Sanction CNIL : 500 000 € d’amende contre un hôpital privé pour violation du RGPD
Le 3 septembre 2026, la Commission nationale de l’informatique et des libertés (CNIL) a rendu publique une sanction de 500 000 euros à l’encontre d’un hôpital privé, après l’exfiltration des données de plus de 720 000 personnes. Cette sanction CNIL en matière de données de santé est la plus détaillée jamais rendue sur la sécurité d’un dossier patient informatisé (DPI) : elle fixe, point par point, le niveau d’exigence attendu de tout établissement de santé.
Les faits : cinq jours d’exfiltration dans le dossier patient informatisé
L’hôpital privé de la Loire est un établissement de Saint-Étienne intégré depuis 2008 au groupe RAMSAY SANTÉ : environ 50 000 patients par an, 566 salariés en équivalent temps plein et une communauté d’environ 200 praticiens libéraux. En 2025, son dossier patient informatisé contenait les données d’environ 530 000 patients dont l’état civil, numéro de sécurité sociale, identité de la personne de confiance, copie du recto de la carte nationale d’identité dans certains cas, cliché de sécurisation et observations médicales et paramédicales.
Chronologie de la violation de données
- 26 juin 2025 : un attaquant se connecte au DPI avec les identifiants d’un médecin libéral rattaché à l’hôpital. Il consacre environ 12 heures et 665 requêtes à une phase de reconnaissance manuelle.
- 26 juin au 1er juillet 2025 : 524 867 fiches patients sont exfiltrées, soit une moyenne de 73 fiches par minute pendant cinq jours. Parmi elles, 46 185 comportent le recto d’une carte nationale d’identité, 43 comportent des données de santé et 202 246 comportent les données d’une personne désignée comme tiers de confiance (nom, prénom, téléphone, lien de parenté).
- 1er juillet 2025 : l’alerte vient d’un praticien libéral qui ne parvient plus à se connecter. Aucun outil de l’établissement n’avait détecté l’anomalie.
- Début juillet 2025 : notification de la violation de données à la CNIL. Neuf plaintes de personnes concernées sont parallèlement reçues par l’autorité.
- 29 juillet 2025 : contrôle sur place de la CNIL dans les locaux de l’établissement.
- 21 juillet 2026 : décision de la formation restreinte, publiée le 3 septembre 2026.
Cinq carences de sécurité retenues
La formation restreinte rappelle d’abord que l’obligation de sécurité est une obligation de moyens et « la simple survenance d’une violation de données ne caractérise pas à elle seule un manquement à l’article 32 du RGPD », conformément à la jurisprudence de la CJUE.
Autrement dit, ce qui est sanctionné, ce n’est pas l’attaque, mais le fait qu’elle ait été “ rendue possible ou facilitée par l’absence ou l’insuffisance des mesures de sécurité mises en œuvre par un responsable du traitement, compte tenu de l’état de l’art”.
1. Absence d’authentification multifacteur et de VPN pour 450 utilisateurs externes
Au jour de la violation de données, environ 450 utilisateurs externes (praticiens libéraux, secrétariats, salariés de l’éditeur) se connectaient au DPI par un simple accès internet, avec identifiant et mot de passe, sans VPN ni second facteur.
Or, le référentiel d’identification électronique des utilisateurs des services numériques en santé, rendu opposable par l’arrêté du 28 mars 2022, impose une authentification à deux facteurs pour tout accès à distance.
Circonstance aggravante : la version du logiciel déployée proposait déjà l’authentification multifacteur. L’établissement avait choisi, en 2024, de ne pas l’activer pour attendre une solution groupe. Si le MFA avait été activé, l’attaquant aurait pu être bloqué.
2. Une politique d’habilitations sans cloisonnement des dossiers patients
La matrice d’habilitations distinguait bien les métiers (médecins, pharmaciens, brancardiers, service informatique) et les modules accessibles. Mais elle ne prévoyait aucun cloisonnement par patient : tout praticien pouvait accéder aux dossiers de l’ensemble des patients de l’établissement, y compris ceux qu’il n’avait jamais pris en charge.
La CNIL rappelle qu’une politique d’habilitations conforme doit combiner deux critères cumulatifs : le métier exercé et la notion d’équipe de soins au sens des articles L. 1110-4 et L. 1110-12 du code de la santé publique, complétée le cas échéant par un mode « bris de glace » tracé pour les urgences.
C’est cette carence qui explique l’ampleur du sinistre : « si un tel cloisonnement avait été mis en œuvre, la fuite de données aurait été limitée aux seuls dossiers de patients effectivement pris en charge par le médecin dont les identifiants avaient été dérobés ».
Point décisif pour tous les établissements : l’hôpital invoquait les limites techniques de son logiciel. La CNIL écarte l’argument. Ce n’est pas un fait exonératoire, « le responsable de traitement se devant de choisir un outil à jour de l’état de l’art et présentant des garanties de sécurité suffisantes ». L’établissement reste responsable du choix de son éditeur.
