L’Hôpital Privé de la Loire est sanctionné par la Commission nationale de l’informatique et des libertés (CNIL). L’autorité a prononcé ce jeudi 3 septembre une amende de 500 000 euros, après une importante violation de données survenue à l’été 2025.
Un attaquant était alors parvenu à se connecter au dossier patient informatisé (DPI) de l’établissement, qui centralise les informations des personnes prises en charge.
Au total, les données de 524 867 patients ont été accessibles, dont, pour certains, des données de santé. Les informations de 202 246 personnes désignées comme « tiers de confiance » ont également été dérobées.
Des failles de sécurité exploitées
Le contrôle mené par la CNIL a mis en évidence plusieurs insuffisances dans les dispositifs de sécurité de l’hôpital.
Pour les utilisateurs extérieurs à l’établissement, notamment les médecins libéraux, l’accès au dossier patient ne reposait notamment ni sur un VPN, ni sur une authentification multifacteur. L’attaquant a exploité cette vulnérabilité pour pénétrer dans le système.
La CNIL a également relevé une gestion insuffisante des droits d’accès. Un seul compte compromis a ainsi permis d'accéder aux données de l’ensemble des patients de l’hôpital, alors que les accès auraient dû être limités aux professionnels effectivement impliqués dans la prise en charge des patients.
Autre problème relevé : l’absence de dispositif permettant de détecter rapidement une activité anormale dans le dossier patient informatisé. L’attaquant a ainsi pu explorer le système pendant plusieurs jours et extraire un volume très important de données sans être détecté.
Des personnes n’ont pas été informées
La CNIL reproche également à l’hôpital de ne pas avoir informé directement les 202 246 tiers de confiance concernés par la fuite.
Seuls les patients concernés avaient été informés de la violation. Pour la CNIL, cette absence d'information a privé les tiers de confiance d’éléments leur permettant de comprendre ce qui s’était passé, d’évaluer les conséquences possibles et de prendre des mesures pour limiter les risques liés à une utilisation malveillante de leurs données.
La CNIL précise toutefois que l’hôpital a renforcé sa sécurité au cours de la procédure. Plusieurs mesures supplémentaires devront encore être mises en œuvre dans des délais allant de trois à quinze mois, selon les dispositifs concernés.
La sanction de 500 000 euros tient notamment compte du nombre de personnes touchées, de la nature des données compromises et des capacités financières de l’établissement.
