L’Hôpital privé de la Loire, situé à Saint-Étienne, a été sanctionné d’une amende de 500 000 euros par la Commission nationale de l’informatique et des libertés. L’autorité estime que l’établissement n’avait pas suffisamment sécurisé les informations personnelles de ses patients avant la cyberattaque massive dont il a été victime durant l’été 2025.
Plus de 500 000 dossiers de patients, comprenant notamment des données de santé, avaient été compromis. Les informations de plus de 200 000 « tiers de confiance », c’est-à-dire des proches autorisés à accéder au dossier médical d’un patient, avaient également été exposées. Le pirate serait entré dans le système en exploitant un accès destiné à des professionnels extérieurs, comme les médecins généralistes.
Plusieurs jours d’intrusion sans aucune alerte
La Cnil reproche notamment à la clinique l’absence de dispositif suffisamment efficace pour détecter les activités informatiques inhabituelles. L’attaquant aurait ainsi pu explorer les dossiers et extraire un volume considérable de données pendant plusieurs jours sans déclencher d’alerte. L’établissement n’aurait pas non plus informé les tiers de confiance concernés par la fuite, contrairement aux obligations prévues par le RGPD.
La clinique dispose désormais de trois à quinze mois, selon les mesures concernées, pour renforcer sa sécurité sous peine de pénalités journalières. Son président, Xavier Claris, affirme que plusieurs chantiers ont déjà été engagés et que la double authentification est désormais opérationnelle. L’établissement étudie toutefois la possibilité de contester la sanction devant le Conseil d’État, illustrant le durcissement du rapport de force entre la Cnil et les organisations victimes de cyberattaques lorsque leurs protections sont jugées insuffisantes.
Communauté
Commentaires
Écrire un commentaire
Soyez le premier à commenter cet article.