1. Pourquoi la CNIL a-t-elle sanctionné l’Hôpital privé de la Loire ?
2. Un hôpital de Saint-Étienne, filiale du groupe Ramsay Santé
3. Cinq jours d’exfiltration invisible : la chronologie de l’attaque
4. Les identifiants d’un médecin libéral, porte d’entrée vers 524 867 dossiers
5. 524 867 patients, 202 246 tiers de confiance : ce qui a fuité
6. Trois manquements structurels pointés par la CNIL
7. Le deuxième manquement : des tiers de confiance jamais informés
8. 500 000 € d’amende et une mise en conformité sous astreinte
9. Une sanction qui s’inscrit dans une série d’alertes sur les données de santé
10. Questions fréquentes

🎯 Pourquoi la CNIL a-t-elle sanctionné l’Hôpital privé de la Loire ?

La CNIL a infligé une amende de 500 000 euros à l’Hôpital privé de la Loire parce que, le jour de l’attaque, l’établissement n’avait mis en œuvre aucune des mesures de sécurité jugées « élémentaires » par le régulateur pour un système hébergeant des données de santé : pas d’authentification multifacteur pour les connexions externes, pas de séparation des droits d’accès entre soignants, et aucun outil de détection d’activité anormale sur le dossier patient informatisé (DPI, le logiciel centralisant l’ensemble du dossier médical et administratif d’un patient). Cette combinaison de manques a permis à un attaquant d’explorer et d’aspirer, sans être repéré, les données de 524 867 patients pendant l’été 2025.

🏥 Un hôpital de Saint-Étienne, filiale du groupe Ramsay Santé

L’Hôpital privé de la Loire (HPL) est un établissement de santé privé situé à Saint-Étienne, préfecture du département de la Loire, à une soixantaine de kilomètres au sud-ouest de Lyon. Il appartient au groupe Ramsay Santé, l’un des principaux opérateurs privés d’hospitalisation en France et en Europe, coté en Bourse et présent dans plusieurs pays. Comme la plupart des grands établissements de santé français, l’HPL fait travailler, en plus de son personnel salarié, des médecins libéraux — des praticiens indépendants, non salariés de l’hôpital, qui y exercent tout en conservant leur propre cabinet — et fait appel à des prestataires extérieurs, dont l’éditeur du logiciel utilisé pour gérer le dossier patient informatisé.

Ni l’hôpital ni le groupe Ramsay Santé n’ont publié, à la date de rédaction de cet article, de communiqué détaillant leur réaction à la sanction de la CNIL — voir l’encadré sur les limites de cet article ci-dessous.

🕵️ Cinq jours d’exfiltration invisible : la chronologie de l’attaque

Selon la délibération de la CNIL et les reconstitutions de la presse spécialisée, l’intrusion se déroule sur environ une semaine, entre fin juin et début juillet 2025 :

Le décalage entre la date de l’attaque (été 2025) et la publication de la sanction (septembre 2026) correspond au temps d’instruction habituel de la CNIL : contrôle sur place ou sur pièces, contradictoire avec l’établissement, délibération de la formation restreinte, puis publication.

🔓 Les identifiants d’un médecin libéral, porte d’entrée vers 524 867 dossiers

L’attaquant n’a exploité aucune faille technique sophistiquée de type « zero day » (une vulnérabilité inconnue des éditeurs et non corrigée). Il s’est simplement connecté avec les identifiants compromis d’un médecin libéral affilié à l’hôpital, via le service d’accès à distance dédié aux praticiens externes. Selon les éléments recueillis par la CNIL, ce service d’accès distant — utilisé par environ 450 utilisateurs externes (médecins libéraux et salariés de l’éditeur du logiciel) — ne reposait que sur un simple couple identifiant/mot de passe, sans VPN (réseau privé virtuel, qui chiffre et sécurise la connexion à distance) ni authentification à double facteur.

Or l’authentification à double facteur — un code supplémentaire envoyé par SMS ou généré par une application, en plus du mot de passe — était techniquement disponible depuis 2024 mais n’avait pas été activée pour ces comptes externes au moment des faits, selon la CNIL. C’est ce point précis qui transforme l’affaire : il ne s’agit pas d’un défaut de moyens, mais d’un défaut d’activation d’un outil déjà en possession de l’établissement.

📂 524 867 patients, 202 246 tiers de confiance : ce qui a fuité

Le volume de données exposées se décompose ainsi, d’après la délibération de la CNIL et les recoupements de la presse spécialisée :

• 524 867 dossiers patients complets : état civil, numéro de sécurité sociale, adresses postale et électronique, identifiants permanents.
• 46 185 de ces dossiers comprenaient en plus une copie recto de la carte d’identité du patient.
• 202 246 fiches concernaient des « tiers de confiance » — les personnes qu’un patient désigne comme contact d’urgence ou personne de confiance au sens du code de la santé publique, sans être elles-mêmes patientes de l’établissement.
• Selon Clubic, 43 dossiers contenaient des données médicales détaillées à proprement parler (comptes rendus, éléments cliniques) — un chiffre à prendre avec prudence, car il n’apparaît que dans une source à ce stade (voir encadré des limites).

