Violation de données de santé : ce que la CNIL sanctionne vraiment

La CNIL a rendu publique le 3 septembre 2026 une amende de 500 000 euros contre l'Hôpital privé de la Loire. Ce n'est pas l'intrusion qu'elle sanctionne. Ce sont trois mesures de sécurité banales, absentes avant l'attaque, et 202 246personnes que l'établissement n'a jamais prévenues.

La délibération porte le numéro SAN-2026-009 et date du 21 juillet 2026. Deux articles du RGPD sont visés : l'article 32 sur la sécurité du traitement, l'article 34 sur l'information des personnes concernées. Je la reprends manque par manque, parce que les trois que la formation restreinte retient ici, je les retrouve dans presque tous les audits que je mène.

Les faits, en quatre chiffres

À l'été 2025, une intrusion atteint le dossier patient informatisé de l'établissement, le fichier central où se concentre tout. La CNIL retient 524 867 patients concernés et 202 246tiers de confiance, ces proches qu'un patient désigne à son admission. Des données de santé figurent dans le lot.

Un an plus tard, la sanction tombe. Elle prévoit 500 000 euros d'amende, une décision nominative et publique, et des injonctions à exécuter dans un délai de trois à quinze moisselon la mesure, sous le regard de patients qui ont désormais lu la presse locale. L'établissement paie. Il corrige. Publiquement.

Premier manque : un accès distant sans VPN ni double authentification

Le dossier patient était joignable depuis l'extérieur avec un identifiant et un mot de passe. Rien d'autre. Pas de tunnel VPN, pas d'authentification multifacteur.

Je vois ce montage presque partout où un établissement a ouvert un accès pour ses praticiens libéraux ou pour la maintenance de son éditeur. L'ouverture est décidée pour une raison légitime, souvent dans l'urgence, puis plus personne ne la revisite. Elle n'apparaît dans aucune cartographie et ne remonte jamais au comité des risques.

Deuxième manque : des habilitations qui ne cloisonnent rien

La CNIL reproche ensuite une politique d'habilitation qui ne limitait pas l'accès au dossier d'un patient à son équipe de soins. Le secret médical n'est pas une option de configuration. Il suppose que chaque compte ne voie que ce que la prise en charge justifie.

Ce point dépasse l'hôpital. Toute organisation qui branche aujourd'hui un assistant conversationnel sur sa base documentaire hérite du même défaut, en pire, parce que l'index vectoriel qui alimente le modèle recopie rarement les droits de la source dont il a extrait le texte. Un compte trop large devient alors une réponse trop large, formulée poliment, à un utilisateur qui n'avait rien demandé d'interdit. C'est le sujet que je traite dans ce que le DPO doit exiger avant le feu vert d'un projet IA.

Troisième manque : personne ne regardait les journaux

Troisième reproche : aucune détection d'activité suspecte en temps réel. Les traces existaient probablement. Personne ne les lisait. Voilà.

Un compte qui ouvre huit cents dossiers en une nuit se repère sans outil coûteux, à condition qu'une alerte soit écrite quelque part et qu'un humain la reçoive. La journalisation sans exploitation ne protège personne : elle produit de la preuve après coup, jamais de réaction pendant.

Trois règles suffisent à couvrir la majorité des cas, et elles s'écrivent dans l'outil que vous avez déjà.

• Un volume de consultations anormal sur un même compte, rapporté à sa moyenne des trente derniers jours.
• Une connexion depuis une adresse ou un pays jamais vus pour ce compte.
• Un accès en dehors des plages horaires du service auquel le compte est rattaché.

Aucune de ces trois règles ne demande une plateforme de détection. Elles demandent qu'on ait décidé du seuil, et qu'une boîte aux lettres relevée reçoive l'alerte. C'est la logique de supervision continue que recommande l'ANSSI, et que je détaille dans le guide PA-102 appliqué à l'IA générative.

Le manquement qu'on oublie : prévenir tout le monde

Le second grief ne porte plus sur la technique. L'article 34 du RGPD impose d'informer les personnes concernées quand une violation présente un risque élevé pour leurs droits. L'hôpital a informé ses patients. Il a laissé de côté les 202 246 tiers de confiance.

L'oubli se comprend, et c'est bien ce qui le rend intéressant. Ces personnes ne sont pas des patients : elles ne figurent nulle part dans le circuit de soins, ne reçoivent aucun courrier de l'établissement, et n'existent dans le système que comme une ligne rattachée au dossier de quelqu'un d'autre. Leur donnée a pourtant fuité comme les autres.

Ce que je vérifie chez mes clients depuis cette décision

Cette délibération donne une grille de contrôle prête à l'emploi. Je la fais passer telle quelle, et elle prend moins d'une demi-journée quand les réponses existent.

Aucun de ces cinq points ne demande un budget. Ils demandent une décision, un propriétaire, une date. C'est exactement ce que la formation restreinte est allée chercher dans cette affaire, ce qu'elle ira chercher dans la suivante, et ce qu'un assureur cyber vous demandera de prouver bien avant elle.

Si vous ne savez pas répondre à trois de ces cinq lignes, l'écart se mesure en quelques heures d'audit. Parlons-en.