Sanction CNIL de 500 000 € : l'Hôpital Privé de la Loire épinglé pour l'absence de MFA

La Commission nationale de l’informatique et des libertés (CNIL) a rendu publique, le 3 septembre 2026, une sanction de 500 000 euros à l’encontre de l’Hôpital Privé de la Loire, à Saint-Étienne. En cause : l’absence de mesures de sécurité élémentaires ayant permis à un attaquant de siphonner, sans être détecté, les dossiers informatisés de plus d’un demi-million de patients.

Une intrusion de cinq jours passée inaperçue

Entre juin et juillet 2025, un cyberattaquant a utilisé les identifiants compromis d’un médecin libéral exerçant à la clinique pour accéder au dossier patient informatisé (DPI) de l’établissement. Pendant cinq jours, il a extrait les données de 524 867 patients ainsi que celles de 202 246 « personnes de confiance », à un rythme d’environ 73 fiches par minute, sans déclencher la moindre alerte.

La CNIL a identifié plusieurs manquements structurels à l’origine de cette exposition massive :

• Absence d’authentification multifacteur (MFA), alors que la solution était disponible pour l’établissement depuis 2024.
• Absence de cloisonnement des accès, permettant à un compte médecin libéral d’atteindre l’intégralité de la base patients.
• Aucun dispositif de détection d’activité anormale, malgré un volume d’extraction très supérieur à un usage normal.

Une sanction lourde et des injonctions strictes

Au-delà de l’amende de 500 000 euros, la délibération de la CNIL (datée du 21 juillet 2026) prévoit la publication nominative de la décision pendant deux ans ainsi que plusieurs injonctions sous astreinte :

• Révision complète des habilitations d’accès au DPI dans un délai de 15 mois.
• Mise en place d’une journalisation effective des accès dans un délai de 3 mois.
• Une astreinte de 1 000 euros par jour de retard au-delà de ces échéances.

Une affaire massivement relayée

Le dossier a été très largement repris dans la presse généraliste et spécialisée en cybersécurité dès son annonce, signe de son caractère exemplaire pour le secteur hospitalier :

• Clubic a détaillé le mode opératoire de l’attaquant et le rythme d’extraction des données.
• France Info a souligné les manquements en matière de sécurité de base pointés par la CNIL.
• CNEWS a relayé le montant de la sanction dès sa publication.
• Next.ink a analysé les injonctions imposées à l’établissement.
• DataBreaches.net a repris l’affaire pour un public international, illustrant l’écho donné aux sanctions CNIL en matière de données de santé au-delà des frontières.

Ce qu’il faut retenir pour les établissements de santé

Cette sanction confirme une doctrine désormais constante de la CNIL : la disponibilité technique d’une mesure de sécurité comme le MFA ne suffit pas, encore faut-il l’avoir effectivement déployée. Pour les établissements de santé, l’affaire rappelle trois priorités opérationnelles immédiates : généraliser l’authentification forte sur l’ensemble des comptes accédant au DPI, y compris ceux des praticiens libéraux exerçant à titre externe ; segmenter les droits d’accès selon le principe du moindre privilège ; et déployer une supervision capable de repérer des volumes d’extraction anormaux avant qu’ils ne deviennent des fuites de plusieurs centaines de milliers de dossiers.

Sources

• CNIL - Violation de données en matière de santé : sanction de 500 000 euros à l’encontre de l’Hôpital Privé de la Loire
• Clubic - Un pirate a fouillé sans être repéré les dossiers médicaux de 500 000 patients
• France Info - Une clinique privée de Saint-Étienne sanctionnée après le vol de données de 500 000 patients
• CNEWS - Cyberattaque : une clinique écope de 500 000 euros d’amende
• Next.ink - L’Hôpital Privé de la Loire sanctionné pour absence de mesures élémentaires de sécurité
• DataBreaches.net - CNIL health data breach: €500,000 fine imposed on the Loire private hospital