Une clinique privée de Saint- Etienne (Loire) a été condamnée à une amende de 500.000 euros par l’autorité de protection des données personnelles (Cnil), pour n’avoir pas suffisamment protégé les données de ses patients, d’après une décision publiée jeudi dernier. A l’été 2025, l’Hôpital privé de la Loire avait été ciblé par une cyberattaque qui avait abouti à la violation des données personnelles de plus de 500.000 patients, dont des données de santé, et de plus de 200.000 «tiers de confiance», des proches habilités par les patients pour connaître leur dossier médical. Dans un communiqué, la Cnil souligne que l’hôpital a fait preuve de «méconnaissance de principes essentiels en matière de sécurité». Elle pointe notamment que l’accès au dossier médical du patient pour les personnes externes à l’établissement, comme les médecins généralistes, n’était pas suffisamment  sécurisé. C’est par ce biais que l’attaquant avait accédé aux données. La Cnil reproche aussi à l’hôpital de ne pas avoir mis en place de mesures de détection des activités informatiques suspectes. «L’attaquant a pu explorer (les dossiers des patients) de l’hôpital durant plusieurs jours et extraire un volume très important de données, sans que cette activité anormale soit détectée», indique-telle. Elle soulève enfin le fait que l’établissement n’a pas informé les tiers de confiance désignés par les patients, habilités à accéder à leurs données de santé, de cette violation. L’autorité a ainsi constaté deux manquements au Règlement européen de protection des données (RGPD), concernant l’obligation d’assurer la sécurité des données et l’obligation d’informer les victimes des violations de données.