Un hôpital français écope d’une amende de 500 000 euros après une faille de sécurité majeure. Plus de 700 000 dossiers de patients et proches ont été exposés. L’enquête révèle des manquements critiques en matière de cybersécurité et de communication.
Une cyberattaque visant un hôpital français a exposé les données personnelles de centaines de milliers de personnes. L’autorité française de protection des données, la CNIL, a infligé une amende de 500 000 euros à l’Hôpital Privé de la Loire, estimant que l’établissement n’avait pas mis en place des mesures de sécurité suffisantes.
Cet incident remonte à l’été 2025. Un attaquant a réussi à pénétrer le système d’information centralisant les dossiers des patients. Selon la CNIL, les données de 524 867 patients ont été compromises, incluant des informations médicales sensibles. Les coordonnées de 202 246 personnes enregistrées comme « personnes de confiance » ont également été volées.
Au total, cette violation concerne les données de plus de 727 000 individus.
Des failles de sécurité qui ont facilité l’attaque : pas de VPN, pas d’authentification multifacteur
L’enquête de la CNIL a mis en lumière plusieurs lacunes dans la protection du système hospitalier. Une des principales concernait l’accès au dossier patient informatisé (DPI) par des utilisateurs externes, comme des médecins exerçant hors de l’hôpital.
Le système ne reposait ni sur un VPN ni sur une authentification multifacteur (MFA) pour sécuriser la connexion. Cette vulnérabilité a été exploitée par le cybercriminel pour s’introduire.
La politique de contrôle des accès était également jugée insuffisante. L’hôpital n’avait pas correctement appliqué le principe de « l’équipe de soins », qui limite l’accès aux informations d’un patient aux seuls professionnels impliqués dans son traitement.
Concrètement, après avoir obtenu les identifiants d’un seul compte, l’attaquant a pu accéder aux dossiers de tous les patients de l’établissement.
L’attaque est restée invisible pendant plusieurs jours
Un autre problème majeur relevé par la CNIL est l’absence de mécanismes efficaces pour repérer les comportements suspects au sein du système.
L’hôpital ne possédait pas d’outils capables d’identifier rapidement les activités anormales et de générer des alertes.
Cette lacune a permis à l’intrus de rester dans le système pendant plusieurs jours, consultant et exfiltrant une masse importante de données sans être repéré.
Pour la CNIL, ce défaut a directement contribué à aggraver l’ampleur de la fuite de données.
L’autorité rappelle qu’aucun système n’est invulnérable, mais elle souligne que des mesures de sécurité adaptées peuvent réduire fortement la probabilité d’un incident et ses conséquences.
L’hôpital a également manqué à ses obligations de communication
La CNIL a constaté une seconde violation du RGPD.
Si les patients affectés ont été informés, l’hôpital n’a pas notifié directement les 202 246 personnes listées comme « personnes de confiance », bien que leurs données aient aussi été dérobées.
Pour la CNIL, ces individus auraient dû recevoir des informations sur l’attaque, ses implications potentielles et les démarches possibles pour se protéger contre une utilisation frauduleuse de leurs données.
Ce manquement a conduit l’autorité à considérer que l’hôpital avait aussi enfreint les obligations de l’article 34 du RGPD, concernant l’information des personnes affectées par une violation de données.
Une amende de 500 000 euros
Face à l’ampleur de l’incident, la nature des données exposées et les manquements constatés, la CNIL a prononcé une amende de 500 000 euros contre l’Hôpital Privé de la Loire.
La décision a pris en compte la capacité financière de l’institution et le nombre de personnes impactées.
L’hôpital a depuis adopté plusieurs mesures pour renforcer sa sécurité informatique. La CNIL a imposé des délais, allant de trois à quinze mois, pour la finalisation de certaines de ces actions correctives.