Une clinique privée sanctionnée d'une amende de 500.000 euros après un vol de données

Une clinique privée de Saint-Etienne (Loire) a été condamnée à une amende de 500.000 euros par l’autorité de protection des données personnelles (Cnil), pour n’avoir pas suffisamment protégé les données de ses patients, d’après une décision publiée jeudi.

A l’été 2025, l’Hôpital privé de la Loire avait été ciblé par une cyberattaque qui avait abouti à la violation des données personnelles de plus de 500.000 patients, dont des données de santé, et de plus de 200.000 « tiers de confiance », des proches habilités par les patients pour connaître leur dossier médical.

Dans un communiqué, la Cnil souligne que l’hôpital a fait preuve de « méconnaissance de principes essentiels en matière de sécurité ».

Elle pointe notamment que l’accès au dossier médical du patient pour les personnes externes à l’établissement, comme les médecins généralistes, n’était pas suffisamment sécurisé. C’est par ce biais que l’attaquant avait accédé aux données.

La Cnil reproche aussi à l’hôpital de ne pas avoir mis en place de mesures de détection des activités informatiques suspectes.

« L’attaquant a pu explorer (les dossiers des patients) de l’hôpital durant plusieurs jours et extraire un volume très important de données, sans que cette activité anormale soit détectée », indique-t-elle.

Elle soulève enfin le fait que l’établissement n’a pas informé les tiers de confiance désignés par les patients, habilités à accéder à leurs données de santé, de cette violation.

L’autorité a ainsi constaté deux manquements au Règlement européen de protection des données (RGPD), concernant l’obligation d’assurer la sécurité des données et l’obligation d’informer les victimes des violations de données.