L'Hôpital privé de la Loire, situé à Saint-Etienne, a été condamné à une amende de 500.000 euros par la Commission nationale de l'informatique et des libertés (Cnil) pour ne pas avoir suffisamment protégé les données de ses patients, selon une décision publiée jeudi. Cette sanction fait suite à une cyberattaque survenue à l'été 2025, qui a compromis les données personnelles de plus de 500.000 patients, y compris des données de santé, et de plus de 200.000 « tiers de confiance », des proches autorisés par les patients à consulter leur dossier médical.
Une cyberattaque aux conséquences massives
L'attaque informatique a été révélée par la Cnil dans un communiqué, soulignant que l'établissement a fait preuve de « méconnaissance de principes essentiels en matière de sécurité ». L'autorité a notamment pointé du doigt le fait que l'accès au dossier médical des patients pour les personnes extérieures à l'établissement, comme les médecins généralistes, n'était pas suffisamment sécurisé. C'est par ce biais que l'attaquant a pu accéder aux données.
En plus de ce manque de sécurité, la Cnil reproche à l'hôpital de ne pas avoir mis en place de mesures de détection des activités informatiques suspectes. L'autorité soulève également que l'établissement n'a pas informé les tiers de confiance désignés par les patients, habilités à accéder à leurs données de santé, de cette violation.
Deux manquements au RGPD constatés
La Cnil a constaté deux manquements au Règlement européen de protection des données (RGPD). Le premier concerne l'obligation d'assurer la sécurité des données, et le second, l'obligation d'informer les victimes des violations de données. L'autorité a exigé que l'établissement prenne des mesures de sécurisation, dans un délai de trois à 15 mois, selon le type de mesures, sous peine de pénalités journalières.
Interrogé jeudi par l'AFP, Xavier Claris, président du conseil d'administration de l'Hôpital privé de la Loire - Loire Drôme Ardèche, a répondu que la décision de faire appel de la décision de la Cnil « est à l'étude ». Il a également indiqué qu'« un certain nombre d'entre elles ont été mises en place dès l'été dernier », évoquant notamment la double identification, qui est désormais active.
Des mesures correctives en cours
L'établissement devra donc régulariser sa situation dans les prochains mois. Les mesures de sécurisation exigées par la Cnil doivent être mises en œuvre dans un délai de trois à 15 mois, selon leur nature. L'hôpital a déjà commencé à renforcer ses systèmes, notamment en activant la double identification pour les accès aux dossiers médicaux.
Cette amende de 500.000 euros constitue une sanction significative pour l'établissement de santé, qui devra également veiller à informer correctement les patients et les tiers de confiance en cas de future violation de données. La décision de la Cnil vise à rappeler l'importance de la protection des données de santé, un enjeu critique dans le secteur médical.
