CNIL : 500 000 € d'amende après une fuite de 727 000 données de santé

La Commission nationale de l'informatique et des libertés (CNIL) a infligé une amende de 500 000 € à l'Hôpital privé de la Loire (HPL), à Saint-Étienne, pour des manquements à la sécurité qui ont permis, à l'été 2025, le vol des données de plus de 727 000 personnes.

Ce que la CNIL reproche à l'établissement

HPL est un hôpital général du groupe Ramsay Santé : 650 salariés dont 180 médecins, 333 lits répartis sur cinq pôles, environ 60 000 patients accueillis chaque année en médecine, chirurgie, maternité, cancérologie et urgences. Un attaquant a accédé au système de dossiers patients informatisés de l'établissement et en a extrait les données de 524 867 patients, ainsi que celles de 202 246 personnes supplémentaires désignées comme « tiers de confiance » — proches ou accompagnants ayant, à un moment, assisté un patient.

Quatre manquements identifiés

• Des utilisateurs externes, comme des médecins libéraux, pouvaient se connecter au système sans VPN ni authentification à plusieurs facteurs.

• Les contrôles d'accès étaient insuffisants : le compte compromis donnait accès aux dossiers de l'ensemble des patients de l'hôpital, pas seulement à ceux suivis par son titulaire.

• Aucune supervision en temps réel ou quasi réel n'existait, ce qui a permis à l'attaquant d'explorer le système et d'exfiltrer un volume important de données sur plusieurs jours sans être repéré.

• Les patients concernés ont été prévenus, mais pas les 202 246 tiers de confiance dont les données avaient également été dérobées.

Ces manquements relèvent des articles 32 et 34 du RGPD, qui imposent respectivement des mesures de sécurité adaptées au risque et une notification des personnes concernées en cas de violation susceptible d'engendrer un risque élevé pour leurs droits. La CNIL relève toutefois que l'établissement a renforcé sa sécurité depuis les faits, un élément dont elle a tenu compte dans le montant de la sanction.

Un adolescent revendique l'attaque

Selon le quotidien régional Le Progrès, contacté sur Telegram par un individu se présentant comme un adolescent sous le pseudonyme « Marak », l'intrusion serait partie de la compromission du compte d'un seul médecin, qui donnait accès à l'ensemble du système interne de l'hôpital. L'attaquant affirme avoir tenté de vendre les données à un unique acheteur, pour une somme comprise entre 2 000 et 5 000 €. Selon les informations disponibles à ce jour, les données n'auraient toutefois été ni vendues ni publiées — une affirmation qui, comme souvent dans ce type d'affaire, ne peut être vérifiée de façon indépendante.

Source

BleepingComputer, « French hospital fined €500,000 after breach exposes data of 727,000 »