La CNIL vient de sanctionner l’Hôpital privé de la Loire d’une amende de 500 000 euros après une cyberattaque ayant permis à un attaquant d’accéder aux données de 524 867 patients, dont certaines données de santé, ainsi qu’à celles de 202 246 personnes désignées comme « tiers de confiance ».
L’attaque, survenue durant l’été 2025, a ciblé le dossier patient informatisé (DPI) de l’établissement.
La particularité de cette décision tient moins au montant de l’amende qu’à la précision avec laquelle la CNIL décrit les faiblesses techniques ayant permis à l’attaque de se propager.
Pour les utilisateurs externes, notamment les médecins libéraux, l’accès au DPI ne reposait ni sur un VPN, ni sur une authentification multifacteur.
La CNIL considère explicitement que cette procédure d’authentification n’était « pas suffisamment robuste ». L’attaquant a exploité cette vulnérabilité pour accéder au DPI avec les identifiants d’un utilisateur.
Un compte compromis ne devrait pas donner accès à tout le DPI
La faiblesse ne s’arrêtait toutefois pas à l’authentification. Une fois connecté, l’attaquant a pu accéder aux données de l’ensemble des patients de l’établissement.
La raison tient à une deuxième défaillance : la politique d’habilitation ne tenait pas suffisamment compte de la notion d’équipe de soins. Les professionnels n’étaient donc pas limités aux seules informations nécessaires à la prise en charge des patients dont ils avaient effectivement la charge.
Pour la CNIL, le problème est alors double. La compromission d’un compte a été rendue possible par une authentification insuffisamment robuste et, une fois le compte compromis, les droits qui lui étaient associés ont permis d’accéder à un volume considérable de données.
Cette distinction est importante. Même lorsqu’un attaquant parvient à compromettre un compte, il ne devrait pas pouvoir accéder à l’ensemble du système d’information. La limitation des droits d’accès et le cloisonnement des données doivent permettre de contenir l’attaque et d’en limiter les conséquences.
Des jours d’exfiltration sans alerte
La troisième faiblesse relevée par la CNIL concerne la détection.
L’établissement ne disposait pas de mesures permettant d’identifier une activité suspecte dans le DPI en temps réel ou à très court terme et de déclencher une alerte. L’attaquant a ainsi pu explorer le système durant plusieurs jours et extraire un volume important de données sans que cette activité anormale ne soit détectée.
La CNIL considère que cette absence de détection a contribué à aggraver l’ampleur de la violation.
Le raisonnement dessine donc une chaîne de défense assez classique :
authentifier correctement → limiter les privilèges → cloisonner les accès → journaliser → détecter les comportements anormaux.
C’est cette chaîne, plus que l’absence isolée d’un VPN ou d’un MFA, qui permet de comprendre la décision.
Le VPN et le MFA deviennent des mesures attendues
Le cas de l’Hôpital privé de la Loire est exceptionnel par la précision avec laquelle la CNIL met en cause l’absence de VPN et de MFA. Mais il ne constitue pas pour autant une rupture dans sa jurisprudence.
La Commission avait déjà indiqué, en janvier 2025, que les entreprises détenant de grandes bases de données devaient notamment mettre en place une authentification multifacteur pour les employés, les partenaires, les sous-traitants et les autres intervenants accédant à distance.
Elle avait surtout annoncé qu’elle renforcerait dès 2026 ses contrôles sur ce point et précisé que l’absence de MFA pourrait justifier l’ouverture d’une procédure de sanction.
La CNIL rappelait également que cette authentification renforcée était déjà considérée comme, en principe, nécessaire au regard du RGPD pour les bases contenant des données sensibles ou dont la violation présenterait des risques importants.
La recommandation publiée en avril 2025 sur l’authentification multifacteur avait préparé le terrain.
Le dossier de l’Hôpital privé de la Loire montre donc comment cette doctrine peut désormais se traduire dans une procédure de sanction.
Free : le précédent du VPN mal sécurisé
Quelques mois plus tôt, la CNIL avait déjà mis en cause plus directement une infrastructure d’accès distant.
En janvier 2026, elle a infligé 27 millions € à Free Mobile et 15 millions à Free, soit 42 millions € au total, après une importante violation de données. La Commission a notamment relevé l’insuffisance des mesures destinées à assurer la sécurité des données des abonnés.
Ce dossier est particulièrement intéressant au regard de celui de l’Hôpital privé de la Loire. Le problème n’est plus simplement de savoir si une organisation possède un VPN, mais si l’ensemble du mécanisme d’accès distant présente un niveau de sécurité approprié.
La jurisprudence récente tend ainsi à regarder la sécurité comme une chaîne de contrôles plutôt que comme une collection de produits.
France Travail : l’authentification ne suffit pas
La sanction de 5 millions € infligée à France Travail en janvier 2026 va dans la même direction.
La CNIL a notamment relevé l’insuffisance des mesures de journalisation permettant de détecter les comportements anormaux sur le système d’information. Elle a également considéré que les habilitations attribuées aux comptes des conseillers de Cap emploi étaient trop larges, leur permettant d’accéder aux données de personnes qu’ils n’accompagnaient pas.
