Sanction CNIL de 500 000 € : les 3 failles du dossier patient à fermer

Le 3 septembre 2026, la CNIL a annoncé une amende de 500 000 € contre l'Hôpital privé de la Loire. La délibération de la formation restreinte (n° SAN-2026-009) date du 21 juillet 2026. À l'été 2025, un attaquant s'était connecté au dossier patient informatisé (DPI) de l'établissement et avait accédé aux données de 524 867 patients et de 202 246 personnes désignées comme tiers de confiance.

C'est l'hôpital qui est sanctionné, en tant que responsable de traitement. Mais les trois manquements de sécurité relevés par la CNIL portent sur des fonctionnalités du logiciel. Si vous éditez un DPI, un logiciel de suivi patient ou une plateforme ouverte à des professionnels extérieurs, votre client vous demandera tôt ou tard de prouver que ces trous n'existent pas chez vous.

Ce que la CNIL a sanctionné

La formation restreinte a retenu deux manquements au RGPD : la sécurité des données (article 32) et l'information des personnes concernées par la violation (article 34).

Côté sécurité, trois mesures manquaient au jour de l'attaque :

1. Une authentification trop faible pour les utilisateurs externes. Les médecins libéraux et autres utilisateurs extérieurs à l'hôpital se connectaient au DPI sans VPN ni authentification multifacteur. C'est par là que l'attaquant est entré.
2. Une politique d'habilitation qui ignorait l'équipe de soins. Les accès n'étaient pas limités aux professionnels impliqués dans la prise en charge de chaque patient. Avec les identifiants d'un seul compte, l'attaquant a pu consulter les données de tous les patients.
3. Aucune détection d'activité suspecte. Rien ne repérait un comportement anormal en temps réel ou à très court terme. L'attaquant a exploré le DPI pendant plusieurs jours et extrait un volume très important de données sans déclencher d'alerte.

Côté information, les patients touchés ont été prévenus, mais pas les 202 246 tiers de confiance dont les données ont aussi été volées. L'hôpital doit par ailleurs achever ses mesures correctives dans des délais de trois à quinze mois selon les mesures.

Qui est concerné

• Les éditeurs de DPI et de logiciels hospitaliers accessibles depuis l'extérieur de l'établissement.
• Les plateformes de coordination ville-hôpital, de télésurveillance ou de télé-expertise, dont les utilisateurs sont par nature dispersés.
• Toute application qui stocke des proches, des aidants ou des tiers de confiance à côté du dossier patient.

Ce que ça implique pour votre produit

Authentification. Un identifiant et un mot de passe ne suffisent plus pour un accès distant à des données de santé. Pour les professionnels de santé, la voie la plus simple est Pro Santé Connect, qui authentifie par carte CPS ou application e-CPS. Pour les profils sans carte (secrétariat, prestataires), prévoyez un second facteur dans votre propre système. Notre guide de l'authentification e-santé détaille les deux parcours.

Habilitations. Le contrôle d'accès par rôle (« médecin », « infirmier ») ne répond pas au grief de la CNIL. Le modèle attendu rattache un professionnel aux patients qu'il prend en charge : service, épisode de soins, relation de soin déclarée. C'est un chantier de modèle de données, pas un réglage : il se conçoit au début du projet, pas après un audit. Prévoyez aussi un accès d'urgence (« bris de glace ») tracé et justifié, faute de quoi les soignants contourneront le cloisonnement.

Détection. Journaliser les accès ne suffit pas si personne ne lit les journaux. Le grief porte sur l'absence d'alerte : des règles simples auraient signalé un compte qui ouvre des milliers de dossiers en quelques heures ou qui exporte en masse. La CNIL a publié une recommandation sur les mesures de journalisation qui sert de base.

Tiers de confiance et proches. Si votre produit stocke leurs coordonnées, votre procédure de violation de données doit prévoir de les contacter eux aussi, et donc de pouvoir les extraire rapidement. Le déroulé de notification est détaillé dans notre guide RGPD pour les éditeurs de logiciels de santé.

Aucun de ces quatre points n'est réglé par l'hébergement HDS : un hébergeur certifié protège l'infrastructure, pas les droits d'accès de votre application.

Sources

• CNIL, Violation de données en matière de santé : sanction de 500 000 euros à l'encontre de l'Hôpital privé de la Loire, 3 septembre 2026, consulté le 15 septembre 2026.
• CNIL, Délibération de la formation restreinte n° SAN-2026-009 du 21 juillet 2026, consulté le 15 septembre 2026.
• RGPD, article 32 et article 34.