La CNIL sanctionne un hôpital à 500 000 € pour absence de MFA et de VPN : la check-list RGPD qui s’applique aussi à votre PME

Le 3 septembre 2026, la CNIL a rendu publique une sanction de 500 000 € contre l’Hôpital privé de la Loire, filiale du groupe Ramsay Santé, à la suite d’une violation de données survenue entre le 26 juin et le 1er juillet 2025. Un attaquant a parcouru sans être repéré, pendant plusieurs jours, le système de dossiers patients de l’établissement, en extrayant les données de 524 867 patients — dont, pour certains, des données de santé — et de 202 246 personnes désignées comme tiers de confiance. La décision, adoptée le 21 juillet 2026 (délibération SAN-2026-009), ne sanctionne pas une attaque sophistiquée. Elle sanctionne l’absence de réseau privé virtuel (VPN) pour les accès à distance, l’absence totale d’authentification multifacteur, et — après la découverte de la faille — un mot de passe temporaire identique distribué à l’ensemble des praticiens. Rien de tout cela n’est propre au secteur de la santé : ce sont les trois mêmes points de la check-list de sécurité de n’importe quelle entreprise qui détient un fichier client, et le fondement juridique retenu par la CNIL, l’article 32 du RGPD, se lit de la même façon pour une PME de dix salariés que pour un groupe hospitalier.

Ce que la CNIL a réellement sanctionné

• →Une amende de 500 000 € pour manquement aux articles 32 (sécurité du traitement) et 34 (notification aux personnes concernées) du RGPD, assortie d’une injonction de mise en conformité et de deux ans de publication nominative sur le site de la CNIL.
• →Aucun VPN pour protéger les accès à distance au système de dossiers patients.
• →Aucune authentification multifacteur sur toute la chaîne : un seul mot de passe suffisait pour atteindre des centaines de milliers de dossiers.
• →Aucune surveillance des activités suspectes : l’attaquant a consulté la base pendant plusieurs jours avant d’être repéré.
• →Après la violation, la parade d’urgence était elle-même une faille de sécurité — un unique mot de passe temporaire distribué à tous les praticiens.

Une faille qui n’a rien d’exceptionnel

Rien de tout cela n’est isolé — c’est précisément le problème. Une étude de synthèse systématique publiée en 2025, portant sur 73 articles scientifiques consacrés à la cybersécurité des PME, montre que les mauvaises pratiques de mots de passe, le contrôle d’accès insuffisant et l’absence d’authentification multifacteur restent parmi les failles les plus fréquentes des petites et moyennes entreprises, précisément parce que le MFA et la surveillance des accès y sont encore traités comme optionnels plutôt que comme un socle (Mujtaba & Alam, 2025). L’autre moitié du problème, c’est le délai de détection : une étude de 2021 portant sur près de 700 violations de données rendues publiques montre que les intrusions liées à un abus de privilèges — un attaquant qui dispose simplement d’un accès qui paraît légitime, sans que personne ne surveille les anomalies — mettent environ 2,5 fois plus de temps à être détectées que la moyenne des violations (Roumani, 2021). C’est exactement ce qui s’est produit à l’Hôpital privé de la Loire : rien n’a signalé le schéma de connexion inhabituel, et l’attaquant a disposé de plusieurs jours au lieu de quelques minutes.

Ce que ça change pour votre PME

L’article 32 du RGPD ne s’allège pas pour les petites structures : il impose une sécurité « adaptée au risque », et la CNIL vient de préciser, dans une décision publique et citable, ce qu’elle considère comme le plancher — accès distants chiffrés, MFA, et aucun mot de passe partagé. Toute PME qui exploite un CRM, un logiciel de comptabilité ou un portail client contenant des données personnelles est soumise au même article. Le volet détection compte tout autant que le contrôle d’accès : un agent de support client, un portail fournisseur ou un outil interne que personne — humain ou automatisé — ne surveille en matière de schémas de connexion et de volume d’accès ne signalera une intrusion que lorsqu’un client, un journaliste ou la CNIL l’aura fait à sa place. C’est précisément le rôle que nous confions à une vigie opérations chez nos clients : un processus qui surveille en continu les journaux d’authentification et les volumes d’accès, et signale un schéma de connexion inhabituel ou un pic de tentatives d’authentification échouées avant que ça ne tourne à l’incident, plutôt qu’après.

Quatre actions avant votre prochain audit

• →Activez l’authentification multifacteur sur tous les systèmes qui contiennent des données personnelles — CRM, comptabilité, stockage cloud, messagerie —, pas seulement ceux jugés « sensibles ».
• →Exigez un accès distant chiffré et authentifié (VPN ou équivalent) pour tout outil accessible depuis l’extérieur du réseau de l’entreprise.
• →Interdisez les mots de passe partagés ou identiques, y compris les mots de passe « temporaires » distribués en pleine gestion d’incident — c’est très exactement la faille citée par la CNIL.
• →Mettez en place une surveillance continue des schémas d’accès inhabituels, même légère : le coût d’une anomalie manquée se mesure en semaines d’exposition non détectée, pas en minutes.

La sanction de l’Hôpital privé de la Loire restera visible sur le site de la CNIL pendant deux ans, et sera citée dans tous les modules de formation à la conformité qui suivront. La lecture utile pour un dirigeant de PME n’est pas « ça ne peut pas nous arriver, on n’est pas un hôpital » — c’est que la CNIL vient de chiffrer à 500 000 € une faille de sécurité qu’un VPN, un déploiement du MFA et une habitude de surveillance basique auraient suffi à combler.