ou les modalités techniques retenues.

Pour aller plus loin

Les articles publiés le 3 septembre 2026 détaillent les manquements identifiés. Les lecteurs peuvent consulter les sources pour suivre l’évolution du dossier.

• Next.ink – L’hôpital privé de la Loire sanctionné
• Le Progrès – Piratage de données médicales
• Solutions numériques – Données de santé