Quatre cliniques[1] de Saint-Étienne appartenant au groupe Ramsay Santé[2] ont été sanctionnées par la CNIL d’une sanction de 500 000 € pour de « graves » négligeances dans la sécurité de leur système d’information et des données personnelles des patients.

Cette sanction fait suite à l’accès non autorisé d’une personne, en juillet 2025, à l’application contenant les dossiers des patients des établissements, et à l’exfiltration des données de 524 867 patients, parmi lesquelles figuraient l’état civil, le numéro de sécurité sociale, les coordonnées postales et électroniques, et pour certains des patients la copie numérique de la carte d’identité, les informations concernant la personne de confiance, et des données de santé.

Le déroulé de l’attaque désormais connu

Lors de l’instruction, les circonstances de cette violation de données ont été établies.

L’accès à l’applicationa été rendu possible par la compromission des identifiants de connexion d’un des professionnels de santé de l’établissement. Ces identifiants ont ensuite été utilisés par l’attaquant pour se connecter à l’application, pour découvrir son fonctionnement, puis pour exfiltrer les données des patients, le tout en moins de six jours.

Les identifiants compromis ont permis d’accéder à l’intégralité des données car :

  • l’application était accessible depuis le réseau Internet, sans recourir à un VPN,
  • l’authentification à l’application reposait sur un simple mot de passe, sans authentification multifacteurs,
  • les droits d’accès, au sein de l’application, permettaient auxprofessionnels d’accéder aux données de tous les patients de l’établissement,
  • les systèmes de l’établissement n’ont pas détécté de comportement suspect, malgré un nombre élevé de requêtes effectué par l’attaquant au cours d’un court laps de temps (73 dossier patient par minute).

De nombreux manquements retenus

La CNIL, qui a sanctionné la société non pas pour la violation de données, mais pour des manquements à l’obligation de sécuriser les données personnelles des patients[3], a considéré que l’absence de certaines mesures de sécurité a permis ou faciliter la violation de données, particulièrement :

  • l’absence d’authentification multifacteur, alors que les données traitées étaient sensibles,
  • l’absence de limitations dans les droits d’accès, alors que la législation impose une limitation des données à l’« équipe de soin »[4],
  • l’absence de système effectif permettant de détecter un accès inhabituel aux dossiers des patients.

Des manquements annexes ont également été retenus, notamment :

  • Le remplacement des mots de passe de tous les utilisateurs, après l’incident, par un même mot de passe, ce qui a pu permettre d’autres accès non autorisé.
  • L’absence de notification de l’incident aux 202 246 personnes nommées personnes de confiance.
  • Un accès non limité au prestataire en charge de l’application de l’établissement.

Une sanction et de nombreuses injonctions

En plus d’une amende administrative de 500 000 €, la CNIL a ordonné à la société de se mettre en conformité dans un délai de 15 mois (!!), sous astreinte de 1 000 € par jour de retard.

« La formation restreinte de la CNIL, après en avoir délibéré, décide de […] :

- mettre en place un système de journalisation et d’analyse proactive en temps réel ou à très court terme des journaux produits par le système d’information afin de détecter le comportement anormal d’utilisateurs et de déclencher des alertes et réponses appropriées, dans un délai de trois mois, sous astreinte de mille euros (1 000 €) par jour de retard

- mettre à jour de sa politique d’habilitations […] afin que seules les personnes ayant besoin d’en connaître aient accès, par défaut, aux données […], dans un délai de quinze mois, sous astreinte de mille euros (1 000 €) par jour de retard

- mettre en place de[s] mesures techniques visant à n’ouvrir l’accès de l’éditeur du logiciel Expert Santé au DPI que sur autorisation préalable de l’hôpital, dans un délai de trois mois, sous astreinte de mille euros (1 000 €) par jour de retard »

Liens

Notes et références

  1. ↑Les quatres cliniques appartiennent à la société nommée HOPITALPRIVE DE LA LOIRE (SIREN 704 501 006).
  2. ↑Le groupe Ramsay Santé « se présente comme le leader de l’hospitalisation privée et des soins primaires en Europe et le 1er acteur de santé privée en France, Suède, Danemark et Norvège » (Délibération CNIL, §2).
  3. ↑L’article 32 du RGPD impose une obligation de moyens dans la sécurisation des données à caractère personnelle.
  4. ↑La notion d’« équipe de soin » est définie dans l’article L. 1110-12 du code de la santé publique.
Sigles et acronymes
  • ↑RGPD : Règlement Général sur la Protection des Données
  • ↑CNIL : Commission Nationale de l'Informatique et des Libertés