Cyberattaque et données de santé : rattrapé par ses failles de sécurité, un hôpital stéphanois écope de 500 000 euros d’amende pour sa « négligence avérée »

L’addition est salée pour l’hôpital privé de la Loire. L’établissement stéphanois, rattaché au groupe Ramsay Santé, s’est vu infliger par la Cnil, ce jeudi 3 septembre, une amende de 500 000 euros. Le gendarme des données personnelles sanctionne ici plusieurs « carences de sécurité » ayant facilité l’exfiltration des données de plusieurs centaines de milliers de patients, et reproche également à l’établissement de ne pas avoir informé directement les « tiers de confiance » dont les données ont aussi été dérobées.

Pour cette « négligence avérée », le montant de l’amende tient notamment compte du « nombre important de personnes » concernées, de « l’importan[c]e » des manquements relevés (qui ont « permis ou a minima facilité la survenance de la violation »), mais aussi du « contexte de recrudescence » de cyberattaques et de la nature « sensible » des données.

D’autant que les mesures de sécurité qui auraient permis d’empêcher ou de limiter la violation étaient « bien identifiées », pointe la Cnil, et l’hôpital « disposait des moyens humains, techniques et financiers pour les mettre en œuvre ». Ce dernier était par ailleurs largement « conscient de la gravité du risque », une analyse d’impact effectuée en 2021 l’ayant qualifiée de maximale, précise l’autorité de contrôle.

La cyberattaque visait le dossier patient informatisé

Les faits remontent à l’été 2025, lorsqu’une cyberattaque avait visé le dossier patient informatisé (DPI) de l’établissement, qui centralise l’ensemble des données des personnes prises en charge. En utilisant les identifiants du compte d’un médecin libéral rattaché à l’hôpital, peut-on lire dans la délibération du 21 juillet, le pirate avait fait fuiter, entre le 26 juin et le 1er juillet, les données de 524 867 patients – dont des données de santé – et de 202 246 personnes désignées comme « tiers de confiance ».

À la suite de cette violation de données, l’hôpital avait notifié la Cnil, qui avait en parallèle reçu neuf plaintes de personnes concernées. Un contrôle mené fin juillet avait mis en évidence des « manquements graves » de l’hôpital aux obligations prévues par le règlement général sur la protection des données (RGPD).

Dans sa délibération, le régulateur rappelle d’abord que l’obligation de sécurité prévue par l’article 32 du RGPD impose au responsable du traitement des données « de prendre des mesures qui (…) permettent à la fois de réduire la probabilité de la survenance d’une violation de données et le cas échéant, d’en atténuer la gravité ». Toutefois, ajoute-t-il, il n’est évidemment pas attendu que ces mesures éliminent « toute forme de risque ».

La Cnil indique qu’à ce titre, il ne s’agit pas de sanctionner la violation de données « en elle-même », mais de déterminer « si, compte tenu de l’état des connaissances, des caractéristiques du traitement, de la probabilité et de la gravité des risques, ainsi que de la portée de l’obligation de sécurité, l’hôpital a respecté ses obligations en mettant en place des mesures techniques et organisationnelles appropriées ».

Pas de VPN ni d’identification à deux facteurs

Elément central de l’analyse de la Commission, le niveau de sécurité est passé au crible. Avec cette question : l’hôpital stéphanois a-t-il mis en place un « ensemble cohérent de mesures de sécurité » pour protéger son système d’information ? Sur ce point, le référentiel de sécurité relatif à l’identification électronique des utilisateurs des services numériques en santé prévoit que l’authentification, lors d’un accès à distance avec un moyen d’identification électronique de transition, doit nécessairement reposer sur deux facteurs de types différents, dont il donne des exemples.

Problème : au jour de la violation de données, environ 450 utilisateurs du DPI externes à l’hôpital – les praticiens libéraux liés à l’hôpital par des contrats d’exercice, leur secrétariat, certains salariés de l’éditeur du logiciel -, s’y connectaient à distance par le biais « d’un simple accès internet », en saisissant un identifiant et un mot de passe.

Le constat dressé par la Commission est donc sans appel : l’accès à distance des utilisateurs externes de l’hôpital n’était « pas conforme », « dès lors qu’il ne s’effectuait ni au moyen d’un VPN, ni avec un moyen d’identification électronique à deux facteurs », et ne permettait pas d’assurer la sécurité du système d’information de la société. Elle souligne que le pirate a « exploité cette vulnérabilité » pour accéder au dossier patient informatisé et extraire les données qu’il contenait.

Une intrusion favorisée par d’autres failles, puisque l’hôpital n’avait pas pris de mesures permettant de détecter une activité suspecte au sein du DPI en temps réel, ni de déclencher un mécanisme d’alerte. « Dans ces conditions, l’attaquant a pu explorer le DPI de l’hôpital durant plusieurs jours et extraire un volume très important de données, sans que cette activité anormale soit détectée. Cette vulnérabilité a contribué à aggraver l’ampleur de la violation de données », pointe l’autorité de contrôle.

