La CNIL a sanctionné l'Hôpital privé de la Loire à hauteur de 500 000 euros, après le piratage de son dossier patient informatisé. La Commission reproche à l'établissement de sérieuses failles de sécurité, outre l'impact sur les 500 000 patients concernés.
Pendant cinq jours, en juin puis juillet 2025, un attaquant a pu circuler sans être inquiété dans le dossier patient informatisé de l'Hôpital privé de la Loire. Des identifiants de connexion compromis et une absence totale de double authentification, voilà comment le hacker est parvenu à s'introduire dans le dossier informatisé de l'établissement situé à Saint-Etienne, pour exfiltrer les données de plusieurs centaines de milliers de personnes, 524 867 très exactement. L'hôpital, rattaché au groupe Ramsay Santé, a fini par écoper d'une amende de la part du gendarme français des données personnelles, la CNIL, d'un montant de 500 000 euros, comme l'autorité nous l'apprend ce jeudi 3 septembre 2026. En pointant notamment du doigt le mot de passe unique distribué à tous les praticiens et l'accès permanent laissé à l'éditeur du logiciel, la Commission nationale de l'informatique et des libertés dresse un triste bilan des pratiques de l'établissement.
Comment un simple mot de passe a permis de voler les données de 720 000 personnes dans cet hôpital stéphanois
Le 26 juin 2025, un cybercriminel parvient à se connecter au dossier patient informatisé de l'Hôpital privé de la Loire, simplement en utilisant les identifiants d'un médecin libéral. Pendant environ douze heures, il explore l'arborescence du logiciel avant de lancer une extraction automatisée. En cinq jours, il aspire en moyenne 73 fiches patients par minute, sans qu'aucune alarme ne se déclenche du côté de l'hôpital.
Au final, il compile 524 867 dossiers patients, avec état civil, numéro de sécurité sociale, coordonnées complètes et, pour 46 185 d'entre eux, la copie recto de la carte d'identité. Seules 43 fiches contenaient à proprement parler des données médicales détaillées, mais l'ensemble du dossier suffit déjà à identifier, localiser et démarcher quelqu'un. La CNIL explique que 202 246 fiches concernent des « personnes de confiance », des proches désignés par les patients qui n'ont, eux, jamais été prévenus du vol de leurs propres données.
L'alerte n'est finalement donnée que le 1er juillet 2025, lorsqu'un praticien signale ne plus parvenir à se connecter. La CNIL, qui est saisie de l'affaire après notification obligatoire de la violation comme l'exige le RGPD, diligente un contrôle sur place dès le 29 juillet, avant d'instruire le dossier pendant près d'un an. En formation, l'autorité a rendu sa décision le 21 juillet 2026, avec une amende de 500 000 euros infligée à l'hôpital, assortie de plusieurs injonctions sous astreinte. On rappelle que l'autorité a enregistré 6 167 notifications de violations de données en 2025, un record historique, la santé figurant parmi les secteurs les plus touchés.
Un système d'information truffé de vulnérabilités
La CNIL explique et déplore que la connexion à distance au dossier patient, utilisée par environ 450 personnes extérieures à l'hôpital (praticiens libéraux, leurs secrétariats et les salariés de l'éditeur du logiciel), ne reposait que sur un simple identifiant et un mot de passe. Ne cherchez pas de VPN ici ni encore moins de double authentification, alors même que le logiciel utilisé par l'hôpital proposait cette option depuis 2024. Ce (curieux) choix technique a été jugé incompatible par la CNIL avec la sensibilité des données de santé traitées.
L'absence totale de cloisonnement des dossiers a aussi déçu le gendarme des données. En fait, n'importe quel médecin ou soignant pouvait consulter les fiches de tous les patients de l'établissement, qu'il les ait ou non pris en charge. C'est justement cette faille qui a permis à l'attaquant, une fois dans la place avec un seul compte compromis, d'accéder à l'intégralité des 530 000 dossiers du DPI plutôt qu'à une poignée. Une analyse d'impact réalisée en interne dès 2021 avait déjà repéré ce défaut et qualifié sa gravité de « maximale », tout en jugeant sa probabilité de survenance limitée, un pari qui s'est révélé… perdant. Un manque d'anticipation qui rappelle les constats sévères dressés récemment sur la cybersécurité du secteur hospitalier dans son ensemble.
Ajoutons que l'hôpital disposait bien d'un centre de sécurité et d'outils de détection des menaces, mais aucun d'eux n'analysait en temps réel les journaux de connexion propres au DPI (dossier patient informatisé). L'activité de l'attaquant, trop discrète à l'échelle du réseau global, n'a donc rien déclenché. Et parce qu'il y a toujours pire, imaginez que la procédure de réinitialisation lancée en urgence a consisté à distribuer le même mot de passe temporaire à tous les praticiens à l'aide d'un intermédiaire, sans compter l'accès permanent laissé à l'éditeur du logiciel, sans autorisation préalable de l'hôpital. En matière de bonnes pratiques, on était hélas loin du compte ici.
Une amende calculée au poids du groupe Ramsay Santé
La CNIL reproche aussi à l'hôpital son silence envers les 202 246 personnes de confiance dont les données ont fuité. Seuls les patients ont reçu un e-mail, un SMS ou un courrier. Les proches désignés, eux, n'ont eu droit qu'à un communiqué de presse noyé sur le site web de l'établissement, ici aussi jugé largement insuffisant par la formation restreinte.
Alors pour fixer le montant de l'amende, la CNIL n'a pas retenu les seuls comptes de l'Hôpital privé de la Loire, puisque ce dernier est en déficit de 5,2 millions d'euros sur l'exercice écoulé. L'autorité s'est appuyée sur le poids financier du groupe Ramsay Santé, sa maison mère. Une approche validée par la jurisprudence européenne, qui vise à garantir qu'une amende reste réellement dissuasive. Certains diront — à tort ou à raison d'ailleurs — que 500 000 euros pour plus de 500 000 patients correspondent à un euro symbolique par patient impacté, et que cela en dit long sur ce que valent nos données aujourd'hui.
Toujours est-il que l'établissement n'a pas écopé que d'une amende. La CNIL lui impose aussi de revoir sa politique d'habilitations dans les quinze mois, et de déployer une journalisation capable de détecter les comportements suspects et de verrouiller l'accès de son prestataire informatique, ces deux dernières mesures devant être bouclées en trois mois seulement, le tout sous peine d'astreintes de 1 000 euros par jour de retard. L'hôpital assure avoir déjà comblé une partie de ses lacunes depuis l'attaque. Si vous aimez les détails, sachez que la décision, elle, restera publique et nommera l'établissement pendant deux ans avant son anonymisation. L'Hôpital privé de la Loire a gardé la possibilité de la contester devant le Conseil d'État dans un délai de deux mois. La CNIL ne manquera pas de suivre les progrès effectués par l'établissement en matière de sécurité et d'hygiène informatiques.
Participer à la discussion
Partagez votre avis avec la communauté Clubic.