Septembre 2026 · formation-cybersecurite

Un hôpital condamné à 500 000 euros après la fuite de 727 000 dossiers : ce que ça dit aux PME

Le 3 septembre 2026, la CNIL a publié sa sanction contre l'Hôpital privé de la Loire, à Saint-Étienne. 500 000 euros d'amende pour une fuite de données qui a touché plus de 727 000 personnes. Ce cas mérite d'être lu par toutes les PME, parce que l'attaque n'a rien d'exceptionnel et que les manquements reprochés tiennent en trois réglages de base.

L'attaque n'a rien d'exotique

Entre le 26 juin et le 1er juillet 2025, un attaquant est entré dans le dossier patient informatisé de l'Hôpital privé de la Loire en utilisant les identifiants d'un médecin libéral dont le compte avait été compromis. Pendant cinq jours, il a consulté et copié les dossiers sans que personne ne s'en aperçoive. Les journaux applicatifs enregistraient pourtant ses passages, la CNIL le relève dans sa délibération, mais personne ne les lisait. D'après la presse spécialisée, les consultations anormales se sont à certains moments enchaînées à un rythme de 73 dossiers par minute, sans déclencher la moindre alerte.

Le bilan est lourd. Les fiches de 524 867 patients ont été exfiltrées, ainsi que les données de 202 246 personnes désignées comme tiers de confiance, ces proches autorisés à accompagner ou à aider un malade. Plus de 727 000 personnes au total, dont des données de santé parmi les plus sensibles qui existent.

Un pirate se présentant comme un adolescent sous le pseudo Marak a revendiqué l'attaque auprès du Progrès, via Telegram. Il aurait cherché à vendre les données pour quelques milliers d'euros, sans succès. Rien n'indique aujourd'hui qu'elles aient été vendues ou publiées.

Rien, dans ce scénario, ne relève de la prouesse technique. Pas de faille zero-day, pas d'outil exotique, pas de groupe étatique. Un compte volé, des droits d'accès trop larges, aucune alerte. C'est précisément pour cela que cette histoire intéresse une PME. La difficulté n'était pas d'attaquer l'hôpital. Elle était de ne pas avoir prévu une attaque banale.

500 000 euros, et une méthode de calcul qui change la lecture

La CNIL a prononcé une amende de 500 000 euros, sur le fondement des articles 32 et 34 du RGPD. Le montant est important pour un établissement qui affichait pourtant un déficit de 5,2 millions d'euros. La Commission explique sa méthode dans sa délibération. Elle ne s'est pas arrêtée à la situation financière de l'hôpital. Elle a considéré l'établissement et sa maison mère, le groupe Ramsay Santé, comme une même entreprise au sens du RGPD, pour apprécier la capacité financière du responsable de traitement.

La lecture change pour une PME. Si vous êtes une filiale ou une entité d'un groupe, la sanction peut se calculer sur la surface du groupe, pas sur la vôtre. Si vous êtes une PME indépendante, la logique reste la même. La CNIL proportionne l'amende aux moyens de l'organisme, mais elle sanctionne des manquements de base indépendamment du préjudice constaté. Dans cette affaire, les données n'ont pas été revendues ni publiées, et l'amende tombe quand même. Ce qui est sanctionné, c'est l'absence de mesures adaptées, pas seulement le résultat.

Surtout, l'amende n'est que la partie visible. L'hôpital a dû engager des mesures correctives, notifier les personnes concernées, gérer la crise, répondre à l'enquête. Pour une structure qui n'a pas d'équipe sécurité dédiée, le coût total d'un tel événement dépasse très vite le montant de la sanction.

La cybersécurité, ce n'est pas la technique, c'est trois réglages de base

En lisant la délibération, on retrouve trois manquements préventifs, et aucun ne demande un expert pour être compris.

• La double authentification pour tout accès distant. Près de 450 utilisateurs externes, médecins libéraux, secrétariats, se connectaient au dossier patient depuis Internet avec un simple identifiant et un mot de passe, sans VPN ni authentification multifacteur, alors que le logiciel permettait de l'activer. La fonctionnalité existait. Elle n'a été activée qu'après l'incident.

• Le moindre privilège. Un praticien pouvait ouvrir les dossiers de tous les patients de l'établissement, y compris ceux qu'il ne suivait pas. Une fois le compte du médecin compromis, l'attaquant a donc eu accès à presque toute la base. Un compte ne devrait donner accès qu'à ce dont son titulaire a besoin pour travailler.

• La surveillance des accès. Les traces étaient enregistrées, mais jamais analysées. Cinq jours d'exfiltration, des milliers de consultations anormales, aucune alerte. Enregistrer des journaux sans les surveiller, c'est installer une caméra sans la brancher sur un écran.

La CNIL ajoute un quatrième manquement, qui n'est pas un réglage préventif mais une obligation de réaction. Les patients ont été informés de la fuite, mais les 202 246 tiers de confiance ne l'ont pas été directement, ce qui contredit l'article 34 du RGPD sur la notification des personnes en cas de violation.

Devenir un incompétent conscient

Il existe une grille simple pour comprendre les accidents de cybersécurité. L'incompétent inconscient ne sait pas ce qu'il ignore. Il découvre le risque le jour où il est touché. L'incompétent conscient sait ce qu'il ne sait pas. Il repère les signaux, pose les bonnes questions, demande les bons réglages. Le chemin vers la compétence réelle passe par cet état intermédiaire, et c'est là que se joue l'essentiel de la protection d'une PME.

Vous n'avez pas besoin de devenir technicien pour protéger votre entreprise. Vous avez besoin de savoir qu'un accès distant sans double authentification est une porte ouverte, qu'un droit d'accès large est un risque silencieux, que des journaux jamais lus ne protègent rien. C'est l'objet de la formation Cybersécurité démystifiée, pensée pour les non-informaticiens. Apprendre à devenir un incompétent conscient en cybersécurité, c'est faire en sorte que le jour où l'attaque banale arrive, elle ne devienne pas une crise.

1. CNIL (03/09/2026) - Violation de données en matière de santé : sanction de 500 000 euros à l'encontre de l'Hôpital privé de la Loire. https://cnil.fr/fr/sanction-hopital-prive-loire
2. Usine Digitale (03/09/2026) - 73 dossiers patients consultés par minute sans alerte : la Cnil épingle la cybersécurité de l'Hôpital privé de la Loire. https://www.usine-digitale.fr/cybersecurite/73-dossiers-patients-consultes-par-minute-sans-alerte-la-cnil-epingle-la-cybersecurite-de-lhopital-prive-de-la-loire.VH3URISMONE3BKWMVE24TQIZXA.html
3. BleepingComputer (03/09/2026) - French hospital fined 500 000 euros after breach exposes data of 727,000. https://www.bleepingcomputer.com/news/security/french-hospital-fined-500-000-after-breach-exposes-data-of-727-000/
4. Le Progrès (03/09/2026) - Piratage de données médicales : le HPL condamné par la CNIL à 500 000 euros d'amende. https://www.leprogres.fr/faits-divers-justice/2026/09/03/piratage-de-donnees-medicales-le-hpl-condamne-par-la-cnil-a-500-000-euros-d-amende