Au total, en additionnant patients et tiers de confiance, ce sont donc environ 727 000 personnes dont au moins une donnée personnelle a été exposée par cette intrusion — un ordre de grandeur comparable à celui d’autres fuites françaises majeures de 2026, comme celle qui avait touché 11,7 millions d’usagers de l’ANTS (Agence nationale des titres sécurisés) en avril, ou plus récemment les 678 000 lignes de données fiscales dérobées à la DGFiP (Direction générale des finances publiques).

⚠️ Trois manquements structurels pointés par la CNIL

La formation restreinte de la CNIL fonde sa sanction sur une violation de l’article 32 du RGPD (le Règlement général sur la protection des données, qui impose de mettre en œuvre des mesures « appropriées » à la sécurité du traitement). Trois manquements distincts sont documentés dans la délibération :

1. Une authentification insuffisamment robuste

Absence de VPN et de double authentification pour les connexions externes au DPI, alors que ce moyen était disponible depuis 2024.

2. Une politique de contrôle d’accès inadéquate, sans cloisonnement

La CNIL relève l’absence de toute logique « d’équipe de soins » dans la gestion des habilitations : concrètement, n’importe quel médecin ou soignant connecté pouvait consulter les fiches de l’ensemble des patients de l’établissement, et non les seuls patients dont il avait effectivement la charge. C’est ce défaut de cloisonnement qui a permis au compte compromis d’un seul médecin libéral de donner accès à la quasi-totalité de la base patients.

3. Aucune détection d’activité anormale

Bien que l’hôpital disposait d’outils de sécurité informatique généraux, la CNIL constate qu’aucun d’entre eux n’analysait en temps réel les journaux de connexion propres au DPI. Un volume d’extraction de 73 fiches par minute, largement supérieur à un usage médical normal, aurait pourtant dû déclencher une alerte si un système de surveillance adapté avait existé. C’est finalement un praticien empêché de se connecter — et non un dispositif de sécurité — qui a permis de découvrir l’intrusion, cinq jours après son démarrage.

✉️ Le deuxième manquement : des tiers de confiance jamais informés

Au-delà de la sécurité technique, la CNIL retient un second manquement, cette fois à l’article 34 du RGPD, qui impose d’informer directement les personnes concernées lorsqu’une violation de données est susceptible d’engendrer un risque élevé pour leurs droits et libertés. L’Hôpital privé de la Loire n’a notifié individuellement que ses 524 867 patients — il n’a délivré aucune information directe aux 202 246 personnes désignées comme tiers de confiance, alors que leurs données (identité, coordonnées) avaient elles aussi été dérobées par l’attaquant.

⚖️ 500 000 € d’amende et une mise en conformité sous astreinte

Au-delà de l’amende de 500 000 euros, dont le montant a été fixé en tenant compte de la gravité des manquements, du nombre de personnes concernées, de la nature des données et des capacités financières de l’établissement, la CNIL a assorti sa décision de plusieurs mesures correctrices :

• Un délai de trois mois pour déployer une journalisation et une analyse en temps réel des connexions au DPI, ainsi que pour restreindre l’accès de l’éditeur du logiciel du dossier patient, désigné dans la procédure sous le nom « Expert Santé », qui disposait jusque-là d’un accès permanent et non restreint à la base.
• Un délai de quinze mois pour revoir en profondeur la politique d’habilitations et instaurer un véritable cloisonnement des accès par équipe de soins.
• Une astreinte — une pénalité financière due pour chaque jour de retard au-delà des délais fixés — évaluée par la presse spécialisée à environ 1 000 euros par jour de dépassement.
• La publication nominative de la décision sur le site de la CNIL pendant deux ans, avant anonymisation.

L’accès de l’éditeur logiciel au DPI, désormais soumis à autorisation préalable plutôt qu’ouvert en permanence, est l’un des points les plus concrets de la décision : il vise directement les prestataires tiers qui, comme dans cette affaire, peuvent constituer un point d’entrée supplémentaire vers des données sensibles s’ils ne sont pas eux-mêmes soumis à des règles d’accès strictes.

📈 Une sanction qui s’inscrit dans une série d’alertes sur les données de santé

Cette sanction n’est pas isolée. La CNIL a déjà montré, ces dernières années, une attention croissante aux données de santé : en septembre 2024, elle avait infligé une amende de 800 000 euros à la société Cegedim Santé, éditeur de logiciels médicaux, pour un traitement non autorisé de données de santé — un dossier de nature différente (collecte irrégulière plutôt que fuite après cyberattaque), mais qui confirme que le secteur de la santé numérique est désormais scruté de près par le régulateur.