3. Une journalisation existante mais jamais analysée
L’établissement disposait d’un EDR, d’un SOC et d’un système de traces applicatives. Néanmoins, ces traces « ne faisaient l’objet d’aucune analyse automatisée ni d’aucun contrôle régulier » et n’étaient exploitées qu’à la demande.
La CNIL est explicite dans sa décision de sanction : « la simple collecte des données de journalisation ne suffit pas à sécuriser un système d’information ». Une analyse automatique aurait révélé un rythme de 73 consultations de dossiers par minute, « incompatible avec une activité humaine ». C’est le manquement qui a le plus directement aggravé l’ampleur de la fuite.
4. Un mot de passe temporaire identique pour tous, transmis par un tiers
Pour réinitialiser les accès, l’hôpital a attribué le même mot de passe temporaire à l’ensemble des praticiens externes, communiqué au président de la commission médicale d’établissement à charge pour lui de le retransmettre.
La CNIL relève que l’établissement a ainsi « fourni à l’ensemble des utilisateurs les moyens de se connecter à des comptes de tiers » et qualifie cette pratique de négligence, « alors même que ce dernier faisait face à une violation de données ». La gestion de crise est donc elle aussi un terrain de contrôle.
5. Un accès permanent et non contrôlé de l’éditeur du logiciel
Les salariés de l’éditeur pouvaient accéder au DPI de leur propre initiative, sans autorisation préalable ni information de l’hôpital, et, faute de cloisonnement, à l’intégralité des dossiers. La CNIL y voit des droits « dépassant les nécessités de sa mission ». Le passage par un serveur bastion, mis en place après l’incident, ne suffit pas : il sécurise l’accès à distance mais ne règle pas la question de l’habilitation.
Manquement à l’obligation d’information : les 202 246 tiers de confiance oubliés
L’hôpital a informé ses patients de plusieurs façons : communiqué sur son site, 126 000 courriels personnalisés selon les données compromises, 210 000 SMS et 88 000 courriers postaux. La CNIL juge cette communication conforme à l’article 34.
En revanche, aucune information directe n’a été délivrée aux 202 246 personnes désignées comme tiers de confiance, l’établissement estimant les données les concernant parcellaires, non sensibles et donc dépourvues de risque élevé.
La formation restreinte écarte ce raisonnement pour trois motifs :
- ces données (nom, prénom, téléphone, lien de parenté) permettent des campagnes d’hameçonnage ciblées ;
- elles doivent être appréciées en lien avec la fiche du patient auquel elles sont rattachées, ce qui ouvre la voie à des usurpations d’identité, « notamment pour tenter d’effectuer des formalités administratives au nom d’un patient décédé » ;
- un communiqué de presse sur le site de l’hôpital ne peut suffire, ces personnes n’ayant « d’autant moins de raison de consulter spontanément ce site web » qu’elles n’ont jamais été patientes.
La CNIL relève enfin que l’hôpital pouvait les identifier dès la notification de la violation et disposait de leur numéro de téléphone : un SMS était possible. L’analyse de risque de l’article 34 doit couvrir toutes les catégories de personnes figurant dans les fichiers exfiltrés, pas seulement les usagers directs.
Pourquoi 500 000 € : le chiffre d’affaires du groupe, pas celui de l’hôpital
L’établissement plaidait la disproportion : 93,4 millions d’euros de chiffre d’affaires pour un résultat net déficitaire de 5,2 millions d’euros sur l’exercice juillet 2024 à juin 2025, auquel s’ajoutaient les coûts de la crise.
La CNIL applique la notion d’« entreprise » au sens du droit de la concurrence, telle qu’interprétée par la CJUE dans les arrêts Deutsche Wohnen (5 décembre 2023, C-807/21) et Ilva A/S (13 février 2025, C-383/23).
Hôpital et groupe RAMSAY SANTÉ relevant de la même unité économique, c’est la capacité financière du groupe qui sert de référence. Le déficit d’une filiale ne protège donc pas de l’amende : le pilotage de la conformité doit être consolidé au niveau du groupe.
Circonstances aggravantes retenues : la gravité, la négligence avérée ( l’AIPD réalisée en 2021 avait déjà qualifié de « maximale » la gravité du risque lié à l’absence de cloisonnement) et la nature des données (copies de CNI, données de santé).
Les injonctions sous astreinte : le vrai coût de la décision
Au-delà de l’amende, la formation restreinte prononce trois injonctions, assorties chacune d’une astreinte de 1 000 € par jour de retard, les justificatifs devant être adressés à la CNIL dans les délais :
- 3 mois : mettre en place une journalisation et une analyse proactive en temps réel ou à très court terme des journaux, avec déclenchement d’alertes et de réponses appropriées ;
- 3 mois : n’ouvrir l’accès de l’éditeur au DPI que sur autorisation préalable de l’hôpital ;
- 15 mois : mettre à jour la politique d’habilitations au regard de la notion d’équipe de soins, avec mécanisme de « bris de glace » pour les urgences.
L’hôpital peut contester la sanction prononcée par la CNIL.
Jessy Pollux
Avocate
Déléguée à la protection des données