Article
© ChatGPT x What's up Doc
La sanction a été prononcée le 21 juillet par la formation restreinte de la Cnil, l'organe chargé de prononcer les sanctions, à l'issue d'un contrôle mené après la cyberattaque. Elle a été rendue publique ce jeudi.
À l'été 2025, l’Hôpital privé de la Loire avait été ciblé par une cyberattaque qui avait abouti à la violation des données personnelles de plus de 500 000 patients, dont des données de santé, et de plus de 200 000 « tiers de confiance », des proches habilités par les patients pour connaître leur dossier médical.
Interrogé ce jeudi par l’AFP, Xavier Claris, président du conseil d’administration du HPL LDA (Hôpital Privé de la Loire - Loire Drôme Ardèche), a répondu que la décision de faire appel de la décision de la Cnil « est à l’étude (…) elle nous a été signifiée hier (mercredi) après-midi et il n'a pas encore été statué sur la décision d'engager ou non un recours devant le Conseil d’État ».
Plusieurs failles identifiées
Dans un communiqué, la Cnil souligne que l'hôpital a fait preuve de « méconnaissance de principes essentiels en matière de sécurité ». Elle pointe notamment que l'accès au dossier médical du patient pour les personnes externes à l'établissement, comme les médecins généralistes, n'était pas suffisamment sécurisé. C'est par ce biais que l’attaquant avait accédé aux données.
La Cnil reproche aussi à l'hôpital de ne pas avoir mis en place de mesures de détection des activités informatiques suspectes. « L'attaquant a pu explorer (les dossiers des patients) de l'hôpital durant plusieurs jours et extraire un volume très important de données, sans que cette activité anormale soit détectée », indique-t-elle.
Elle soulève enfin le fait que l'établissement n'a pas informé les tiers de confiance désignés par les patients, habilités à accéder à leurs données de santé, de cette violation.
L'autorité a ainsi constaté deux manquements au Règlement européen de protection des données (RGPD), concernant l'obligation d'assurer la sécurité des données et l'obligation d'informer les victimes des violations de données.
Elle a exigé que l'établissement prenne des mesures de sécurisation, dans un délai de trois à 15 mois, selon le type de mesures, sous peine de pénalités journalières.
« Un certain nombre d’entre elles ont été mises en place dès l’été dernier. Les différents chantiers de sécurisation demandés par la Cnil ont tous été lancés. Ils sont à des stades de réalisation plus ou moins avancés. Certains, comme la double authentification, sont achevés », a réagi Xavier Claris.
Avec AFP
