Données de santé : 500 000 euros d'amende pour l'Hôpital privé de la Loire

Un seul compte a ouvert l'accès à l'ensemble des dossiers

Les faits remontent à l'été 2025. Selon la CNIL, un attaquant a réussi à se connecter au dossier patient informatisé, appelé DPI, de l'Hôpital privé de la Loire. Ce système centralise les informations des personnes prises en charge par l'établissement.

Le point le plus important n'est pas seulement l'accès initial. La CNIL indique que la politique d'habilitation ne limitait pas les droits selon l'équipe de soins. Autrement dit, les identifiants d'un seul utilisateur ont permis d'accéder aux données de tous les patients de l'hôpital, au lieu de restreindre l'accès aux seuls dossiers nécessaires à la prise en charge.

Cette différence est concrète. Une authentification valide ne suffit pas à garantir qu'une personne doit voir tous les dossiers. Les droits d'accès doivent aussi être limités à ce qui est nécessaire. C'est l'une des raisons pour lesquelles la CNIL a retenu un manquement à l'obligation de sécurité prévue par le RGPD.

Pas de VPN ni de double vérification pour les accès externes

La procédure de connexion destinée aux utilisateurs extérieurs, notamment aux médecins libéraux, n'était pas suffisamment robuste. La CNIL relève l'absence de VPN et d'authentification multifacteur. Elle précise que l'attaquant a exploité cette faiblesse pour accéder au dossier patient informatisé.

L'authentification multifacteur ajoute une vérification en plus du mot de passe, par exemple une validation depuis un appareil ou un code temporaire. Elle ne rend pas un système invulnérable, mais elle peut empêcher qu'un identifiant seul suffise à entrer. Dans cette affaire, son absence faisait partie des mesures élémentaires manquantes relevées par l'autorité.

La CNIL ne présente donc pas la sanction comme la conséquence d'une seule erreur isolée. Elle décrit une accumulation : une connexion externe insuffisamment protégée, des droits trop larges et une surveillance qui n'a pas repéré une activité pourtant anormale.

Une exploration restée invisible pendant plusieurs jours

Une fois connecté, l'attaquant a pu explorer le DPI durant plusieurs jours et en extraire un volume important de données, sans être détecté. La CNIL reproche à l'hôpital l'absence de mesures capables de repérer rapidement une activité suspecte et de déclencher une alerte.

Ce délai a aggravé l'ampleur de la violation. L'autorité indique que 524 867 patients ont été concernés, dont certains pour des données de santé. Elle recense aussi 202 246 tiers de confiance désignés par des patients. Ces deux catégories représentent 727 113 personnes, mais ce total ne permet pas de savoir quelles données exactes ont été vues pour chacune d'elles.

La nature médicale de certains dossiers explique la gravité particulière du dossier. Les données de santé sont sensibles : une fois associées à l'identité d'une personne, elles peuvent nourrir du chantage ou des messages frauduleux qui paraissent crédibles.

Les tiers de confiance n'ont pas été informés directement

La CNIL constate que l'établissement a informé les patients concernés, mais pas directement les 202 246 personnes désignées comme tiers de confiance. Pourtant, leurs données personnelles avaient elles aussi été dérobées, selon la décision résumée par l'autorité.

Pour la CNIL, cette omission empêchait ces personnes de comprendre l'attaque, d'en mesurer les conséquences possibles et de connaître les précautions utiles. L'information des personnes touchées n'est pas une formalité : elle permet notamment d'anticiper les tentatives d'escroquerie qui utilisent le nom d'un hôpital ou un contexte de santé.

L'Hôpital privé de la Loire a renforcé plusieurs mesures de sécurité pendant la procédure. La CNIL exige qu'il achève ces améliorations dans des délais allant de trois à quinze mois selon les mesures concernées.

Quels réflexes pour les personnes concernées ?

Une personne qui reçoit un message inattendu évoquant son dossier médical, un remboursement ou une mise à jour urgente doit éviter d'utiliser le lien ou le numéro fourni. Les données de santé peuvent rendre un faux message plus crédible, sans pour autant prouver que ce message vient de l'établissement.

Le bon réflexe consiste à retrouver soi-même les coordonnées officielles de l'établissement ou du professionnel de santé, puis à demander si la démarche est réelle. Il ne faut jamais communiquer un code reçu par SMS ou des informations bancaires à un interlocuteur qui appelle de manière imprévue.

Ces précautions ne remplacent pas les obligations de l'établissement. Elles limitent simplement le risque que la violation soit suivie d'une seconde attaque, cette fois par hameçonnage ou par faux appel.

Ce que nous ne pouvons pas vérifier

La publication de la CNIL ne précise pas comment l'attaquant a obtenu les identifiants utilisés, ni quelles catégories précises de données ont été consultées pour chaque patient ou tiers de confiance. Elle indique seulement que certains patients avaient des données de santé dans le DPI.

Nous ne pouvons pas non plus établir, à partir de cette source, si les données extraites ont ensuite été diffusées, revendues ou utilisées dans des escroqueries. La CNIL décrit l'accès, l'exploration et l'extraction de données, mais ne fournit pas publiquement ces éléments de suivi.

Sources : CNIL ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.