Le 3 septembre 2026, la formation restreinte de la CNIL a prononcé une sanction remarquable à l’encontre de l’Hôpital Privé de la Loire (HPL), filiale du groupe Ramsay. Retour sur les faits, la procédure et les enseignements juridiques et techniques à en tirer pour toutes les organisations gérant des données sensibles.
Cette décision est un cas d’école : elle illustre de quelle manière une faille de sécurité élémentaire peut mener à l’exfiltration massive de données à caractère personnel, et comment la CNIL sanctionne une négligence qualifiée d’avérée.
1. Un mode opératoire d’une simplicité redoutable
L’attaque, survenue en juin 2025, repose sur un scénario aussi classique que catastrophique :
-
Accès initial : Le 26 juin 2025, l’attaquant s’est connecté à distance au Dossier Patient Informatisé (DPI) via Internet en utilisant simplement l’identifiant et le mot de passe d’un médecin libéral. Aucun second facteur d’authentification (MFA) n’était exigé.
-
Reconnaissance : Pendant 12 heures, le cyberattaquant a effectué 665 requêtes manuelles pour cartographier le logiciel et l’arborescence des données.
-
Exfiltration massive : Entre le 26 juin et le 1er juillet 2025, 524 867 fiches patients ont été extraites. Elles contenaient l’état civil, les numéros de sécurité sociale, les coordonnées postales et téléphoniques, mais aussi :
-
46 185 cartes d’identité (recto) ;
-
202 246 fiches relatives à des « personnes de confiance » (proches des patients) ;
-
43 dossiers contenant des données de santé.
-
Pourquoi l’attaque a-t-elle pris une telle ampleur ?
-
L’absence de cloisonnement : Le compte du praticien donnait accès à l’intégralité des dossiers de l’hôpital, et pas seulement à ceux de ses propres patients.
-
L’absence de détection automatique : L’attaquant a aspiré en moyenne 73 fiches patients par minute, jour et nuit pendant 5 jours, sans qu’aucune alerte ne se déclenche. C’est le praticien, ne pouvant plus se connecter à son compte, qui a révélé l’incident.
2. La procédure et l’appréciation de la CNIL
À la suite d’un contrôle sur place mené le 29 juillet 2025 et d’une procédure contradictoire, la CNIL a retenu une négligence avérée. L’établissement disposait des moyens financiers et techniques pour éviter ce sinistre, d’autant que ce risque précis avait été identifié par l’hôpital dès 2021 dans une Analyse d’Impact relative à la Protection des Données (AIPD).
Les clés de la sanction :
-
Une amende de 500 000 euros : Si le plafond théorique atteignait 4 % du chiffre d’affaires mondial du groupe Ramsay (soit 215,2 M€), la CNIL a pris en compte le résultat comptable déficitaire de l’hôpital et la mise en place rapide de mesures correctrices (déploiement du MFA).
-
Une portée élargie de la violation : La CNIL a souligné le manquement lié à l’absence d’information des 202 246 « personnes de confiance », pourtant directement exposées par la fuite de leurs données.
-
Une injonction sous astreinte : Le HPL doit mettre en place une analyse proactive des journaux sous 3 mois, revoir sa politique d’habilitations sous 15 mois et encadrer l’accès de l’éditeur du logiciel sous 3 mois, sous peine d’une astreinte de 1 000 € par jour de retard.
-
Une sanction réputationnelle : La décision a été rendue publique et mentionne nommément l’établissement.
3. Ce que cette décision change pour votre entreprise
Cette décision ne concerne pas uniquement le secteur hospitalier. Elle fixe le niveau d’exigence attendu par la CNIL pour tout organisme gérant des données RH, des fichiers clients ou des données sensibles :
-
L’authentification forte (MFA) est devenue un standard obligatoire pour tout accès distant ou extranet.
-
Le principe de moindre privilège et le cloisonnement des accès doivent être strictement appliqués.
-
La gestion et la surveillance des journaux d’accès (logs) doivent inclure des alertes automatisées en cas de comportement anormal.
Codexio Avocats vous accompagne dans la révision de votre Politique de Sécurité des Systèmes d’Information (PSSI), la conduite de vos AIPD, la gestion de crise en cas de cyberattaque (notification CNIL et information des personnes), ainsi que dans l’audit et le suivi des injonctions de conformité RGPD.