Amende RGPD : 500 000 € pour violation de données patients et de leurs tiers de confiance

Manquements d’un l’hôpital privé à l’obligation de sécurité et à l’obligation d’informer directement les tiers de confiance des patients

Authentification double facteur-VPN-Besoin d’en connaître-Journalisation Analyse automatisée des traces applicatives du DPI

Eleonore Scaramozzino, Avocate Constellation Avocats

Délibération SAN-2026-009 du 21 juillet 2026

Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;

Loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Code la santé publique (tenue d’un dossier patient informatisé permet aux établissements de santé de répondre aux obligations de l’article R. 1112-2 CSP, équipe de soins définie par l’article L. 1110-12CSP).

• Du 26 juin au 1^er juillet 2025, un attaquant est parvenu à se connecter au dossier patient informatisé (DPI) de l’HÔPITAL PRIVÉ DE LA LOIRE, en usurpant les identifiants d’un compte d’un médecin libéral. Le DPI centralise l’ensemble des données des personnes prises en charge. L’attaquant a accédé aux données de 524 867 patients fiches patients contenant des informations telles que l’état civil, le numéro de sécurité sociale, les coordonnées postales et électroniques et le numéro d’identifiant permanent des patients concernés. Parmi elles, 46 185 fiches comportaient également le recto de la carte nationale d’identité du patient ou de son représentant légal, 43 fiches comportaient des données de santé, et 202 246 fiches comportaient des données relatives à la personne de confiance désignée par le patient (lien de parenté, nom, prénom et numéro de téléphone).

• À la suite de cette violation de données, la CNIL a réalisé un contrôle sur place le 29 juillet qui a mis en évidence plusieurs manquements de l’HÔPITAL PRIVÉ DE LA LOIRE aux obligations prévues par le règlement général sur la protection des données (RGPD) et tout particulièrement par les articles 32 et 34 du RGPD. La formation restreinte a constaté qu’au jour de la violation de données, l’HÔPITAL PRIVÉ DE LA LOIRE n’avait pas mis en œuvre certaines mesures élémentaires de sécurité qui auraient pu rendre l’attaque plus difficile.

• La formation restreinte de la CNIL, a prononcé à l’encontre de la société HOPITAL PRIVE DE LA LOIRE
  • Une amende administrative d’un montant de cinq cent mille euros (500 000 €) au regard des manquements constitués aux articles 32 (politique de sécurité) et 34 (information des personnes concernées par la violation de données) du RGPD ;
  • Une injonction de mettre en conformité le traitement avec les dispositions de l’article 32 du RGPD, et en particulier : mesures de contrôle d’accès

Mesures de contrôle d’accès Art 32	Délai (sous)	Astreinte
Traçabilité : journalisation   Mise en place un système de journalisation et d’analyse proactive en temps réel ou à très court terme des journaux produits par le système d’information,	3 mois,	1 000 € par jour de retard
Habilitation : Principe du moindre privilège  Mise à jour de sa politique d’habilitations fondée sur le principe du besoin d’en connaître pour l’équipe de soins, (et en prévoyant, pour les cas d’urgence, un mécanisme de type bris de glace),	15 mois, compatible avec le calendrier du programme HospiConnect.	1 000 € par jour de retard
Authentification   Mise en place de mesures techniques visant à n’ouvrir l’accès de l’éditeur du logiciel Expert Santé au DPI que sur autorisation préalable de l’hôpital,	3 mois,	1 000 € par jour de retard

Les manquements de l’Hôpital privé à l’obligation de sécurité du RGPD

Dans le cadre du contrôle réalisé à la suite de la violation de données dont a été victime l’Hôpital privé, la Formation restreinte a relevé 3 manquements aux obligations de sécurité imposées par l’article 32 du RGPD au Responsable de traitement

La formation restreinte rappelle tout d’abord que l’obligation de sécurité prévue par l’article 32 du RGPD est une obligation de moyens, qui impose au responsable du traitement de prendre des mesures qui, au regard des caractéristiques du traitement en cause, permettent à la fois de réduire la probabilité de la survenance d’une violation de données et le cas échéant, d’en atténuer la gravité. Il n’est donc pas attendu que les mesures de sécurité permettent d’éliminer toute forme de risque, et la simple survenance d’une violation de données ne caractérise pas à elle seule un manquement à l’article 32 du RGPD. le responsable du traitement est tenu d’atténuer les risques de violation des données à caractère personnel, et non d’empêcher toute violation de celles-ci (25 janvier 2024, C-687/21, point 39).

Dès lors, un manquement à l’obligation de sécurité peut être caractérisé indépendamment de l’existence d’une violation de données à caractère personnel.

La formation restreinte n’entend pas sanctionner la violation de données en elle-même mais déterminer si, compte tenu de l’état des connaissances, des caractéristiques du traitement, de la probabilité et de la gravité des risques, ainsi que de la portée de l’obligation de sécurité précisée ci-dessus, la société HOPITAL PRIVE DE LA LOIRE a respecté ses obligations au titre de l’article 32 du RGPD en mettant en place des mesures techniques et organisationnelles appropriées.