On retrouve donc les deux autres briques du dossier de l’Hôpital privé de la Loire : la journalisation et la gestion des habilitations.
Le rapprochement est particulièrement parlant. Dans les deux cas, le risque ne provient pas seulement de la possibilité de compromettre un compte. Il provient aussi du fait qu’un compte compromis dispose de droits trop étendus et que l’activité anormale n’est pas détectée suffisamment rapidement.
IQVIA : le cloisonnement entre également dans le radar
La sanction de 5 millions € infligée à IQVIA Operations France en mai 2026 complète encore ce tableau.
La CNIL a sanctionné l’entreprise dans le cadre de la gestion de deux entrepôts de données de santé et a notamment examiné les garanties destinées à limiter les risques liés à ces données.
Le dossier illustre l’importance croissante accordée par la CNIL à l’architecture de sécurité. Authentification, séparation des environnements, restriction des accès et traçabilité doivent être pensés ensemble lorsqu’il s’agit de données particulièrement sensibles.
La journalisation ne doit pas être un simple entrepôt de logs
La position de la CNIL sur la journalisation est particulièrement révélatrice.
Dans ses recommandations destinées aux grandes bases de données, la Commission demande une architecture permettant de tracer les accès et les actions des utilisateurs habilités. Mais elle précise surtout que la simple collecte des journaux ne suffit pas : les organisations doivent être capables de traiter ces informations afin de détecter rapidement un comportement suspect.
La CNIL recommande notamment de journaliser les accès aux applications, API, systèmes et réseaux, et de cibler la supervision sur les composants les plus sensibles. Les événements à surveiller doivent permettre de détecter des flux anormaux, des volumes inhabituels ou des tentatives de connexion rejetées.
Autrement dit, avoir des logs n’est pas nécessairement avoir une capacité de détection.
C’est précisément ce que montre le cas de l’Hôpital privé de la Loire. L’absence de détection en temps réel ou à très court terme a laissé à l’attaquant plusieurs jours pour explorer le DPI et extraire les données.
TLS, mots de passe : une jurisprudence plus ancienne
La CNIL ne découvre pas en 2026 la question des briques techniques de cybersécurité.
Son bilan 2024 fait état de 11 sanctions pour des manquements à la sécurité des données. Les organismes concernés avaient notamment utilisé des mots de passe insuffisamment robustes, stocké des mots de passe en clair, mis en œuvre des politiques d’habilitation insuffisantes ou continué à utiliser des versions obsolètes de TLS.
La Commission avait également sanctionné plusieurs organismes qui, malgré une mise en demeure, continuaient à utiliser TLS 1.0 ou TLS 1.1, ainsi que SHA-1, considérés comme obsolètes ou insuffisamment sûrs.
La logique est la même : le RGPD ne liste pas les produits ou technologies à installer. Il impose au responsable de traitement de mettre en œuvre des mesures de sécurité adaptées au risque et à l’état des connaissances.
Mais lorsque certaines technologies deviennent incontournables pour répondre à ce niveau de risque, leur absence ou leur mauvaise configuration peut devenir un élément central du constat de la CNIL.
Une obligation de moyens, pas une liste de produits
Il faut donc éviter une interprétation trop mécanique de la décision.
Le RGPD ne transforme pas le VPN ou le MFA en obligations universelles. L’article 32 impose des mesures techniques et organisationnelles « appropriées » au regard notamment des risques présentés par le traitement.
La CNIL le rappelle dans sa jurisprudence : le caractère suffisant des mesures de sécurité doit être apprécié en fonction des caractéristiques du traitement, des risques, de l’état des connaissances et du coût des mesures.
C’est précisément ce qui rend le dossier de l’Hôpital privé de la Loire intéressant. Les données concernées sont particulièrement sensibles, le DPI centralise un volume considérable d’informations et des utilisateurs externes peuvent y accéder à distance.
Dans ce contexte, l’absence cumulée de VPN et de MFA constitue, pour la CNIL, une faiblesse de sécurité suffisamment importante pour caractériser un manquement à l’article 32.
Vers une « doctrine technique » de la CNIL ?
La décision contre l’Hôpital privé de la Loire ne crée donc pas une nouvelle obligation réglementaire imposant à tous les établissements de santé de déployer tel ou tel équipement.
Elle témoigne plutôt d’une évolution de la jurisprudence vers une appréciation beaucoup plus concrète de l’architecture de sécurité.
Authentification, MFA, VPN, habilitations, segmentation, journalisation, détection, chiffrement : ces briques ne sont plus examinées uniquement sous l’angle de la conformité documentaire. La CNIL cherche à déterminer si, dans les faits, elles sont suffisamment robustes pour empêcher une compromission ou en limiter les conséquences.
Le mouvement est d’ailleurs clairement assumé par la Commission.
Dans ses recommandations sur les grandes bases de données, elle indique qu’elle renforcera ses contrôles à partir de 2026 sur l’authentification multifacteur et que l’absence de cette mesure pourra justifier l’ouverture d’une procédure de sanction.
The post La CNIL durcit le contrôle des briques de cybersécurité appeared first on Silicon.fr.
