Fuite de 524 867 dossiers patients : 500 000 € d'amende pour l'hôpital

Le 3 septembre 2026, la CNIL a prononcé une amende de 500 000 euros contre l’Hôpital privé de la Loire, établissement du groupe Ramsay Santé. L’information est rapportée par Next, qui s’appuie sur la délibération de l’autorité ; c’est à ce jour la seule source disponible sur ce dossier. La sanction porte sur une violation de données survenue en juin 2025 sur le dossier patient informatisé (DPI) de l’établissement. Next rappelle que la CNIL sanctionne rarement lourdement des structures hospitalières, et privilégie l’accompagnement vers une meilleure sécurisation.

Un accès à distance tenu par un identifiant et un mot de passe

L’attaquant s’est connecté au DPI avec les identifiants d’un médecin libéral rattaché à l’établissement. Ces identifiants ont suffi : au moment des faits, l’accès des utilisateurs externes s’effectuait par identifiant et mot de passe, sans connexion préalable à un VPN ni moyen d’identification électronique à deux facteurs.

Ce n’était pas un point d’interprétation. Un référentiel de sécurité relatif à l’identification électronique des utilisateurs des services numériques en santé existe depuis un arrêté publié le 28 mars 2022, et il demande expressément ces dispositifs pour sécuriser les connexions extérieures. La CNIL rappelle par ailleurs que l’obligation de sécurité de l’article 32 du RGPD est « une obligation de moyens » : ce qui est reproché à l’hôpital, c’est de ne pas avoir mis en place des mesures appropriées pour sécuriser cet accès.

Une semaine d’extraction, aucune alerte

Le second manquement relevé porte sur la détection. L’établissement disposait pourtant d’un centre des opérations de sécurité (SOC), d’un système de supervision et d’une journalisation enregistrant les traces applicatives. Ce qui manquait, c’est l’activation de l’analyse automatique en temps réel de ces traces sur le DPI.

La conséquence est chiffrée dans la délibération : pendant la phase d’extraction automatisée, le système de l’attaquant consultait en moyenne 73 fiches de patients par minute, et cela pendant près d’une semaine, entre le 26 juin et le 1er juillet 2025. Après analyse des journaux, la CNIL estime qu’une surveillance automatisée aurait probablement repéré cette activité.

Ce que contenaient les fiches

L’exfiltration a porté sur 524 867 fiches patients comprenant l’état civil, le numéro de sécurité sociale, les coordonnées postales et électroniques et le numéro d’identifiant permanent. Plus de 46 000 d’entre elles étaient associées au recto d’une carte d’identité. Plus de 202 000 comportaient des données relatives à la personne de confiance désignée par le patient — Next évoque 202 246 tiers de confiance concernés. Enfin, 43 fiches contenaient des données de santé.

Ce sont des informations qui ne se révoquent pas : un numéro de sécurité sociale et une pièce d’identité ne se changent pas comme un mot de passe.

Après l’incident, un mot de passe temporaire commun

La CNIL reproche enfin à l’hôpital une mesure prise après la violation : l’attribution d’un mot de passe temporaire identique pour l’ensemble des praticiens. Une remise à zéro des accès censée limiter les dégâts s’est ainsi traduite par un secret partagé entre tous les utilisateurs concernés.

C’est ce cumul que résume la formule retenue par l’autorité, celle d’une absence de « mesures élémentaires de sécurité ». Aucun des trois points relevés ne relève d’une technologie avancée ou d’un budget hors de portée : authentifier les accès distants, surveiller les journaux, ne pas distribuer le même mot de passe à tout le monde.

L’amende, elle, sanctionne l’établissement. Les données de 524 867 personnes sont sorties il y a plus d’un an, et rien dans cette décision ne les fait revenir.