La Commission nationale de l’informatique et des libertés a prononcé une sanction de 500 000 € à l’encontre de l’Hôpital privé de la Loire, après qu’un attaquant est parvenu à se connecter au dossier patient informatisé (DPI) de l’établissement. Rendue publique le 3 septembre 2026, cette décision rappelle une exigence qui déborde largement le seul secteur hospitalier : le référentiel PGSSI-S, qui couvre aussi les établissements médico-sociaux, encadre précisément la sécurisation du dossier de soins informatisé en EHPAD.
Une intrusion prolongée dans le dossier patient informatisé
Dans sa délibération publiée le 3 septembre 2026, la CNIL retient que l’établissement a été sanctionné pour ne pas avoir pris des mesures adaptées pour assurer la sécurité des données de ses patients et de certains de leurs proches. Les faits partent d’un accès non autorisé : un attaquant est parvenu à se connecter au dossier patient informatisé (DPI) de l’établissement. Il a ainsi accédé aux données de 524 867 patients, ainsi qu’à celles de 202 246 personnes désignées comme « tiers de confiance » par ces mêmes patients — un proche autorisé, par exemple, à recevoir certaines informations médicales. Cet épisode rappelle que le dossier patient informatisé n’est pas un simple outil de gestion administrative : il concentre, en un point unique, l’historique médical d’une population entière de patients, ce qui en fait une cible particulièrement sensible pour quiconque cherche à s’y introduire.
La Commission détaille les failles ayant permis cette exploration prolongée. Côté accès distants, la connexion externe souffrait de l’absence de VPN et de moyen d’authentification multifacteur. Plus généralement, l’établissement n’avait pas mis en œuvre certaines mesures élémentaires de sécurité qui auraient pu rendre l’attaque plus difficile. La politique de gestion des accès posait elle aussi problème : elle ne tenait pas compte de la notion d’équipe de soins, ce qui a permis à l’attaquant, en utilisant les identifiants d’un seul compte d’utilisateur, d’accéder aux données de l’intégralité des patients de l’hôpital. Faute de supervision, l’hôpital n’avait pas pris de mesures permettant de détecter une activité suspecte au sein du DPI en temps réel ou à très court terme : l’attaquant a pu explorer le DPI de l’hôpital durant plusieurs jours et extraire un volume très important de données. La CNIL précise avoir arrêté ce montant en tenant notamment compte de la méconnaissance de principes essentiels en matière de sécurité, du nombre de personnes concernées, de la nature des données compromises et de ses capacités financières.
Un défaut d’information qui aggrave la portée de la violation
Au-delà des failles techniques, la CNIL relève un manquement distinct : aucune information directe n’avait été délivrée aux 202 246 personnes désignées par des patients comme tiers de confiance. Ce silence a privé ces personnes des informations nécessaires pour comprendre la nature de l’attaque et ses conséquences probables. La Commission rappelle par ailleurs un principe constant de sa doctrine : si des mesures de sécurité adaptées peuvent en réduire la probabilité et la gravité, le risque zéro n’existe pas en matière de cybersécurité. Au-delà de la sanction financière, elle a exigé que l’hôpital achève la mise en œuvre de ces mesures dans des délais compris entre trois et quinze mois.
Ce défaut d’information fait écho, en établissement médico-social, aux exigences de transparence déjà documentées à propos du contrôle des espaces privatifs et du consentement en EHPAD, un terrain où le respect du droit à l’information des résidents et de leurs proches est tout aussi structurant.