Le responsable du traitement est tenu d’atténuer les risques de violation des données à caractère personnel, et non d’empêcher toute violation de celles-ci (CJUE 25 janvier 2024, C-687/21, point 39). La formation restreinte a vérifié si les mesures mises en œuvre par le responsable du traitement sont adaptées à ces risques, compte tenu de l’état des connaissances, des coûts de mise en œuvre ainsi que de la nature, de la portée, du contexte et des finalités de ce traitement (CJUE 14 décembre 2023, C 340/21, point 42).

En l’espèce, elle a cherché à apprécier si, compte tenu de l’état des connaissances, des caractéristiques du traitement, de la probabilité et de la gravité des risques, ainsi que de la portée de l’obligation de sécurité, la société HOPITAL PRIVE DE LA LOIRE a respecté ses obligations au titre de l’article 32 du RGPD en mettant en place des mesures techniques et organisationnelles appropriées.

En 2025, le DPI de l’HOPITAL PRIVE DE LA LOIRE comportait les données d’environ 530 000 patients, outre celles d’environ 200 000 personnes désignées par ces derniers comme tiers de confiance. La formation restreinte considère que l’accès non autorisé ou la divulgation des données contenues dans le DPI de l’hôpital est de nature à créer un préjudice moral et matériel pour les personnes concernées. Les mesures de sécurité mises en place par l’HOPITAL PRIVE DE LA LOIRE n’étaient pas suffisantes pour atténuer la gravité et la probabilité des risques.

Un manquement à l’article 32 du RGPD a été caractérisé, pour

• Absence de mesures permettant d’assurer la sécurisation de l’accès à distance des utilisateurs externes au DPI (connexion externe au DPI sans VPN, sans moyen d‘identification électronique multifacteurs) ;
• Absence de politique d’habilitation fondée sur le besoin d’en connaître pour l’accès aux données du DPI, limitant l’accès aux information couvertes par le secret médical aux seuls professionnels de santé impliqués dans la prise en charge du patient. Les habilitations accordées peuvent être complétées d’un mode bris de glace, défini par le référentiel d’authentification des acteurs de santé de la PGSSI-S comme l’attribution temporaire et exceptionnelle de droits étendus en situation de crise, permettant aux agents administratifs et professionnels de santé, en cas d’urgence, d’avoir accès à d’autres données pour tout patient. L’utilisation de ce mode bris de glace doit être particulièrement bien tracée et surveillée afin que toute personne y ayant recours puisse être identifiée et justifier des conditions de son utilisation ;
• Insuffisance des mesures de traçabilité : Absence de mesure d’analyse automatisée des traces applicatives du DPI, et de contrôle régulier, dans le système de journalisation, aux fins de détecter, en temps réel ou à très court terme, une activité suspecte et, le cas échéant, de déclencher un mécanisme d’alerte. Aucune mesure ne permettait de détecter ni de signaler, en temps réel ou à court terme, une activité suspecte au sein du DPI (par exemple, des accès susceptibles d’être frauduleux ou illégitimes ou la consultation d’un volume anormalement élevé de dossiers patients). La formation restreinte considère que les dispositifs de sécurité mis en place par l’hôpital étaient dès lors insuffisants pour garantir la sécurité et la confidentialité des données du traitement.

Manquement à l’obligation des personnes concernées « tiers de confiance ») (article 34 du RGPD)

La formation restreinte a constaté que seuls les patients de l’HÔPITAL PRIVÉ DE LA LOIRE concernés par la violation de données en avaient été informés, mais qu’aucune information directe n’avait été délivrée aux 202 246 personnes désignées par des patients comme tiers de confiance, alors même que leurs données personnelles avaient également été dérobées par l’attaquant.

• L’hôpital a estimé que la violation des données des personnes de confiance ne présentait pas de risques élevés à leur égard, et ne nécessitait dès lors pas une communication au titre de l’article 34 du RGPD, compte tenu du caractère parcellaire des informations les concernant, de l’absence de sensibilité des données et de l’absence de vulnérabilité des personnes concernées.
• Aucune information directe n’a été délivrée aux tiers de confiance, le communiqué de presse diffusé sur le site web de l’hôpital ne saurait être considéré comme suffisant au regard de l’article 34 du RGPD (les personnes désignées comme tiers de confiance n’ayant pas été prises en charge elles-mêmes au sein de l’hôpital, avaient d’autant moins de raison de consulter spontanément ce site web).
• Cette omission a notamment privé ces personnes des informations nécessaires pour comprendre la nature de l’attaque et ses conséquences probables, ainsi que pour connaître les mesures permettant d’en limiter les conséquences et se prémunir d’éventuelles utilisations malveillantes de leurs données.
• En conséquence, l’HOPITAL PRIVE DE LA LOIRE a commis un manquement à l’article 34 du RGPD.

Publicité de la sanction

La formation restreinte considère qu’une mesure de publicité se justifie au regard de la gravité avérée des manquements en cause et du nombre de personnes concernées, lesquelles doivent être informées. La décision n’identifiera plus nommément la société à l’issue d’un délai de deux ans à compter de sa publication.