Une cyberattaque n’est pas nécessairement synonyme de sanction. En revanche, lorsqu’une violation de données révèle que les mesures de sécurité mises en place étaient insuffisantes ou que les personnes concernées n’ont pas été correctement informées, la responsabilité de l’organisme peut être engagée.
La sanction prononcée en septembre 2026 contre l’Hôpital privé de la Loire, du groupe Ramsay Santé, en constitue une illustration particulièrement concrète.
Une cyberattaque qui expose plus de 700 000 personnes
À l’été 2025, un attaquant est parvenu à accéder au dossier patient informatisé (DPI) de l’établissement, qui centralise les données des personnes prises en charge.
L’attaque a permis l’accès aux données de 524 867 patients, dont certaines données de santé, ainsi qu’aux données de 202 246 personnes désignées par les patients comme « tiers de confiance ».
À la suite de cette violation, la CNIL a contrôlé l’établissement et identifié plusieurs insuffisances dans les mesures mises en œuvre pour protéger les données.
Des mesures de sécurité jugées insuffisantes
La CNIL a notamment retenu un manquement à l’article 32 du RGPD, relatif à la sécurité des données personnelles.
Au moment de l’attaque, l’accès au DPI depuis l’extérieur reposait sur une authentification jugée insuffisamment robuste. La CNIL relève notamment l’absence de VPN et d’authentification multifacteur.
Elle a également constaté une politique d’habilitation insuffisamment cloisonnée : les accès n’étaient pas limités aux professionnels effectivement impliqués dans la prise en charge des patients. Ainsi, l’utilisation des identifiants d’un seul compte a permis à l’attaquant d’accéder aux données de l’ensemble des patients.
Enfin, l’établissement ne disposait pas de mécanismes permettant de détecter suffisamment rapidement une activité anormale. L’attaquant a ainsi pu explorer le DPI pendant plusieurs jours et extraire un volume très important de données sans déclencher d’alerte.
La violation doit également être correctement gérée
La sécurité informatique n’est cependant pas le seul enseignement de cette décision.
La CNIL a également retenu un manquement à l’article 34 du RGPD, relatif à l’information des personnes concernées lorsqu’une violation est susceptible d’engendrer un risque élevé pour leurs droits et libertés.
Si les patients concernés ont été informés, les 202 246 tiers de confiance dont les données avaient également été dérobées ne l’ont pas été directement. Ils n’ont donc pas reçu les informations nécessaires pour comprendre les conséquences possibles de la violation et prendre les mesures permettant d’en limiter les effets.
500 000 € d’amende : un signal pour les ESSMS
Le 3 septembre 2026, la CNIL a prononcé une amende de 500 000 € à l’encontre de l’Hôpital privé de la Loire. La sanction tient notamment compte du nombre de personnes concernées, de la nature des données compromises et de l’insuffisance de mesures de sécurité essentielles. La CNIL a par ailleurs imposé la mise en œuvre complète de mesures correctrices dans des délais allant de trois à quinze mois.
Pour les ESSMS, cette décision doit être considérée comme un véritable signal d’alerte.
Une violation de données n’entraîne pas automatiquement une sanction de la CNIL. Mais elle peut conduire à un contrôle qui mettra en évidence des insuffisances préexistantes dans la sécurité, les habilitations, la détection des incidents ou l’information des personnes.
5 réflexes à avoir en ESSMS
- Sécuriser les accès : mots de passe robustes, MFA, VPN lorsque nécessaire, comptes individuels et gestion des habilitations.
- Limiter les droits d’accès aux seules données nécessaires aux missions de chaque professionnel.
- Surveiller les activités anormales et prévoir des mécanismes d’alerte.
- Préparer une procédure de gestion des violations de données permettant d’identifier, documenter, contenir et notifier l’incident lorsque cela est nécessaire.
- Ne pas oublier les personnes concernées : patients, résidents, usagers, proches, représentants légaux ou tiers dont les données auraient également été compromises.
La cybersécurité et la conformité RGPD ne doivent donc pas être envisagées uniquement après une attaque. Pour un ESSMS, elles constituent un enjeu permanent de protection des personnes accompagnées et de maîtrise du risque.
Sources :