Compte tenu du nombre et de la nature des données traitées, les mesures de sécurité déployées afin d’assurer leur confidentialité n’étaient donc « pas suffisantes », tranche-t-elle, et « l’hôpital n’a pas mis en œuvre un niveau de sécurité adapté ». Au fil de sa délibération, la Cnil relève d’autre part une politique d’habilitations (d’accès au DPI) « inadéquate », une traçabilité insuffisante et l’utilisation d’un mot de passe temporaire commun après l’attaque et l’accès permanent de l’éditeur au DPI.

Des risques importants pour les propriétaires des données

La Cnil s’emploie aussi à apprécier les risques liés au traitement des données pour les propriétaires de ces données. Et elle note que dans le cas de l’hôpital privé de la Loire, « les traitements liés au dossier patient informatisé de l’hôpital donnent accès à un ensemble de données permettant d’identifier très précisément les patients de l’hôpital ».

Elle observe encore que « la divulgation des données contenues dans le DPI de l’hôpital est de nature à créer un préjudice moral et matériel » pour les personnes concernées, exposées à des risques « liés à la revente de leurs données à des personnes malveillantes, à une usurpation de leur identité ou à des tentatives d’hameçonnage ». Au-delà, une fuite de données peut avoir des conséquences « lourdes », écrit-elle, notamment nuire à la réputation ou entraîner des risques de discrimination, « par exemple dans les domaines de l’emploi, du logement ou encore de l’assurance ».

Le régulateur évalue en outre à un niveau « élevé » le degré de probabilité que les risques de divulgation se réalisent, étant donné la recrudescence des violations de données ces dernières années. « Le degré de probabilité que les risques liés à l’exploitation malveillante de ces données se réalisent en cas de perte de confidentialité est également élevé », ajoute-t-il.

Les tiers de confiance mal informés par l’hôpital stéphanois

L’autorité de contrôle consacre justement une partie de sa délibération au manquement à l’obligation d’informer les personnes concernées par la violation de données, en renvoyant cette fois à l’article 34 du RGPD : « Lorsqu’une violation de données à caractère personnel est susceptible d’engendrer un risque élevé (…), le responsable du traitement communique la violation de données à caractère personnel à la personne concernée dans les meilleurs délais. »

Elle précise que les lignes directrices 9/2022 sur la notification de violations de données à caractère personnel, adoptées par le Comité européen de la protection des données en 2023, prévoient différents facteurs à prendre en compte (type de violation, caractère sensible des données, volume…).

Si l’hôpital stéphanois a contacté ses patients par différents biais – communiqué de presse sur la page d’accueil de son site, mails, SMS, courriers – afin de les informer de la survenance de la cyberattaque, en revanche, « aucune information n’a été délivrée aux 202 246 personnes désignées comme tiers de confiance par des patients de l’hôpital, alors même que leurs données à caractère personnel ont également été appréhendées par l’attaquant à l’issue de la violation », fait ressortir la Cnil.

Selon elle, le communiqué de presse diffusé sur le site web de l’hôpital est bien loin d’être suffisant. « Les personnes désignées comme tiers de confiance n’ayant pas été prises en charge elles-mêmes au sein de l’hôpital, elles avaient d’autant moins de raison de consulter spontanément ce site web. Or, la violation de données survenue expose bien ces personnes à des risques importants, dès lors que les informations appréhendées peuvent être utilisées à des fins frauduleuses, par exemple dans le cadre de campagnes d’hameçonnage ».

Surtout que l’établissement avait pu quantifier et identifier « précisément » ces personnes, ajoute la Cnil. Pas d’excuse, donc : s’il ne disposait pas de leur adresse mail ou postale, il aurait pu les contacter « en leur adressant un SMS sur leur téléphone portable, généralement renseigné, comme il l’a fait pour les patients concernés par la violation », fait-elle valoir.

Injonction sous astreinte

La décision donne ainsi un aperçu assez précis du niveau de sécurité désormais attendu par la Cnil de la part des établissements manipulant des données de santé. En 2024, l’autorité de contrôle avait annoncé que la sécurité des DPI faisait l’objet d’une attention particulière et qu’elle allait poursuivre ses actions auprès des établissements.

Une vigilance qui se traduit, dans le cas de l’hôpital privé de la Loire, par des mesures destinées à renforcer son dispositif de sécurité. La délibération de la Cnil comporte en effet un volet correctif : assortie d’une injonction de se mettre en conformité sous astreinte, elle impose plusieurs mesures à l’établissement et lui laisse entre trois et quinze mois pour les mettre en place.

Sans attendre l’issue de la procédure, l’hôpital privé de la Loire avait toutefois déjà commencé à tirer les enseignements de la fuite de données : il s’est notamment doté d’une authentification multifacteur pour la connexion des utilisateurs externes à son DPI, rapporte la Commission.