Cyberattaque : l'Hôpital privé de la Loire condamné à 500.000 euros d'amende

Vendredi 4 Septembre - 07:34

Santé

L'Hôpital privé de la Loire (HPL), à Saint-Étienne - © Gaëtan Barralon

Après le vaste piratage de données médicales survenu en juin 2025, la Cnil (Commission nationale de l'informatique et des libertés) vient de condamner le HPL à une amende de 500.000 euros.

Des failles fatales.

Plus d'un an après une vaste cyberattaque qui avait touché les données personnelles de plus de 500.000 patients et plus de 200.000 tiers de confiance, le HPL vient d'être condamné à une amende de 500.000 euros.

Dans un communiqué, la Cnil souligne que l'hôpital a fait preuve de "méconnaissance de principes essentiels en matière de sécurité". Elle pointe notamment que l'accès au dossier médical du patient pour les personnes externes à l'établissement, comme les médecins généralistes, n'était pas suffisamment sécurisé. C'est par ce biais que l'attaquant avait accédé aux données.

Des mesures à prendre sous peine de pénalités

La Cnil reproche aussi à l'hôpital de ne pas avoir mis en place de mesures de détection des activités informatiques suspectes. "L'attaquant a pu explorer (les dossiers des patients) de l'hôpital durant plusieurs jours et extraire un volume très important de données, sans que cette activité anormale soit détectée", indique-t-elle.

Elle soulève enfin le fait que l'établissement n'a pas informé les tiers de confiance désignés par les patients, habilités à accéder à leurs données de santé, de cette violation.

L'autorité a exigé que l'établissement prenne des mesures de sécurisation, dans un délai de trois à 15 mois, selon le type de mesures, sous peine de pénalités journalières.

"Un certain nombre d'entre elles ont été mises en place dès l'été dernier. Les différents chantiers de sécurisation demandés par la Cnil ont tous été lancés. Ils sont à des stades de réalisation plus ou moins avancés. Certains, comme la double authentification, sont achevés", a réagi auprès de l'AFP Xavier Claris, président du conseil d'administration du HPL LDA (Hôpital Privé de la Loire - Loire Drôme Ardèche).

Ce dernier précise que la décision de faire appel de cette sanction de la Cnil "est à l'étude". "Il n'a pas encore été statué sur la décision d'engager ou non un recours devant le Conseil d'État", ajoute-t-il.