C’est une sanction de 500 000 euros d’amende que la CNIL a infligée ce jeudi 3 septembre à l’Hôpital privé de la Loire, un établissement du groupe Ramsay Santé.

La CNIL n’a pas pour habitude de sanctionner fortement des structures comme les hôpitaux, elle préfère souvent les accompagner dans une démarche de meilleure sécurisation de leurs infrastructures. Mais là, il semble que les manquements de sécurité de cet hôpital aient largement dépassé les bornes de ce que l’autorité peut laisser passer sans sanction concernant la mauvaise protection de données de santé.

Dans sa délibération, la CNIL explique que cet hôpital a été victime d’une violation de données de son dossier patient informatisé (DPI) en juin 2025. L’attaquant s’est connecté au DPI via les identifiants d’un médecin libéral rattaché à la structure.

Entre le 26 juin et le 1er juillet 2025, il a « procédé à l’exfiltration de 524 867 fiches patients contenant des informations telles que l’état civil, le numéro de sécurité sociale, les coordonnées postales et électroniques et le numéro d’identifiant permanent des patients concernés ». Plus de 46 000 de ces fiches étaient aussi associées au recto de la carte d’identité et plus de 202 000 comportaient des données relatives à la personne de confiance désignée par le patient. Enfin, 43 fiches comportaient des données de santé.

Pas de VPN ni d’authentification à 2 facteurs

Dans sa décision, la CNIL souligne « que l’obligation de sécurité prévue par l’article 32 du RGPD est une obligation de moyens ». Or, sa rapporteure « reproche à l’hôpital de ne pas avoir mis en place des mesures appropriées pour sécuriser l’accès au DPI des utilisateurs externes ». En effet, au moment de la violation de données, cet accès s’effectuait grâce à un identifiant et un mot de passe mais « sans connexion préalable à un VPN, ni moyen d’identification électronique à deux facteurs ».

Un référentiel de sécurité relatif à l’identification électronique des utilisateurs des services numériques en santé existe pourtant depuis la publication d’un arrêté le 28 mars 2022. Et celui-ci demande bien expressément de mettre en place ces dispositifs pour sécuriser les connexions extérieures.

La rapporteure souligne que, justement, l’attaquant a exploité cette vulnérabilité pour accéder au dossier patient informatisé de l’hôpital et extraire les données qu’il contenait.

Pas de surveillance automatique des logs

Autre reproche : l’hôpital n’avait pris aucune mesure d’analyse automatisée des journaux d’évènements permettant de repérer des activités inhabituelles sur le DPI. En effet, si la structure hospitalière avait mis en place un centre des opérations de sécurité (SOC), un système de supervision et un système de journalisation avec enregistrement des traces applicatives, elle n’avait pas activé l’analyse automatique en temps réel des traces applicatives du DPI.

« Cette carence de surveillance a permis à l’attaquant d’effectuer un nombre extrêmement élevé de requêtes au sein du DPI de l’hôpital pendant près d’une semaine », souligne la rapporteure. La CNIL montre d’ailleurs, après analyse des logs, que l’activité de l’attaquant aurait sans doute été détectée par un système automatisé : pendant la phase d’extraction automatique mise en place par l’attaquant, son système consultait une moyenne de 73 fiches de patients par minute.

Un mot de passe temporaire pour tous

Et ce n’est pas tout. La CNIL pointe une mauvaise pratique mise en place par l’hôpital pour atténuer les effets de l’attaque. En effet, celui-ci a enclenché une procédure de réinitialisation des mots de passe. Mais celle-ci était pour le moins problématique : elle a consisté « à attribuer un mot de passe temporaire identique à l’ensemble des praticiens, qui de surcroit ne leur a pas été transmis directement, mais a été communiqué au président de la commission médicale d’établissement, à charge pour lui de le leur retransmettre ». L’hôpital a reconnu le problème mais a insisté sur le caractère d’urgence de cette mesure.

Précisons quand même que ce mot de passe temporaire n’était valable « que » pendant une semaine. Mais la CNIL rappelle que, même temporaire, les mots de passe « doivent être confidentiels et personnels à chaque utilisateur ». L’autorité remarque que l’hôpital « a au demeurant fourni à l’ensemble des utilisateurs les moyens de se connecter à des comptes de tiers, dès lors que tous avaient durant plusieurs jours le même mot de passe, et d’accéder ainsi à toutes les données à caractère personnel auxquels ces tiers pouvaient accéder ».

La rapporteure de la CNIL reproche encore à l’hôpital d’avoir laissé à la société éditrice du logiciel de gestion de son DPI un accès permanent aux données à caractère personnel des patients. Si l’hôpital a tenté de mettre en avant le besoin de cet accès pour un support rapide et efficace, l’autorité considère que l’accès permanent et sans contrôle au DPI de l’hôpital et aux données des patients « n’est pas nécessaire au regard de la mission d’assistance technique et de maintenance de la société éditrice du logiciel ». Elle ajoute même qu’au contraire, « les salariés de l’éditeur du logiciel auraient dû systématiquement solliciter l’autorisation préalable de l’hôpital » pour effectuer une opération de maintenance.

Enfin, l’hôpital se voit reprocher sa mauvaise communication envers les personnes concernées. En effet, si son effort pour contacter ses patients n’est pas remis en cause, la CNIL considère qu’il aurait dû contacter les 202 246 personnes concernées désignées comme tiers de confiance par des patients de l’hôpital.

Outre l’amende de 500 000 euros prononcée par la CNIL, l’autorité enjoint l’Hôpital privé de la Loire de mettre en conformité ses outils de sécurité et à n’ouvrir l’accès de l’éditeur du logiciel Expert Santé au DPI que sur autorisation préalable de l’hôpital sous menace de peines de jours-amende. Comme dans pareille décision de la CNIL, l’Hôpital privé de la Loire peut faire un recours devant le Conseil d’État dans un délai de deux mois.