La CNIL n’épargne plus les établissements de santé !

L’affaire : une violation notifiée à la CNIL après le signalement d’un praticien

Un médecin libéral a signalé à l’établissement qu’il ne parvenait plus à se connecter au DPI. Les investigations ont révélé qu’un attaquant utilisait ses identifiants depuis quelques jours. Aussi, après avoir exploré le fonctionnement du DPI, l’attaquant avait pu exfiltrer, en cinq jours, plus de 500 000 fiches de patients. Les données de plus de 200 000 personnes désignées par des patients comme tiers de confiance avaient également été compromises.

L’établissement de santé a notifié la violation à la CNIL, qui a également reçu neuf plaintes de personnes concernées. Dans ce contexte, l’autorité a engagé des vérifications et procédé à un contrôle sur place.

La CNIL a relevé que plusieurs vulnérabilités ont permis ou facilité la violation de données, en particulier :

• Les utilisateurs externes pouvaient accéder à distance au DPI directement depuis Internet, sans VPN ni authentification à deux facteurs ;
• Si les droits d’accès variaient selon le métier et le service de l’utilisateur, ils n’étaient pas suffisamment cloisonnés en fonction de son appartenance à l’équipe assurant effectivement la prise en charge du patient ;
• Les traces applicatives du DPI étaient enregistrées, mais ne faisaient l’objet d’aucune analyse automatisée ni d’aucun contrôle régulier.

La sanction : 500 000 euros pour des manquements à la sécurité et à l’information

La CNIL a rappelé que l’obligation de sécurité prévue par l’article 32 du RGPD est une obligation de moyens : la survenance d’une cyberattaque ne suffit donc pas, à elle seule, à caractériser un manquement.

En revanche, l’absence de mesures adaptées aux risques peut être sanctionnée lorsqu’elle facilite l’attaque ou aggrave ses conséquences.

En l’espèce, outre les insuffisances concernant l’authentification, les habilitations et la surveillance du DPI, la CNIL a relevé deux autres carences. Tout d’abord, il y avait un accès permanent de l’éditeur du logiciel aux dossiers sans autorisation préalable de l’établissement. Ensuite, l’établissement de santé avait attribué, après la violation de données, le même mot de passe temporaire à l’ensemble des praticiens externes, lequel avait été transmis par un tiers.

La CNIL a écarté, à cet égard, l’argument tiré des « limites techniques du logiciel » et considère qu’il appartient à l’établissement de santé de s’assurer que la solution utilisée demeure conforme à l’état de l’art et présente des garanties de sécurité suffisantes (notamment le cloisonnement des dossiers patients et le mode dit « bris de glace »).

Par ailleurs, les patients avaient été informés de la violation, mais pas les tiers de confiance dont les données avaient également été exfiltrées. La CNIL a considéré que le communiqué publié sur le site de l’hôpital ne suffisait pas à les informer directement et a retenu un manquement à l’article 34 du RGPD.

Outre l’amende et la publication de la sanction, la CNIL a imposé trois mesures correctrices : renforcer l’analyse des journaux et encadrer les accès de l’éditeur dans un délai de trois mois, puis revoir les habilitations sous quinze mois. Chacune de ces mesures a été assortie d’une astreinte de 1 000 euros par jour de retard.

Les enseignements : des protections effectives et des anomalies détectées

Il ne suffit pas de disposer d’outils de sécurité ou d’enregistrer les accès au DPI : encore faut-il que les protections soient effectives et les anomalies rapidement détectées.

Les priorités sont donc de renforcer l’authentification des accès externes, de limiter les habilitations au « besoin d’en connaître », de surveiller les consultations et de maîtriser les accès des prestataires. La gestion d’un incident doit également prévoir, avec le DPO, l’identification de toutes les personnes à informer, au-delà des seuls patients.

Cette décision illustre ainsi le principe de « défense en profondeur » promu par l’ANSSI : lorsqu’une première protection est contournée, d’autres mécanismes doivent encore permettre de contenir l’accès aux données et de détecter rapidement toute utilisation anormale.

[1] Délibération de la formation restreinte n°SAN-2026-009 du 21 juillet 2026 concernant la société HOPITAL PRIVE DE LA LOIRE