Le 3 septembre 2026, la CNIL a rendu publique une amende de 500 000 euros à l'encontre de l'Hôpital privé de la Loire (délibération de la formation restreinte n° SAN-2026-009 du 21 juillet 2026).
L'établissement a subi une attaque dont il était la victime, il l'a notifiée à la CNIL, et c'est la manière dont il a géré l'après qui lui a coûté 500 000 euros et la publicité de la décision.
1. Été 2025.
Un attaquant se connecte au dossier patient informatisé (DPI) de l'établissement, qui centralise l'ensemble des données des personnes prises en charge. Il accède aux données de 524 867 patients, dont pour certains des données de santé, et de 202 246 personnes désignées comme tiers de confiance.
2. Cinq jours sans détection.
L'établissement n'avait pas déployé de dispositif permettant de repérer une activité suspecte dans le DPI en temps réel ou à très court terme, ni de déclencher une alerte. L'attaquant a donc pu explorer le système pendant plusieurs jours et extraire un volume très important de données sans que cette activité anormale soit repérée. Selon le compte rendu de la séance publique de la formation restreinte, la violation a été découverte de manière fortuite, par le service informatique intervenant auprès d'un praticien qui n'arrivait plus à se connecter.
3. La notification.
L'établissement notifie la violation à la CNIL, comme l'article 33 du RGPD l'y oblige. Il informe les patients concernés. Il n'informe pas les 202 246 tiers de confiance.
4. Le silence.
La CNIL ne formule pas d'objection à ce plan d'information au stade de la notification. L'établissement en déduira, jusqu'en séance, qu'il avait été validé.
5. Le contrôle.
La CNIL ouvre un contrôle à la suite de la violation. Ce contrôle met en évidence plusieurs manquements aux obligations du RGPD.
6. La séance.
Le 18 juin 2026, la formation restreinte examine le dossier en audience publique.
7. La décision.
Le 21 juillet 2026 : 500 000 euros, publicité de la décision, et obligation d'achever les mesures de sécurité engagées dans des délais échelonnés de trois à quinze mois selon leur nature.
Treize mois séparent l'intrusion de la sanction.
C'est le premier enseignement, et le plus contre-intuitif.
Beaucoup d'organisations traitent la notification à l'autorité de contrôle comme un point d'arrivée. Le formulaire est déposé, l'obligation est remplie, le dossier se referme. Le silence de la CNIL qui suit est alors interprété comme un quitus. Cependant, ill ne l'est pas.
La notification article 33 est un point de départ. Elle place l'organisation sous observation pour douze à dix-huit mois, et le contrôle qui peut en découler n'a pas pour périmètre l'incident notifié : il a pour périmètre le traitement.
L'établissement a construit une partie de sa défense sur le fait que la CNIL n'avait rien objecté à son plan d'information lorsque la violation lui avait été notifiée. Cet argument n'a pas prospéré. À retenir tel quel, et à faire circuler en interne : l'absence de réaction de l'autorité au stade de la notification ne vaut ni validation, ni confiance légitime.
Le communiqué de la CNIL détaille trois défaillances de sécurité qui se cumulent, et dont l'articulation est remarquablement pédagogique.
1. L'authentification des accès externes : La procédure de connexion au DPI utilisée par les utilisateurs extérieurs à l'établissement, notamment les médecins libéraux, n'était pas suffisamment robuste, faute de VPN et d'authentification multifacteur. C'est par là que l'attaquant est entré.
La politique d'habilitation : Elle ne tenait pas compte de la notion d'équipe de soins, qui veut que seuls les professionnels effectivement impliqués dans la prise en charge d'un patient accèdent aux informations couvertes par le secret médical. Cette absence de cloisonnement a permis à l'attaquant, avec les identifiants d'un seul compte, d'atteindre les données de l'intégralité des patients. La CNIL fait ainsi entrer une exigence issue du code de la santé publique dans le champ des mesures techniques exigibles au titre de l'article 32.
