# CNIL : 500 000 € d'amende après une fuite de 727 000 données de santé

> Absence de VPN, pas d'authentification à plusieurs facteurs : la CNIL détaille les manquements de l'Hôpital privé de la Loire

- Source : KLYNLABS (https://klynlabs.eu)
- URL : https://klynlabs.eu/articles/cnil-amende-hopital-prive-loire-fuite-727-000-donnees
- Auteur : Kelvyn
- Publié le : 4 septembre 2026 (2026-09-04T00:46:00.000Z)
- Rubrique : Cybersécurité
- Sujets : Fuite de données, Santé, RGPD, CNIL
- Langue : français

La Commission nationale de l'informatique et des libertés (CNIL) a infligé une amende de 500 000 € à l'Hôpital privé de la Loire (HPL), à Saint-Étienne, pour des manquements à la sécurité qui ont permis, à l'été 2025, le vol des données de plus de 727 000 personnes.

## Ce que la CNIL reproche à l'établissement

HPL est un hôpital général du groupe Ramsay Santé : 650 salariés dont 180 médecins, 333 lits répartis sur cinq pôles, environ 60 000 patients accueillis chaque année en médecine, chirurgie, maternité, cancérologie et urgences. Un attaquant a accédé au système de dossiers patients informatisés de l'établissement et en a extrait les données de 524 867 patients, ainsi que celles de 202 246 personnes supplémentaires désignées comme « tiers de confiance » — proches ou accompagnants ayant, à un moment, assisté un patient.

## Quatre manquements identifiés

- Des utilisateurs externes, comme des médecins libéraux, pouvaient se connecter au système sans VPN ni authentification à plusieurs facteurs.
- Les contrôles d'accès étaient insuffisants : le compte compromis donnait accès aux dossiers de l'ensemble des patients de l'hôpital, pas seulement à ceux suivis par son titulaire.
- Aucune supervision en temps réel ou quasi réel n'existait, ce qui a permis à l'attaquant d'explorer le système et d'exfiltrer un volume important de données sur plusieurs jours sans être repéré.
- Les patients concernés ont été prévenus, mais pas les 202 246 tiers de confiance dont les données avaient également été dérobées.

Ces manquements relèvent des articles 32 et 34 du RGPD, qui imposent respectivement des mesures de sécurité adaptées au risque et une notification des personnes concernées en cas de violation susceptible d'engendrer un risque élevé pour leurs droits. La CNIL relève toutefois que l'établissement a renforcé sa sécurité depuis les faits, un élément dont elle a tenu compte dans le montant de la sanction.

## Un adolescent revendique l'attaque

Selon le quotidien régional Le Progrès, contacté sur Telegram par un individu se présentant comme un adolescent sous le pseudonyme « Marak », l'intrusion serait partie de la compromission du compte d'un seul médecin, qui donnait accès à l'ensemble du système interne de l'hôpital. L'attaquant affirme avoir tenté de vendre les données à un unique acheteur, pour une somme comprise entre 2 000 et 5 000 €. Selon les informations disponibles à ce jour, les données n'auraient toutefois été ni vendues ni publiées — une affirmation qui, comme souvent dans ce type d'affaire, ne peut être vérifiée de façon indépendante.

> Ce que cette affaire illustre, une fois de plus : la plupart des violations massives de données de santé ne commencent pas par une faille technique sophistiquée, mais par un compte individuel mal protégé — ici, l'absence de VPN et d'authentification à plusieurs facteurs pour les accès externes au système.

## À retenir

- La CNIL sanctionne l'Hôpital privé de la Loire (Saint-Étienne, groupe Ramsay Santé) à hauteur de 500 000 € après une fuite touchant plus de 727 000 personnes.
- L'intrusion daterait de l'été 2025 et serait partie de la compromission d'un seul compte de médecin, sans VPN ni authentification à plusieurs facteurs.
- Les 202 246 « tiers de confiance » dont les données ont été volées n'ont pas été notifiés individuellement, contrairement aux patients.
- Selon le pirate revendiquant l'attaque, les données n'auraient pas été vendues — une affirmation invérifiable à ce stade.

## Source

[BleepingComputer, « French hospital fined €500,000 after breach exposes data of 727,000 »](https://www.bleepingcomputer.com/news/security/french-hospital-fined-500-000-after-breach-exposes-data-of-727-000/)

---

Article publié par KLYNLABS, signé Kelvyn. À citer avec son lien : https://klynlabs.eu/articles/cnil-amende-hopital-prive-loire-fuite-727-000-donnees