GuiGui's Show

L’Hôpital privé de la Loire (HPL) est une clinique privée du groupe Ramsay santé.

Entre le 26 juin et le 1er juillet 2025, elle a subi une intrusion informatique via son service d’accès à distance dédié aux praticiens. Environ 524 000 fiches patients, 202 000 fiches de personnes de confiance, des justificatifs d’identité, et les données de santé de 43 patients ont été exfiltrées. La CNIL a reçu neuf plaintes.

[…]

Le Rapporteur de la CNIL a soulevé les griefs suivants :

• Accès distant par le web avec un identifiant + mot de passe, sans VPN ni authentification multifacteurs […] La double authentification (2FA) était prise en charge par l’outil mais désactivée ;
  
  
• Absence d’habilitations fines : tous les praticiens pouvaient accéder aux données à caractère personnel de tous les patients et personnes de confiance ;
  
  
• Absence d’analyse automatique des journaux des événements informatiques (logs), ni en différé, ni en temps réel. Cinq jours d’exfiltration ont eu lieu sans réaction. La violation a été découverte par le service informatique intervenant auprès d’un praticien qui ne parvenait plus à se connecter au Dossier Patient Informatisé (DPI) ;
  
  
• Les mots de passe ont été remplacés par un unique commun à tous les utilisateurs, communiqué par le directeur, leur retirant tout caractère secret ;
  
  
• Dans le cadre du contrat de maintenance, l’éditeur logiciel avait accès aux données en permanence et sans contrôle ;
  
  
• Absence de notification de la violation aux personnes de confiance (les patients ont, eux, été notifiés) ;
  
  
• Comme toujours, les risques avaient été identifiés (analyse d’impact sur la sécurité des données personnelles de 2021) mais non pris en compte. Caractère négligeant retenue par la CNIL.

En conséquence, le Rapporteur a proposé que les mesures correctrices soient une injonction, sous astreinte de 5 000/jour après 15 mois, de mise en conformité sur les manquements à la sécurité, 350 000 d’amende, et la publicité de la décision.

En défense, la clinique a soulevé les points suivants :

[…]

• Le DPI actuel, Expert Santé, ne permet pas des habilitations fines. Des développements spécifiques, à l’initiative de la clinique après l’intervention de la CNIL, sont en cours, terminés à moitié
  
  
• Recours à Centreon (qui n’est pas un SIEM ni un XDR) et à une équipe sécurité, mais toujours pas d’analyse en temps réel des logs ;

[…]

• Les personnes de confiance n’ont pas été notifiées car le risque engendré par la violation a été estimé comme faible et que les coordonnées étaient souvent absentes (téléphone, email) ou non-structurées (adresse postale). La CNIL n’avait rien trouvé à redire à ce plan lorsque la violation lui a été notifiée ;

[…]

Pour PURR, ce dossier est représentatif de l’état désastreux de la sécurité des systèmes d’information en France.

Je ne peux que confirmer la conclusion : la protection des données personnelles est un échec total, tous secteurs confondus, privé comme public.

Une des excuses préférées, notamment sur les permissions et les durées de conservation, est « le logiciel ne fait pas ». On voit ici que la clinique a su remuer son éditeur après l'intervention de la CNIL.

Plus largement, elle a su renforcer la protection des données par des solutions temporaires (accès distant hors web, bastion, etc.) en attendant les solutions ultimes. Pourquoi cela n'avait-il pas été fait avant ?