Cybersécurité : un prestataire des Hospices Civils de Lyon touché par une fuite de données

Les Hospices Civils de Lyon (HCL) ont confirmé qu’un prestataire technique avait été victime d’un incident de sécurité ayant potentiellement exposé des données professionnelles. Si l’établissement se veut rassurant sur l’absence d’impact pour les patients, l’affaire relance la question, récurrente en 2026, de la vulnérabilité de la chaîne de sous-traitance numérique des hôpitaux français.

Ce que l’on sait de l’incident

Selon TICsanté, les HCL ont été informés le 25 juin par leur prestataire qu’une base de données historique, utilisée dans le cadre d’une opération de migration technique réalisée en 2020, avait potentiellement fait l’objet d’un vol. Les données concernées sont exclusivement administratives : état civil, photographie, identifiant professionnel, fonction et site d’affectation de professionnels des HCL et d’intervenants extérieurs. Aucune donnée médicale de patient n’est concernée.

L’établissement affirme qu’à ce stade des investigations, « aucun usage frauduleux des données, aucun accès frauduleux aux établissements ni aucun incident de sûreté n’ont été constatés ». Des mesures de sécurisation complémentaires ont été mises en place, la CNIL a été notifiée et une information des personnes concernées est en cours. Le nom du prestataire à l’origine de la fuite n’a pas été rendu public.

Un symptôme d’un risque structurel plus large

Cet incident intervient dans un contexte où le secteur hospitalier français fait face à une série continue d’atteintes à ses données via des tiers : bases historiques mal purgées, hébergeurs, éditeurs de logiciels ou sous-traitants divers. Il illustre un problème identifié depuis plusieurs mois par l’ANS et le CERT Santé : le risque ne se limite plus au système d’information de l’établissement lui-même, mais s’étend à l’ensemble de sa chaîne numérique, y compris des bases de données anciennes conservées bien après leur usage initial.

Pour un CHU-CHR comme les HCL, deuxième établissement public de santé de France par sa taille, la portée de l’incident reste limitée aux données professionnelles. Mais l’épisode rappelle que la gouvernance de la donnée doit couvrir tout le cycle de vie des systèmes, y compris les bases issues de migrations passées, souvent moins surveillées que les environnements de production actuels.

Ce qu’il faut retenir pour les établissements de santé

• Les prestataires et sous-traitants restent un maillon de vulnérabilité majeur pour la sécurité des données de santé, même lorsque le système d’information principal de l’établissement n’est pas directement touché.
• Les bases de données historiques issues d’anciennes migrations techniques doivent faire l’objet d’un inventaire et, le cas échéant, d’un archivage sécurisé ou d’une suppression, plutôt que d’un maintien non surveillé.
• La notification rapide à la CNIL et aux personnes concernées, ainsi que la transparence sur la nature exacte des données exposées, demeurent des bonnes pratiques déterminantes pour limiter l’impact réputationnel et réglementaire d’un incident.

Sources

• TICsanté - Incident de sécurité chez un prestataire des Hospices civils de Lyon