Sanction CNIL de 500 000 € : les 3 failles du dossier patient à fermer

Le 3 septembre 2026, la CNIL a annoncé une amende de 500 000 € contre l'Hôpital privé de la Loire. La délibération de la formation restreinte (n° SAN-2026-009) date du 21 juillet 2026. À l'été 2025, un attaquant s'était connecté au dossier patient informatisé (DPI) de l'établissement et avait accédé aux données de 524 867 patients et de 202 246 personnes désignées comme tiers de confiance.

C'est l'hôpital qui est sanctionné, en tant que responsable de traitement. Mais les cinq carences de sécurité retenues dans la délibération concernent le logiciel, son paramétrage ou son exploitation : trois ont permis ou facilité l'attaque, deux autres ont été relevées pendant le contrôle. Si vous éditez un DPI, un logiciel de suivi patient ou une plateforme ouverte à des professionnels extérieurs, votre client vous demandera tôt ou tard de prouver que ces trous n'existent pas chez vous.

Ce que la CNIL a sanctionné

La formation restreinte a retenu deux manquements au RGPD : la sécurité des données (article 32) et l'information des personnes concernées par la violation (article 34).

Côté sécurité, trois mesures manquaient au jour de l'attaque :

Une authentification trop faible pour les utilisateurs externes. Les médecins libéraux et autres utilisateurs extérieurs à l'hôpital se connectaient au DPI sans VPN ni authentification multifacteur. C'est par là que l'attaquant est entré, avec les identifiants du compte d'un médecin libéral. La délibération note que la version du logiciel déployée proposait une authentification multifacteur, qui n'avait pas été mise en place.
Une politique d'habilitation qui ignorait l'équipe de soins. Les accès n'étaient pas limités aux professionnels impliqués dans la prise en charge de chaque patient. Avec les identifiants d'un seul compte, l'attaquant a pu consulter les données de tous les patients.
Aucune détection d'activité suspecte. L'hôpital disposait d'équipements de détection et d'un centre des opérations de sécurité, mais les traces applicatives du DPI n'étaient ni analysées automatiquement ni contrôlées régulièrement : rien ne signalait une activité suspecte dans le DPI en temps réel ou à court terme. L'attaquant a exploré le DPI pendant plusieurs jours et extrait un volume très important de données sans déclencher d'alerte.

Deux autres carences ont été relevées pendant le contrôle. Après l'attaque, l'hôpital a attribué le même mot de passe temporaire à tous les utilisateurs externes et l'a fait transmettre par le président de la commission médicale d'établissement. Et les salariés de l'éditeur du logiciel pouvaient accéder au DPI de leur propre initiative, sans autorisation préalable de l'hôpital.

Côté information, les patients touchés ont été prévenus, mais pas les 202 246 tiers de confiance dont les données ont aussi été volées. L'hôpital est par ailleurs enjoint, sous astreinte de 1 000 € par jour de retard, de mettre en place sous trois mois l'analyse de ses journaux et un accès de l'éditeur soumis à son autorisation préalable, et de mettre à jour sous quinze mois sa politique d'habilitations.

Qui est concerné

Les éditeurs de DPI et de logiciels hospitaliers accessibles depuis l'extérieur de l'établissement.
Les plateformes de coordination ville-hôpital, de télésurveillance ou de télé-expertise, dont les utilisateurs sont par nature dispersés.
Toute application qui stocke des proches, des aidants ou des tiers de confiance à côté du dossier patient.

Ce que ça implique pour votre produit

Authentification. Un identifiant et un mot de passe ne suffisent plus pour un accès distant à des données de santé. Pour les professionnels de santé, la voie la plus simple est Pro Santé Connect, qui authentifie par carte CPS ou application e-CPS. Pour les profils sans carte (secrétariat, prestataires), prévoyez un second facteur dans votre propre système. Notre guide de l'authentification e-santé détaille les deux parcours.

Habilitations. Le contrôle d'accès par rôle (« médecin », « infirmier ») ne répond pas au grief de la CNIL. Le modèle attendu rattache un professionnel aux patients qu'il prend en charge : service, épisode de soins, relation de soin déclarée. C'est un chantier de modèle de données, pas un réglage : il se conçoit au début du projet, pas après un audit. Prévoyez aussi un accès d'urgence (« bris de glace ») tracé et justifié, faute de quoi les soignants contourneront le cloisonnement.

Détection. Journaliser les accès ne suffit pas si personne ne lit les journaux. Le grief porte sur l'absence d'alerte : des règles simples auraient signalé un compte qui ouvre des milliers de dossiers en quelques heures ou qui exporte en masse. La CNIL a publié une recommandation sur les mesures de journalisation qui sert de base.

Tiers de confiance et proches. Si votre produit stocke leurs coordonnées, votre procédure de violation de données doit prévoir de les contacter eux aussi, et donc de pouvoir les extraire rapidement. Le déroulé de notification est détaillé dans notre guide RGPD pour les éditeurs de logiciels de santé.

Aucun de ces quatre points n'est réglé par l'hébergement HDS : un hébergeur certifié protège l'infrastructure, pas les droits d'accès de votre application.

Sources

CNIL, Violation de données en matière de santé : sanction de 500 000 euros à l'encontre de l'Hôpital privé de la Loire, 3 septembre 2026, consulté le 15 septembre 2026.
CNIL, Délibération de la formation restreinte n° SAN-2026-009 du 21 juillet 2026, consulté le 15 septembre 2026.
RGPD, article 32 et article 34.