Le 3 septembre 2026, la CNIL a prononcé une de 500 000 € à l’encontre de l’HÔPITAL PRIVÉ DE LA LOIRE, pour ne pas avoir pris des mesures adaptées pour assurer la sécurité des données de ses patients et de certains de leurs proches.
Au cours de l'été 2025, un attaquant est parvenu à se connecter au dossier patient informatisé (DPI) de l’HÔPITAL PRIVÉ DE LA LOIRE, qui centralise l’ensemble des données des personnes prises en charge. Il a ainsi accédé aux données de 524 867 patients (dont, pour certains d’entre eux, des données de santé) et de 202 246 personnes désignées comme « tiers de confiance ».
À la suite de cette violation de données, la CNIL a réalisé un contrôle qui a mis en évidence plusieurs manquements de l’HÔPITAL PRIVÉ DE LA LOIRE aux obligations prévues par le règlement général sur la protection des données (RGPD).
En conséquence, la – organe de la CNIL chargé de prononcer les sanctions – a prononcé une amende de 500 000 euros à l’encontre de l’HÔPITAL PRIVÉ DE LA LOIRE, tenant notamment compte de la méconnaissance de principes essentiels en matière de sécurité, du nombre de personnes concernées, de la nature des données compromises et de ses capacités financières.
La formation restreinte a constaté qu’au jour de la violation de données, l’HÔPITAL PRIVÉ DE LA LOIRE n’avait pas mis en œuvre certaines mesures élémentaires de sécurité qui auraient pu rendre l’attaque plus difficile.
La procédure d’authentification pour se connecter au dossier patient informatisé (DPI) de l’hôpital, utilisée par les utilisateurs externes à l’hôpital, notamment les médecins libéraux, n’était pas suffisamment robuste, en raison de l’absence de VPN et de moyen d’authentification multifacteur. L’attaquant a profité de cette vulnérabilité pour accéder aux données.
Par ailleurs, la politique d’habilitation était inadéquate : elle ne tenait pas compte de la notion d’équipe de soins, afin que seuls les professionnels effectivement impliqués dans la prise en charge d’un patient aient accès aux informations couvertes par le secret médical. Cette absence de limitation d’accès a permis à l’attaquant, en utilisant les identifiants d’un seul compte d’utilisateur, d’accéder aux données de l’intégralité des patients de l’hôpital.
Enfin, l’hôpital n’avait pas pris de mesures permettant de détecter une activité suspecte au sein du DPI en temps réel ou à très court terme, et de déclencher le cas échéant un mécanisme d’alerte. Dans ces conditions, l’attaquant a pu explorer le DPI de l’hôpital durant plusieurs jours et extraire un volume très important de données, sans que cette activité anormale soit détectée. Cette vulnérabilité a contribué à aggraver l’ampleur de la .
Compte tenu du nombre et de la nature des données traitées, la formation restreinte a considéré que les mesures de sécurité déployées par l’HÔPITAL PRIVÉ DE LA LOIRE afin d’assurer leur confidentialité n’étaient pas suffisantes. Elle a rappelé que, même s’il est impossible d’éliminer tout risque, des mesures de sécurité adaptées peuvent en réduire la probabilité et la gravité.
La formation restreinte a également noté que l’HÔPITAL PRIVÉ DE LA LOIRE avait pris, en cours de procédure, plusieurs mesures renforçant son niveau de sécurité. Elle a exigé que l’hôpital achève la mise en œuvre de ces mesures dans des délais compris entre trois et quinze mois (selon le type de mesures).
La formation restreinte a enfin constaté que seuls les patients de l’HÔPITAL PRIVÉ DE LA LOIRE concernés par la violation de données en avaient été informés, mais qu’aucune information directe n’avait été délivrée aux 202 246 personnes désignées par des patients comme tiers de confiance, alors même que leurs données personnelles avaient également été dérobées par l’attaquant.
Elle a considéré que cette omission avait notamment privé ces personnes des informations nécessaires pour comprendre la nature de l’attaque et ses conséquences probables, ainsi que pour connaître les mesures permettant d’en limiter les conséquences et se prémunir d’éventuelles utilisations malveillantes de leurs données.
此内容由惯性聚合(RSS阅读器)自动聚合整理，仅供阅读参考。 原文来自 — 版权归原作者所有。