Début septembre, la Cnil a annoncé avoir infligé une amende de 500 000 euros à l’Hôpital privé de la Loire après une cyberattaque survenue à l’été 2025 et ayant conduit à l’exfiltration de près de 525 000 dossiers de patients. Elle relève une absence de double authentification, des droits d’accès trop larges ou encore une surveillance insuffisante des journaux. La Commission rappelle plusieurs mesures de sécurité élémentaires qui auraient pu empêcher ou limiter l’attaque.
La Commission nationale de l’informatique et des libertés (Cnil) a rendu publique, début septembre, sa délibération à l’encontre de l’Hôpital privé de la Loire (Saint-Étienne) à la suite d’une attaque informatique survenue pendant l’été 2025. Elle inflige à la clinique ligérienne d’une amende de 500 000 euros pour négligence. Cette sanction, la plus lourde pour un établissement de santé, tient compte notamment du nombre de personnes concernées, de la nature des données compromises et de ses capacités financières.
Un hacker avait accédé au DPI de l’Hôpital privé de la Loire en utilisant les identifiants compromis d’un médecin libéral
Entre le 26 juin et le 1er juillet 2025, un hacker avait accédé au dossier patient informatisé (DPI) de l’Hôpital privé de la Loire en utilisant les identifiants compromis d’un médecin libéral. Il avait ensuite exfiltré 524 867 fiches de patients, comprenant de nombreuses données de santé, ainsi que des données personnelles de 202 246 tiers de confiance. Suite à cette fuite de données, la CNIL a mené un contrôle ayant mis en évidence plusieurs manquements au Règlement Général sur la Protection des Données (RGPD).
Une procédure d’identification jugée insuffisante
Le plus important manquement au RGPD concerne l’obligation d’assurer la sécurité des données personnelles. La CNIL a constaté « qu’au jour de la violation de données, l’Hôpital privé de la Loire n’avait pas mis en œuvre certaines mesures élémentaires de sécurité qui auraient pu rendre l’attaque plus difficile ». Elle juge insuffisamment robuste la procédure d’identification pour se connecter au DPI de la clinique, en raison de l’absence de VPN ou d’authentification à deux facteurs (2FA). L’accès au portail reposait uniquement sur un identifiant et un mot de passe.
Pas de dispositif pour détecter une activité suspecte en temps réel ou à très court terme
La Cnil note que le logiciel utilisé permettait pourtant de mettre en place une authentification multi-facteur. C’est seulement après l’incident que l’établissement a rectifié le tir. La Commission souligne également que l’hôpital n’avait pas pris de mesures pour détecter une activité suspecte au sein du DPI en temps réel ou à très court terme, et de déclencher le cas échéant un mécanisme d’alerte. Ainsi, le pirate a pu mener pendant environ 12 heures une première phase de reconnaissance, avec 665 requêtes, avant d’automatiser l’extraction pendant 5 jours.
L’Hôpital privé de la Loire connaissait le niveau de risque
Par ailleurs, la CNIL remet en cause la gestion de l’après-attaque. Si l’Hôpital privé de la Loire a informé ses patients par mail, courrier ou SMS, il n’a pas directement prévenu les près de 200 000 tiers de confiance dont les données avaient été dérobées. Cet oubli a privé ces personnes physiques ou morales d’« informations nécessaires pour comprendre la nature de l’attaque et ses conséquences probables », ainsi que d’informations sur les mesures à prendre pour limiter les conséquences de la fuite. Ces fautes sont d’autant inacceptables que la clinique connaissait le niveau de risque puisque son analyse d’impact réalisée en 2021 qualifiait déjà sa gravité de « maximale ».
L’Hôpital privé de la Loire doit mettre en place des mesures dans un délai de 3 à 15 mois
La Cnil laisse désormais un délai de 3 à 15 mois à la clinique pour renforcer sa sécurité informatique. Elle impose à l’Hôpital privé de la Loire de mettre en place au plus vite une analyse proactive des journaux, de revoir sa politique d’habilitation pour limiter l’accès aux seuls dossiers nécessaires à la prise en charge ainsi que d’empêcher l’éditeur du logiciel d’accéder en permanence au DPI sans autorisation préalable. Si ces mesures ne sont pas déployées dans le délai fixé, l’autorité menace la clinique d’une astreinte de 1000 euros par jour de retard.
