La Commission nationale de l'informatique et des libertés (CNIL) a sanctionné un hôpital pour des manquements graves à la sécurité ayant permis l'accès aux données de plus de 700 000 personnes, et pour n'avoir informé qu'une partie des victimes de la violation.

Faits et contexte

La Commission nationale de l'informatique et des libertés (CNIL) a publié une décision de sanction à l'encontre de l'HÔPITAL PRIVÉ DE LA LOIRE, comprenant le prononcé d'une amende de 500 000 €, pour des manquements liés à la sécurité des données des patients et à l'information des personnes suite à une violation de données.

L'affaire trouve son origine dans une violation de données survenue durant l'été 2025, au cours de laquelle un attaquant a accédé au dossier patient informatisé de l'établissement, compromettant les données de 524 867 patients et de 202 246 "tiers de confiance".

Motifs de la décision

• Obligation d'assurer la sécurité des données personnelles (article 32 du RGPD) : La formation restreinte a jugé que les mesures de sécurité étaient insuffisantes au regard de la nature et du volume des données traitées. Elle a relevé que la procédure d'authentification des utilisateurs externes au dossier patient informatisé était dépourvue de mécanisme d'authentification multifacteur et ne reposait pas sur un réseau privé virtuel. De plus, la politique d'habilitation ne limitait pas l'accès aux données aux seuls professionnels impliqués dans la prise en charge d'un patient, permettant à l'attaquant, via un seul compte, d'accéder à l'intégralité des dossiers. Enfin, l'absence de mesures de détection d'activité suspecte a permis à l'attaquant d'extraire un volume considérable de données sur plusieurs jours sans être repéré.
• Obligation d'informer les personnes concernées par la violation (article 34 du RGPD) : L'autorité a constaté que l'hôpital n'avait pas communiqué la violation de données aux 202 246 personnes désignées comme "tiers de confiance", dont les données personnelles avaient pourtant été compromises. Cette omission a privé ces personnes d'informations essentielles pour comprendre les risques et prendre des mesures afin de se prémunir contre une utilisation malveillante de leurs données.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 500 000 € à l'HÔPITAL PRIVÉ DE LA LOIRE.

En outre, l'autorité a ordonné à l'hôpital de finaliser la mise en œuvre des mesures de sécurité correctrices dans des délais de trois à quinze mois.

Enseignements

Cette décision rappelle que :

• La sécurité des données de santé impose la mise en œuvre de mesures techniques cumulatives, notamment une authentification forte pour les accès externes, une gestion des habilitations stricte basée sur le besoin d'en connaître et des mécanismes de surveillance pour détecter les activités anormales.
• L'obligation d'information en cas de violation de données, prévue à l'article 34 du RGPD, s'étend à toutes les personnes physiques dont les données ont été compromises, et pas uniquement aux personnes au cœur du traitement principal (ici, les patients).
• L'adéquation des mesures de sécurité doit être évaluée au regard des risques, et même si le risque zéro n'existe pas, l'absence de mesures élémentaires face à des risques élevés constitue un manquement.