La détection : Absence de moyens de repérage d'une activité anormale, ce qui a directement aggravé l'ampleur de la violation.
Le mécanisme est limpide : la première faiblesse ouvre la porte, la deuxième démultiplie l'assiette des données atteintes, la troisième prolonge la durée de l'exposition. Trois questions suffisent désormais à qualifier un risque de sanction sur n'importe quel référentiel centralisé.
Mais le compte rendu de la séance publique révèle que le rapporteur a soulevé d'autres griefs, sans lien direct avec le vecteur d'intrusion :
Ce dernier point mérite qu'on s'y arrête. Une mesure de remédiation décidée dans l'urgence de la première semaine devient un grief autonome au douzième mois. La gestion de crise ne se déroule pas hors du RGPD, et elle sera relue à froid.
C'est le second manquement retenu, et c'est l'apport le plus neuf de la décision.
Seuls les patients concernés ont été informés. Aucune information directe n'a été délivrée aux 202 246 personnes désignées comme tiers de confiance, alors que leurs données personnelles avaient elles aussi été dérobées.
La formation restreinte a considéré que cette omission avait privé ces personnes des éléments nécessaires pour comprendre la nature de l'attaque et ses conséquences probables, ainsi que pour connaître les mesures leur permettant d'en limiter les effets et de se prémunir d'usages malveillants de leurs données.
Deux lignes de défense ont été écartées, et l'une comme l'autre dépasse largement le secteur de la santé.
« Le risque pour ces personnes était faible. » L'appréciation du risque au titre de l'article 34 n'est pas discrétionnaire. Elle ne se déduit pas de l'absence d'usage frauduleux constaté à la date de la décision, et elle doit être documentée au moment où elle est prise.
« Nous n'avions pas leurs coordonnées, ou pas sous une forme exploitable. » Aucun raisonnement fondé sur l'effort disproportionné n'a prospéré. Et ici c'est un risque qui est trop souvent pris : une personne de confiance est, par construction, une personne que l'établissement doit pouvoir joindre. Si ses coordonnées sont inexploitables, ce n'est pas un obstacle à la notification. C'est un manquement de plus, cette fois à l'exactitude des données.
Cinq points, applicables dès la semaine prochaine, et indépendants du secteur.
1. Cartographier les personnes concernées qui ne sont pas vos usagers. Personnes de confiance, contacts d'urgence, ayants droit, aidants, garants, cautions, bénéficiaires, référents désignés. Elles figurent dans vos bases, elles n'ont jamais eu de relation directe avec vous, et elles sont des personnes concernées au sens plein.
2. Documenter la décision d'informer ou de ne pas informer. Pas la conclusion : le raisonnement, les critères, la date, l'auteur. Une appréciation défendable est une appréciation écrite au moment où elle est prise.
3. Ne jamais lire le silence de l'autorité comme une validation. Rien, dans la procédure de notification, ne produit d'effet libératoire.
4. Traiter la gestion de crise comme un objet de conformité. Les mesures prises dans les 72 heures seront examinées à froid douze mois plus tard. Faire valider les décisions techniques d'urgence par le DPO n'est pas un ralentissement, c'est une assurance.
5. Reprendre les analyses d'impact dormantes. Une AIPD dont les risques identifiés n'ont pas fait l'objet d'un plan d'action daté et suivi est un aveu documenté. C'est probablement l'action la plus rentable de cette liste.
Cet article s'appuie sur le communiqué publié par la CNIL le 3 septembre 2026 et sur la délibération n° SAN-2026-009 du 21 juillet 2026, publiée sur Légifrance.
DATA TREAT accompagne les responsables de traitement sur la gouvernance RGPD et AI Act, la gestion des violations de données et la fonction de DPO externalisé.
Lisez nos derniers articles et restez informés sur l'IA.
.png){kind=icon}