La Cnil sanctionne l'Hôpital privé de la Loire après une cyberattaque

L'autorité chargée de veiller sur les données personnelles a prononcé une sanction pécuniaire s'élevant à 500000 euros à l'encontre de la structure médicale administrée par HPL LDA. Cette décision administrative sanctionne de lourdes défaillances constatées dans la protection des dossiers médicaux informatisés de l'établissement situé à Saint-Étienne. Comme le rapporte Le Figaro, la mesure répressive fait suite à une intrusion informatique d'ampleur durant laquelle les informations médicales et administratives de 500000 personnes ont été dérobées. La formation restreinte a retenu plusieurs manquements substantiels aux obligations légales, pointant des négligences techniques manifestes dans l'architecture du réseau interne de la clinique privée.

L'incident informatique est survenu lors d'une offensive ciblée contre les serveurs de soins. Durant cette période, Un attaquant a réussi à s'introduire dans les serveurs centraux sans déclencher les alertes de sécurité requises. Selon les constatations publiées par Next, les investigations ont mis en évidence une absence flagrante de mesures de précaution pourtant fondamentales pour une structure manipulant des dossiers hautement sensibles. Selon La rapporteure de la CNIL, « L’attaquant a pu explorer (les dossiers des patients) de l’hôpital durant plusieurs jours et extraire un volume très important de données, sans que cette activité anormale soit détectée ». La persistance de cette intrusion prolongée a facilité l'exfiltration massive d'éléments diagnostiques, de coordonnées individuelles, d'identifiants et d'antécédents thérapeutiques.

Les investigations menées par les contrôleurs ont documenté des défaillances structurelles dans les mécanismes d'authentification et de traçabilité des flux numériques. Selon les éléments techniques relayés par Le Parisien, la gestion des accès distants présentait des lacunes critiques, notamment par le recours à des protocoles obsolètes et des mots de passe trop permissifs. L'absence d'une politique rigoureuse de segmentation des réseaux a permis à un pirate de naviguer librement entre les différentes bases de données sans rencontrer d'obstacles techniques suffisants. De surcroît, le retard accumulé dans l'application des correctifs logiciels a laissé béantes des vulnérabilités connues depuis de longs mois sur des serveurs exposés. Franceinfo rapporte que ces manquements caractérisés ont directement facilité la capture des données sensibles relatives à 500000 usagers de l'établissement.

Face à la sévérité des griefs, les dirigeants de la structure ont détaillé les actions entreprises afin de remédier à ces dysfonctionnements. S'exprimant au nom du conseil d'administration, Xavier Claris a affirmé : « Un certain nombre d'entre elles ont été mises en place dès l'été dernier. Les différents chantiers de sécurisation demandés par la Cnil ont tous été lancés. Ils sont à des stades de réalisation plus ou moins avancés. Certains, comme la ». Le responsable a précisé que des investissements financiers notables avaient été débloqués pour moderniser l'infrastructure numérique et auditer l'ensemble des systèmes de télécommunication. Selon les informations recueillies par 20 Minutes, la direction locale affirme avoir renforcé la surveillance continue de ses serveurs et mandaté des prestataires spécialisés pour bloquer toute nouvelle tentative d'intrusion malveillante.

Le montant de 500000 euros imposé au gestionnaire de l'établissement Hôpital privé de la Loire constitue un rappel direct des exigences réglementaires imposées aux structures médicales. D'après Sud Ouest, cette condamnation pécuniaire traduit la fermeté accrue des autorités de contrôle envers les gestionnaires d'infrastructures de santé, alors que les transmissions de signalements auprès du Ministère de la Santé se sont multipliées face à la recrudescence des menaces informatiques. La décision rappelle que le traitement d'informations médicales confidentielles impose un devoir permanent de vigilance, de maintenance préventive et de surveillance continue des parcs informatiques sous peine de poursuites sévères.