Violation de données en matière de santé : sanction de 500 000 euros à l’encontre de l’HÔPITAL PRIVÉ DE LA LOIRE

Le 3 septembre 2026, la CNIL a prononcé une sanction de 500 000 € à l’encontre de l’HÔPITAL PRIVÉ DE LA LOIRE, pour ne pas avoir pris des mesures adaptées pour assurer la sécurité des données de ses patients et de certains de leurs proches.

Au cours de l'été 2025, un attaquant est parvenu à se connecter au dossier patient informatisé (DPI) de l’HÔPITAL PRIVÉ DE LA LOIRE, qui centralise l’ensemble des données des personnes prises en charge. Il a ainsi accédé aux données de 524 867 patients (dont, pour certains d’entre eux, des données de santé) et de 202 246 personnes désignées comme « tiers de confiance ».

À la suite de cette violation de données, la CNIL a réalisé un contrôle qui a mis en évidence plusieurs manquements de l’HÔPITAL PRIVÉ DE LA LOIRE aux obligations prévues par le règlement général sur la protection des données (RGPD).

En conséquence, la formation restreinte – organe de la CNIL chargé de prononcer les sanctions – a prononcé une amende de 500 000 euros à l’encontre de l’HÔPITAL PRIVÉ DE LA LOIRE, tenant notamment compte de la méconnaissance de principes essentiels en matière de sécurité, du nombre de personnes concernées, de la nature des données compromises et de ses capacités financières.

Un manquement à l’obligation d’assurer la sécurité des données personnelles (article 32 du RGPD)

La formation restreinte a constaté qu’au jour de la violation de données, l’HÔPITAL PRIVÉ DE LA LOIRE n’avait pas mis en œuvre certaines mesures élémentaires de sécurité qui auraient pu rendre l’attaque plus difficile.