Une clinique de Saint-Étienne condamnée à 500 000 euros d'amende par la Cnil

Une clinique privée de Saint-Étienne (Loire) a été condamnée à une amende de 500.000 euros par l'autorité de protection des données personnelles (Cnil), pour n'avoir pas suffisamment protégé les données de ses patients, d'après une décision publiée jeudi.

À l'été 2025, l'Hôpital privé de la Loire avait été ciblé par une cyberattaque qui avait abouti à la violation des données personnelles de plus de 500.000 patients, dont des données de santé, et de plus de 200.000 «tiers de confiance», des proches habilités par les patients pour connaître leur dossier médical.

Interrogé, Xavier Claris, président du conseil d'administration du HPL LDA (Hôpital Privé de la Loire - Loire Drôme Ardèche), a répondu que la décision de faire appel de la décision de la Cnil «est à l'étude (...) elle nous a été signifiée hier (mercredi) après-midi et il n'a pas encore été statué sur la décision d'engager ou non un recours devant le Conseil d'État».

Dans un communiqué, la Cnil souligne que l'hôpital a fait preuve de «méconnaissance de principes essentiels en matière de sécurité». Elle pointe notamment que l'accès au dossier médical du patient pour les personnes externes à l'établissement, comme les médecins généralistes, n'était pas suffisamment sécurisé. C'est par ce biais que l'attaquant avait accédé aux données.

La Cnil reproche aussi à l'hôpital de ne pas avoir mis en place de mesures de détection des activités informatiques suspectes. «L'attaquant a pu explorer (les dossiers des patients) de l'hôpital durant plusieurs jours et extraire un volume très important de données, sans que cette activité anormale soit détectée», indique-t-elle. Elle soulève enfin le fait que l'établissement n'a pas informé les tiers de confiance désignés par les patients, habilités à accéder à leurs données de santé, de cette violation.

L'autorité a ainsi constaté deux manquements au Règlement européen de protection des données (RGPD), concernant l'obligation d'assurer la sécurité des données et l'obligation d'informer les victimes des violations de données. Elle a exigé que l'établissement prenne des mesures de sécurisation, dans un délai de trois à 15 mois, selon le type de mesures, sous peine de pénalités journalières.

«Un certain nombre d'entre elles ont été mises en place dès l'été dernier. Les différents chantiers de sécurisation demandés par la Cnil ont tous été lancés. Ils sont à des stades de réalisation plus ou moins avancés. Certains, comme la double authentification, sont achevés», a réagi Xavier Claris.