La CNIL sanctionne une clinique de Saint-Étienne pour non protection des données des patient.es

Illus­tra­tion Sonia Barcet

Il y a un an, un pirate a pu accéder aux don­nées de 524 867 patients et 202 246 “tiers de con­fi­ance” de l’Hôpital Privé de la Loire (HPL, clin­ique appar­tenant au groupe Ram­say San­té) via son sys­tème de dossier patient infor­ma­tisé. La CNIL l’a sanc­tion­née ce 3 sep­tem­bre (délibéra­tion du 21/7) d’une amende de 500.000 €.

C’est, pour la CNIL, un cas exem­plaire de nég­li­gence qu’elle a choisi de sanc­tion­ner, pour l’ab­sence de dis­posi­tifs basiques de pro­tec­tion des don­nées, mais aus­si pour la non infor­ma­tion aux patient.es de ces fuites de don­nées à leurs dépens.

Si cette sanc­tion est par­faite­ment jus­ti­fiée, on peut s’in­ter­roger sur le sort qui sera fait par la CNIL aux fuites de don­nées mas­sives des min­istères des Finances et de l’Éducation cet été, qui paral­y­sent encore le fonc­tion­nement d’étab­lisse­ments sco­laires à cette ren­trée… Et, tou­jours avec le mag­a­zine Poli­tis, on peut dénon­cer le fait que ces fuites de don­nées hand­i­capent davan­tage les pau­vres.

Par ailleurs, cette affaire illus­tre la sit­u­a­tion par­ti­c­ulière des don­nées de san­té (qui jouis­sent d’une pro­tec­tion spé­ci­fique définie par l’arti­cle 9 du RGPD), très con­voitées par les firmes phar­ma­ceu­tiques, les assur­ances, y com­pris par des achats dans le dark web… Cet arti­cle a été établi d’après le site Next, le jour­nal Le Pro­grès et la délibéra­tion de la CNIL du 21 juil­let 2026.

C’est une sanc­tion de 500 000 € d’amende que la CNIL a infligée ce jeu­di 3 sep­tem­bre à l’Hôpital privé de la Loire, un étab­lisse­ment du groupe Ram­say San­té. La CNIL n’a pas pour habi­tude de sanc­tion­ner forte­ment des struc­tures comme les hôpi­taux, elle préfère sou­vent les accom­pa­g­n­er dans une démarche de meilleure sécuri­sa­tion de leurs infra­struc­tures. Mais là, il sem­ble que les man­que­ments de sécu­rité de cet hôpi­tal aient large­ment dépassé les bornes de ce que l’autorité peut laiss­er pass­er sans sanc­tion con­cer­nant la mau­vaise pro­tec­tion de don­nées de san­té.

Dans sa délibéra­tion du 21 juil­let, la CNIL explique que cet hôpi­tal a été vic­time d’une vio­la­tion de don­nées de son dossier patient infor­ma­tisé (DPI) en juin 2025. Le “hack­er”, un ado­les­cent parisien répon­dant au nom de Marak, s’é­tait attaqué à l’établissement “par hasard. Je suis tombé sur les iden­ti­fi­ants d’un médecin libéral de la struc­ture, ce qui m’a per­mis d’être dans leur sys­tème de ges­tion. J’ai eu ses logins, bah… j’en ai prof­ité !”. Il avait revendiqué son geste quelques jours plus tard mais avait assuré ne pas avoir reven­du ces don­nées.

Entre le 26 juin et le 1^er juil­let 2025, il a “procédé à l’exfil­tra­tion de 524 867 fich­es patients con­tenant des infor­ma­tions telles que l’état civ­il, le numéro de sécu­rité sociale, les coor­don­nées postales et élec­tron­iques et le numéro d’identifiant per­ma­nent des patients con­cernés”. Plus de 46 000 de ces fich­es étaient aus­si asso­ciées au rec­to de la carte d’identité et plus de 202 000 com­por­taient des don­nées rel­a­tives à la per­son­ne de con­fi­ance désignée par le patient. Enfin, 43 fich­es com­por­taient des don­nées de san­té.

Pas de VPN, d’authentification à 2 facteurs ni d’accès différencié

Dans sa déci­sion, la CNIL souligne “que l’obligation de sécu­rité prévue par l’arti­cle 32 du RGPD est une oblig­a­tion de moyens”. Or, sa rap­por­teure “reproche à l’hôpital de ne pas avoir mis en place des mesures appro­priées pour sécuris­er l’accès au DPI des util­isa­teurs externes”. En effet, au moment de la vio­la­tion de don­nées, cet accès s’effectuait grâce à un iden­ti­fi­ant et un mot de passe mais “sans con­nex­ion préal­able à un VPN, ni moyen d’identification élec­tron­ique à deux fac­teurs”.

Par ailleurs, “la poli­tique d’habilitation était inadéquate : elle ne tenait pas compte de la notion d’équipe de soins, afin que seuls les pro­fes­sion­nels effec­tive­ment impliqués dans la prise en charge d’un patient aient accès aux infor­ma­tions cou­vertes par le secret médi­cal”.