Le cas de l’Hôpital privé de la Loire fait aussi écho à d’autres fuites de données de santé françaises documentées récemment par Liberta Press : la biotech Jinko, dont les données médicales de plus de 3 500 malades du cancer ont été dérobées, ou le laboratoire Amgen, victime d’une fuite via l’un de ses prestataires cloud. Dans les deux cas comme dans celui de l’HPL, la faille ne venait pas d’un système central de l’organisation elle-même, mais d’un accès périphérique — prestataire, cloud externe ou compte tiers — insuffisamment surveillé.

Plus largement, cette affaire illustre un phénomène déjà documenté par Liberta Press sur d’autres secteurs : une intrusion qui reste invisible pendant plusieurs jours, voire plusieurs semaines, faute de supervision en temps réel des journaux de connexion — un défaut structurel similaire à celui relevé lors du piratage de la DGFiP, où l’intrusion était restée indétectée durant six semaines. Le point commun n’est pas la nature du secteur (fiscal ou hospitalier), mais l’absence, dans les deux cas, d’un dispositif de détection d’activité anormale pourtant considéré comme une mesure de sécurité de base par les référentiels de cybersécurité actuels.

✅ Conclusion

La sanction de la CNIL contre l’Hôpital privé de la Loire ne raconte pas l’histoire d’un piratage inévitable, mais celle d’une somme de choix organisationnels non faits : une double authentification disponible mais non activée, un cloisonnement des accès jamais mis en place, une détection d’anomalies jamais déployée sur le système censé protéger les données de santé de plus de 700 000 personnes au total. Les 500 000 euros d’amende et la mise en conformité sous astreinte ne referment pas le dossier : la CNIL a fixé des délais précis, jusqu’à quinze mois, pour vérifier que ces manques structurels sont enfin corrigés.

❓ Questions fréquentes

Mes données ont-elles pu être exposées si j’ai été patient de l’Hôpital privé de la Loire ?

Si vous avez été suivi à l’Hôpital privé de la Loire avant l’été 2025, vos données (état civil, numéro de sécurité sociale, coordonnées, éventuellement copie de carte d’identité) ont pu figurer parmi les 524 867 dossiers concernés. L’établissement était tenu, au titre du RGPD, de notifier individuellement chaque patient concerné — si vous n’avez reçu aucune notification, vous pouvez contacter directement l’hôpital ou consulter la CNIL pour vérifier votre situation.

Qu’est-ce qu’un « tiers de confiance » dans ce dossier ?

Il s’agit d’une personne désignée par un patient — souvent un proche — comme contact d’urgence ou personne de confiance au sens du code de la santé publique, sans être elle-même patiente de l’établissement. Ce sont ces 202 246 personnes que la CNIL reproche justement à l’hôpital de ne pas avoir informées directement de la fuite les concernant.

La double authentification va-t-elle empêcher ce type d’attaque à l’avenir ?

Elle réduit fortement le risque qu’un simple vol d’identifiants suffise à se connecter, mais elle ne suffit pas seule : la CNIL a aussi ordonné à l’Hôpital privé de la Loire de cloisonner les accès entre équipes de soins et de mettre en place une détection en temps réel des activités anormales — trois mesures complémentaires, pas une seule solution magique.

Que risque un établissement de santé qui ne respecte pas les délais de mise en conformité fixés par la CNIL ?

Une astreinte financière, c’est-à-dire une pénalité due pour chaque jour de retard au-delà de l’échéance fixée par la formation restreinte — évaluée par la presse spécialisée à environ 1 000 euros par jour dans ce dossier — en plus du maintien de la publication nominative de la sanction sur le site de la CNIL.

📚 Sources

1. CNIL — Violation de données en matière de santé : sanction de 500 000 euros à l’encontre de l’Hôpital privé de la Loire
2. Next — L’Hôpital privé de Loire sanctionné pour absence de « mesures élémentaires de sécurité »
3. franceinfo — Une clinique privée de Saint-Étienne sanctionnée pour des manquements après le vol de données de 500 000 patients
4. Clubic — Un pirate a fouillé sans être repéré les dossiers médicaux de 500 000 patients, l’hôpital lourdement condamné par la CNIL
5. CNIL — Données de santé : sanction de 800 000 euros à l’encontre de la société Cegedim Santé

Une double authentification disponible depuis deux ans mais jamais activée : parfois, la faille la plus grave n’est pas celle qu’on n’a pas su corriger, mais celle qu’on n’a jamais pris la peine d’éteindre.