La Commission nationale de l'informatique et des libertés (Cnil) a annoncé, ce jeudi 3 septembre 2026, avoir sanctionné l'hôpital privé de la Loire (HPL), situé à Saint-Étienne, à hauteur de 500 000 euros pour des manquements constatés après une cyberattaque ayant ciblé les données de près de 727 000 personnes à l'été 2025. Selon Franceinfo - Santé, cette intrusion informatique avait permis à un pirate d'accéder aux dossiers patients informatisés (DPI) de l'établissement, centralisant l'ensemble des informations médicales et administratives des patients pris en charge.

Ce qu'il faut retenir

  • Un pirate a accédé aux données de 524 867 patients et de 202 246 tiers de confiance désignés par ces derniers lors de la cyberattaque de l'été 2025.
  • La Cnil a infligé une amende de 500 000 euros à l'hôpital privé de la Loire pour « manquements » aux obligations du RGPD.
  • L'établissement n'aurait pas mis en place certaines mesures élémentaires de sécurité le jour de l'attaque, aggravant l'ampleur de la violation.
  • Seuls les patients directement concernés par la fuite ont été informés, excluant les 202 246 tiers de confiance.

Une cyberattaque aux conséquences majeures

L'intrusion, survenue durant l'été 2025, a permis à un hacker de s'introduire dans le système informatique de l'hôpital privé de la Loire. Celui-ci a pu accéder aux dossiers de 524 867 patients, dont les données de santé, ainsi qu'à celles de 202 246 personnes désignées comme « tiers de confiance » par les patients. Ces dernières, souvent des proches ou des aidants, voient ainsi leurs informations personnelles exposées sans qu'ils aient été informés de la violation. D'après la Cnil, cette faille aurait pu être limitée si des mesures de sécurité élémentaires avaient été appliquées le jour de l'attaque.

Des manquements aux obligations du RGPD pointés du doigt

Dans un communiqué publié ce jeudi, la Cnil précise avoir réalisé un contrôle après la cyberattaque. Ce dernier a révélé que l'hôpital privé de la Loire n'avait pas respecté plusieurs obligations prévues par le règlement général sur la protection des données (RGPD). Parmi les manquements identifiés, l'autorité indépendante souligne notamment l'absence de certaines mesures de sécurité jugées « élémentaires » le jour de l'intrusion. Ces lacunes ont, selon la Cnil, « contribué à aggraver l'ampleur de la violation de données ».

« La vulnérabilité constatée le jour de la violation a rendu l'attaque plus facile et a amplifié ses conséquences. »

Cnil

Une information incomplète des personnes concernées

Autre reproche adressé à l'établissement stéphanois : la communication post-violation. La Cnil indique que seuls les patients directement affectés par la fuite de données ont été informés. Or, les 202 246 tiers de confiance, bien que leurs données aient également été compromises, n'ont reçu aucune alerte. Cette omission pourrait avoir des répercussions pour ces personnes, dont certaines pourraient être exposées à des risques d'usurpation d'identité ou de phishing. La Cnil rappelle que le RGPD impose une transparence totale envers toutes les personnes dont les données ont été exposées, qu'elles soient patients ou tiers désignés.

Un précédent qui interroge sur la sécurité des données de santé

Cette sanction intervient dans un contexte où les cyberattaques visant les établissements de santé se multiplient en France. Les données médicales, particulièrement sensibles, constituent une cible privilégiée pour les pirates informatiques. En 2025, plusieurs hôpitaux et cliniques ont été victimes de telles intrusions, entraînant des fuites massives d'informations. L'hôpital privé de la Loire rejoint ainsi la liste des établissements pointés du doigt pour leur manque de protection des données. D'après des experts en cybersécurité, les hôpitaux restent des cibles vulnérables en raison de leurs systèmes souvent obsolètes et de budgets limités alloués à la sécurité informatique.

Pour rappel, le RGPD impose aux organismes manipulant des données personnelles, a fortiori de santé, de mettre en place des mesures techniques et organisationnelles adaptées pour garantir leur sécurité. En cas de violation, les responsables doivent notifier l'autorité de contrôle (la Cnil en France) sous 72 heures, ainsi que les personnes concernées, sans délai indu.

Et maintenant ?

L'hôpital privé de la Loire dispose désormais d'un délai de deux mois pour contester cette sanction devant le Conseil d'État. Dans l'intervalle, l'établissement devra également se conformer aux recommandations de la Cnil pour renforcer la sécurité de ses systèmes informatiques. Pour les patients et tiers concernés par cette fuite, aucune mesure spécifique n'a été annoncée à ce stade, mais des recours individuels ne sont pas exclus. La Cnil, de son côté, pourrait durcir ses contrôles dans le secteur de la santé afin de limiter les risques de futures violations.

Cette affaire rappelle l'urgence, pour les établissements médicaux, de moderniser leurs infrastructures informatiques et de former leurs équipes aux bonnes pratiques en matière de cybersécurité. Alors que les cybermenaces se diversifient, la question de la protection des données de santé reste un enjeu majeur pour les années à venir.

Les pirates ont accédé aux données de 524 867 patients, incluant des informations médicales, ainsi qu'aux données de 202 246 tiers de confiance désignés par ces patients, comme des proches ou des aidants.

L'établissement dispose de deux mois pour contester l'amende devant le Conseil d'État. Par ailleurs, la Cnil pourrait imposer des mesures correctives supplémentaires pour renforcer la sécurité de ses systèmes.