La France Chiffre l'Absence de MFA à 500 000 Euros

Ce dans quoi l'attaquant est vraiment entré

Un attaquant a atteint à l'été 2025 le système de Dossier Patient Informatisé de l'Hôpital Privé de la Loire en utilisant des identifiants d'accès distant peu protégés ; l'établissement n'avait déployé ni VPN ni authentification multifacteur pour protéger ce point d'entrée, selon l'enquête de la CNIL. Une fois à l'intérieur, un seul jeu d'identifiants pouvait atteindre le dossier complet de chaque patient du système, sans cloisonnement par service, équipe soignante ou besoin d'en connaître.

Rien n'a signalé le volume inhabituel de dossiers extraits durant les jours suivants, si bien que l'extraction s'est déroulée sans être détectée jusqu'à son achèvement. La décision de la CNIL traite cette absence de détection en temps réel comme un manquement distinct, et non comme une simple note de bas de page à l'absence de VPN et de MFA.

L'amende n'est pas la nouvelle ; la norme l'est

La sanction de 500 000 euros, annoncée le 3 septembre 2026, paraît modeste face aux amendes RGPD infligées aux grandes plateformes technologiques, mais le raisonnement compte davantage que le montant. Le régulateur n'a pas eu besoin de prouver que la sécurité de l'hôpital résistait à un attaquant sophistiqué ; il lui a suffi de montrer que deux contrôles précis et bien documentés faisaient défaut. C'est une barre bien plus basse pour une sanction, et c'est exactement celle que la CNIL applique désormais à toute organisation détenant des données de santé sur une connexion distante.

Pour un groupe de cliniques privées de la taille de Ramsay Santé, 500 000 euros représentent une erreur d'arrondi. Pour une clinique plus petite, un cabinet dentaire ou un fournisseur de santé numérique avec la même configuration, le même constat, VPN et MFA absents sur l'accès distant aux données de santé, déclencherait la même logique de sanction contre un bilan bien moins résistant. En France, tout hébergeur de données de santé reste par ailleurs soumis à la certification HDS, qui impose déjà formellement ce type de contrôle d'accès.

Les chiffres que la CNIL a retenus

Trois chiffres de la décision donnent à tout responsable de traitement un repère approximatif de sa propre exposition.

Moins d'un euro par dossier n'est pas un chiffre publié tel quel par la CNIL, c'est une simple division, mais c'est le chiffre qu'un conseil d'administration demande en pratique dès qu'un rapport d'incident arrive sur la table.

La lacune dont personne ne parle encore

La décision de la CNIL confirme que l'Hôpital Privé de la Loire a notifié les 524 867 patients dont les dossiers ont été compromis, mais pas les 202 246 personnes enregistrées dans le système uniquement comme tiers associés, médecins traitants, contacts d'urgence ou garants, dont les données personnelles se trouvaient dans la même base exposée.

L'obligation de notification du RGPD s'applique à toute personne concernée exposée à un risque significatif, pas seulement à celle au nom de laquelle le dossier est formellement établi. Que l'inclusion d'un tiers dans un dossier de santé sans notification directe résiste à une future contestation reste une question que cette décision ne tranche pas, et c'est précisément le type de lacune qu'une plainte déterminée ou un contrôle ultérieur de la CNIL pourrait rouvrir.

Ce que cela change pour quiconque gère un accès distant à des données de santé

Trois changements pratiques découlent directement de cette décision pour une clinique, un groupe hospitalier ou un fournisseur de santé numérique n'importe où dans l'UE : traiter VPN et MFA sur l'accès distant comme un plancher de conformité plutôt qu'une ligne budgétaire reportable, répartir l'accès aux dossiers par rôle pour qu'aucun identifiant unique ne puisse atteindre toute la population de patients, et ajouter des alertes en temps réel sur les volumes de données inhabituels extraits d'un seul compte.

Un quatrième changement, moins évident : vérifier quelles autres données vivent à l'intérieur d'un dossier patient, médecins traitants, contacts d'urgence, garants, et s'assurer que la liste de notification de l'organisation en cas de violation les atteint tous réellement, pas seulement le patient dont le nom figure sur le dossier.

Servola Journal

Nous faisons cela pour tous ceux qui essaient de suivre ce que la technologie fait à nos vies. Les personnes qui la construisent, et les personnes à qui cela arrive. Le Servola Journal existe pour que ce que nous apprenons appartienne à tous.

Personne ne nous paie pour cela. Pas de publicité, pas de mur payant, gratuit pour tous. Nous croyons simplement que comprendre ce qui nous arrive à tous ne devrait pas dépendre de qui peut se permettre de payer pour cela.

Si cela vous a apporté quelque chose aujourd'hui, dites-le-nous pour que nous continuions. Suivez-nous, laissez un like, ou écrivez un commentaire positif. Nous les lisons tous, et ce sont eux qui nous font continuer.

À lire ensuite: Si Votre Entreprise Ferme, Vos Emails Sont Vendus  |  Deuxième correctif LED, la CNIL toujours sans réponse