Ce que le référentiel PGSSI-S impose au dossier de soins informatisé en EHPAD
Le parallèle avec le secteur médico-social n’a rien d’anecdotique. La CNIL a mis en demeure plusieurs établissements de santé de prendre les mesures permettant d’assurer la sécurité du dossier patient informatisé, en rappelant que les données des patients ne doivent être accessibles qu’aux personnes justifiant du besoin d’en connaître — un rappel formulé dans une publication dédiée aux données de santé. Elle précise que, compte tenu de sa sensibilité, le DPI doit bénéficier de mesures de sécurité renforcées — un principe transposable au dossier de soins informatisé tenu par un EHPAD, qui contient les mêmes catégories de données de santé. Sur le terrain, la CNIL a procédé, entre 2020 et 2024, à 13 contrôles auprès d’ établissements de santé, faisant apparaître que les mesures de sécurité informatique et la politique de gestion des habilitations étaient parfois inadaptées aux besoins des établissements. À la suite de ces constats, la présidente de la CNIL a mis en demeure plusieurs établissements de prendre les mesures permettant de préserver la sécurité et la confidentialité des données du DPI — un rappel à l’ordre qui n’a pas empêché la sanction prononcée depuis contre l’Hôpital privé de la Loire.
Concrètement, pour le dossier de soins d’un EHPAD, la CNIL attend qu’il permette de sécuriser les accès au système grâce à une politique d’authentification robuste (notamment des mots de passe suffisamment complexes) et de prévoir des habilitations spécifiques pour que chaque professionnel de santé ou agent de l’établissement n’accède qu’aux dossiers dont il a à connaître. Ces habilitations, généralement définies par la direction en lien avec le médecin coordonnateur et l’IDEC, doivent tenir compte de la notion d’équipe de soins, telle que définie par la loi (art. L. 1110-12 du code de la santé publique), afin que seuls les professionnels effectivement impliqués dans la prise en charge d’un patient ou dans les soins qui lui sont prodigués puissent avoir accès aux informations couvertes par le secret médical. C’est là un enjeu quotidien pour l’équipe d’encadrement : chaque nouvelle embauche, chaque changement de poste ou chaque intervenant extérieur suppose de revoir les droits d’accès au logiciel de soins, pas seulement de les créer une fois pour toutes.
- Une politique d’authentification robuste, avec des accès nominatifs et non partagés entre soignants.
- Des habilitations différenciées selon le métier (direction, médecin coordonnateur, IDE, aide-soignant, ASH) et selon l’implication réelle dans la prise en charge.
- Une revue régulière des comptes actifs, notamment lors des départs ou des fins de contrat.
Cette architecture d’habilitations ne se limite pas à un paramétrage technique confié au seul éditeur du logiciel de soins. Elle suppose une gouvernance partagée : la direction porte la responsabilité du traitement des données à caractère personnel, le médecin coordonnateur connaît les circuits de soins et la réalité des interventions de chaque professionnel, tandis que l’IDEC gère au quotidien les plannings et les mouvements de personnel. C’est cette même gouvernance qui permet, lors de l’arrivée d’un nouveau salarié, du départ d’un professionnel ou de l’intervention d’un intervenant extérieur, de mettre à jour sans délai les droits d’accès au dossier de soins informatisé plutôt que de les figer une fois pour toutes.
Au-delà des habilitations, il est nécessaire de tracer les accès au DPI (journalisation) : cette traçabilité doit non seulement permettre d’indiquer qui s’est connecté à la base de données à quel moment, mais, plus précisément, qui a accédé à quoi. La CNIL va plus loin dans ses recommandations. Il est vivement recommandé de disposer d’un système d’analyse automatique des journaux de connexion afin de repérer les accès qui semblent anormaux. Ce cadre technique s’inscrit dans le PGSSI-S, dont un référentiel encadre spécifiquement l’identification électronique des acteurs des secteurs sanitaire, médico-social et social — une précision qui inclut donc explicitement les personnels d’EHPAD.
Pour la direction et l’encadrement soignant, cette sanction illustre un risque qui ne concerne pas seulement les établissements de santé : la sécurisation du dossier de soins informatisé conditionne la confiance que résidents et familles placent dans l’établissement, au même titre que les principes qui gouvernent déjà l’admission et l’accompagnement éthique du résident. Elle engage la direction, mais aussi le médecin coordonnateur et l’IDEC dans la définition et la revue régulière des habilitations d’accès.