Autre reproche : l’hôpital n’avait pris aucune mesure d’analyse automa­tisée des jour­naux d’évènements per­me­t­tant de repér­er des activ­ités inhab­ituelles sur le DPI. En effet, si la struc­ture hos­pi­tal­ière avait mis en place un cen­tre des opéra­tions de sécu­rité (SOC), un sys­tème de super­vi­sion et un sys­tème de jour­nal­i­sa­tion avec enreg­istrement des traces applica­tives, elle n’avait pas activé l’analyse automa­tique en temps réel des traces applica­tives du DPI.

“Cette carence de sur­veil­lance a per­mis à l’attaquant d’effectuer un nom­bre extrême­ment élevé de requêtes au sein du DPI de l’hôpital pen­dant près d’une semaine”, souligne la rap­por­teure. La CNIL mon­tre d’ailleurs, après analyse des logs, que l’activité de l’attaquant aurait sans doute été détec­tée par un sys­tème automa­tisé : pen­dant la phase d’extraction automa­tique mise en place par l’attaquant, son sys­tème con­sul­tait une moyenne de 73 fich­es de patients par minute.

Un référen­tiel de sécu­rité relatif à l’identification élec­tron­ique des util­isa­teurs des ser­vices numériques en san­té existe pour­tant depuis la pub­li­ca­tion d’un arrêté le 28 mars 2022. Et celui-ci demande expressé­ment de met­tre en place ces dis­posi­tifs pour sécuris­er les con­nex­ions extérieures.

Mot de passe temporaire pour tous et absence d’information

La CNIL pointe aus­si une mau­vaise pra­tique dans la procé­dure de réini­tial­i­sa­tion des mots de passe après l’at­taque. Elle a con­sisté “à n’at­tribuer qu’un mot de passe tem­po­raire iden­tique à l’ensemble des prati­ciens, qui de sur­croit ne leur a pas été trans­mis directe­ment, mais a été com­mu­niqué au prési­dent de la com­mis­sion médi­cale d’établissement, à charge pour lui de le leur retrans­met­tre”.

Ce mot de passe tem­po­raire n’était val­able “que” pen­dant une semaine. Mais la CNIL rap­pelle que, même tem­po­raire, les mots de passe “doivent être con­fi­den­tiels et per­son­nels à chaque util­isa­teur”. L’autorité remar­que que l’hôpital “a au demeu­rant fourni à l’ensemble des util­isa­teurs les moyens de se con­necter à des comptes de tiers, dès lors que tous avaient durant plusieurs jours le même mot de passe, et d’accéder ain­si à toutes les don­nées à car­ac­tère per­son­nel aux­quels ces tiers pou­vaient accéder”.

La rap­por­teure de la CNIL reproche encore à l’hôpital d’avoir lais­sé à la société éditrice du logi­ciel de ges­tion de son DPI un accès per­ma­nent aux don­nées à car­ac­tère per­son­nel des patients. Si l’hôpital a ten­té de met­tre en avant le besoin de cet accès pour un sup­port rapi­de et effi­cace, l’autorité con­sid­ère que l’accès per­ma­nent et sans con­trôle au DPI de l’hôpital et aux don­nées des patients “n’est pas néces­saire au regard de la mis­sion d’assistance tech­nique et de main­te­nance de la société éditrice du logi­ciel”. Elle ajoute même qu’au con­traire, “les salariés de l’éditeur du logi­ciel auraient dû sys­té­ma­tique­ment sol­liciter l’autorisation préal­able de l’hôpital” pour effectuer une opéra­tion de main­te­nance.

Enfin, l’hôpital se voit reprocher sa mau­vaise com­mu­ni­ca­tion envers les per­son­nes con­cernées (fixée par l’arti­cle 34 du RGPD). En effet, si son effort pour con­tac­ter ses patients n’est pas remis en cause, la CNIL con­sid­ère qu’il aurait dû con­tac­ter les 202 246 per­son­nes con­cernées désignées comme “tiers de con­fi­ance” par des patient.es de l’hôpital, alors même que leurs don­nées per­son­nelles avaient égale­ment été dérobées par l’attaquant.

Elle a con­sid­éré que cette omis­sion avait notam­ment privé ces per­son­nes des infor­ma­tions néces­saires pour com­pren­dre la nature de l’attaque et ses con­séquences prob­a­bles, ain­si que pour con­naître les mesures per­me­t­tant d’en lim­iter les con­séquences et se pré­mu­nir d’éventuelles util­i­sa­tions malveil­lantes de leurs don­nées.

Out­re l’amende de 500 000 €, la CNIL enjoint l’Hôpital privé de la Loire de met­tre en con­for­mité ses out­ils de sécu­rité et à n’ouvrir l’accès de l’éditeur du logi­ciel Expert San­té au DPI que sur autori­sa­tion préal­able de l’hôpital sous men­ace de peines de jours-amende. Comme dans toute déci­sion de la CNIL, l’Hôpital Privé de la Loire peut faire un recours devant le Con­seil d’État dans un délai de deux mois.