L’autorité française de protection des données a imposé une amende de 500 000 € à l’Hôpital privé de la Loire après qu’une enquête a révélé que des mesures de sécurité inadéquates avaient contribué à une violation majeure des données des patients et de tiers.
L’Hôpital privé de la Loire est un hôpital général situé à Saint-Étienne et fait partie du groupe de santé Ramsay Santé. Il propose des services médicaux, chirurgicaux, de maternité, oncologie, de soins intensifs et d’urgence. L’hôpital dispose de 333 lits et traite environ 60 000 patients chaque année.
L’incident s’est produit durant l’été 2025, lorsqu’un attaquant a accédé au système informatisé des dossiers patients de l’hôpital. Selon l’autorité française de protection des données, la CNIL, l’intrus a accédé à des informations appartenant à 524 867 patients et à 202 246 autres personnes désignées par les patients comme tiers de confiance.
La CNIL a ensuite enquêté sur la violation et a conclu que l’hôpital n’avait pas respecté plusieurs obligations en vertu du Règlement général sur la protection des données (RGPD) de l’UE.
L’un des problèmes centraux concernait l’accès à distance au système de dossiers patients. Les utilisateurs externes, y compris les médecins indépendants, pouvaient se connecter sans VPN ni authentification multifacteur. La CNIL a déterminé que l’attaquant exploitait cette faiblesse pour pénétrer dans le système.
Les contrôles d’accès à l’intérieur de la plateforme étaient également jugés insuffisants. Les autorisations n’étaient pas suffisamment restreintes selon les professionnels de santé réellement impliqués dans le traitement d’un individu. En conséquence, les identifiants associés à un seul compte utilisateur donnaient à l’attaquant un accès aux informations couvrant l’ensemble de la population de patients de l’hôpital.
L’enquête a également révélé des lacunes dans la surveillance. L’hôpital ne disposait pas de mécanismes adéquats pour identifier rapidement toute activité suspecte dans son système de dossier patient et générer des alertes. Cela a permis à l’attaquant d’explorer l’environnement pendant plusieurs jours et d’extraire une quantité importante d’informations avant que l’activité ne soit détectée.
La CNIL a pris en compte le nombre de personnes concernées, la sensibilité des informations compromises et les lacunes dans les protections de sécurité de base lors de la détermination de l’amende de 500 000 €.
Le régulateur a identifié une distincte violation du RGPD concernant la manière dont les personnes ont été informées après la violation. Bien que les patients concernés aient reçu des notifications, les 202 246 tiers de confiance dont les informations avaient également été volées n’ont pas été directement informés.
La CNIL a conclu que cela empêchait ces individus de recevoir des informations sur la violation, ses conséquences potentielles et les mesures qu’elles pouvaient prendre pour réduire le risque que leurs informations soient mal utilisées.
Depuis l’incident, l’hôpital a introduit plusieurs améliorations de sécurité. La CNIL lui a ordonné de terminer la mise en œuvre des mesures requises dans des délais allant de trois à quinze mois, selon le contrôle de sécurité spécifique impliqué.
La pénalité de 500 000 € a été officiellement annoncée le 3 septembre 2026, la CNIL invoquant à la fois une protection insuffisante des données personnelles et le manquement de notification directe à toutes les personnes concernées.