La CNIL se penche sur l’Hôpital privé de la Loire

L’Hôpital privé de la Loire (HPL) est une clinique privée du groupe Ramsay santé.

Entre le 26 juin et le 1^er juillet 2025, elle a subi une intrusion informatique via son service d’accès à distance dédié aux praticiens. Environ 524 000 fiches patients, 202 000 fiches de personnes de confiance, des justificatifs d’identité, et les données de santé de 43 patients ont été exfiltrées. La CNIL a reçu neuf plaintes.

Le 18 juin 2026, la formation restreinte, l’organe de sanction de la CNIL, s’est penchée sur cette entité. PURR a assisté à la séance.

Le Rapporteur de la CNIL a soulevé les griefs suivants :

• Accès distant par le web avec un identifiant + mot de passe, sans VPN ni authentification multifacteurs, en violation des recommandations sur la sécurité des données de santé. La double authentification (2FA) était prise en charge par l’outil mais désactivée ;

• Absence d’habilitations fines : tous les praticiens pouvaient accéder aux données à caractère personnel de tous les patients et personnes de confiance ;

• Absence d’analyse automatique des journaux des événements informatiques (logs), ni en différé, ni en temps réel. Cinq jours d’exfiltration ont eu lieu sans réaction. La violation a été découverte par le service informatique intervenant auprès d’un praticien qui ne parvenait plus à se connecter au Dossier Patient Informatisé (DPI) ;

• Les mots de passe ont été remplacés par un unique commun à tous les utilisateurs, communiqué par le directeur, leur retirant tout caractère secret ;

• Dans le cadre du contrat de maintenance, l’éditeur logiciel avait accès aux données en permanence et sans contrôle ;

• Absence de notification de la violation aux personnes de confiance (les patients ont, eux, été notifiés) ;

• Comme toujours, les risques avaient été identifiés (analyse d’impact sur la sécurité des données personnelles de 2021) mais non pris en compte. Caractère négligeant retenue par la CNIL.

En conséquence, le Rapporteur a proposé que les mesures correctrices soient une injonction, sous astreinte de 5 000/jour après 15 mois, de mise en conformité sur les manquements à la sécurité, 350 000 d’amende, et la publicité de la décision.

En défense, la clinique a soulevé les points suivants :

• Les classiques : la sanction est excessive. L’Hôpital a été réactif. Il a déjà déployé des mesures correctrices. Aucun usage frauduleux des données dérobées n’a été constaté. Risque réel faible et décorrélé du volume exfiltré (seulement 43 dossiers médicaux). La mise en conformité prend du temps car continuité des soins et accompagnement des praticiens. L’état financier de l’organisme est dégradé. Une amende serait un risque sur l’évolution de l’informatique et sur les soins. Préjudice réputationnel pour les praticiens et les patients.

• Accès distant en cours de remplacement par un système Citrix plus sécurisé ;

• Absence de 2FA, car le service informatique la voulait générale (c’est-à-dire non-limitée au DPI ou à l’accès distant), mais les mots de passe étaient conformes aux préconisations de l’Agence nationale de la sécurité des systèmes d’information (ANSSI). À venir sur 2026-2027 : déploiement et usage d’une identité numérique unifiée HospiConnect ;

• Le DPI actuel, Expert Santé, ne permet pas des habilitations fines. Des développements spécifiques, à l’initiative de la clinique après l’intervention de la CNIL, sont en cours, terminés à moitié ;

• Recours à Centreon (qui n’est pas un SIEM ni un XDR) et à une équipe sécurité, mais toujours pas d’analyse en temps réel des logs ;

• La remise à zéro des mots de passe était collégiale, afin de stopper l’intrusion tout en assurant la continuité des soins ;

• L’accès pour la maintenance applicative permanente se fait désormais via un bastion. À venir : accès temporaires planifiés ;

• Les personnes de confiance n’ont pas été notifiées car le risque engendré par la violation a été estimé comme faible et que les coordonnées étaient souvent absentes (téléphone, email) ou non-structurées (adresse postale). La CNIL n’avait rien trouvé à redire à ce plan lorsque la violation lui a été notifiée ;

• Les justificatifs d’identité étaient supprimés à J+1.

Pour PURR, ce dossier est représentatif de l’état désastreux de la sécurité des systèmes d’information en France.