La CNIL a publié, le 3 septembre 2026, une sanction de 500 000 euros contre l’Hôpital privé de la Loire après l’exfiltration des données de 524 867 patients et de 202 246 personnes désignées comme tiers de confiance. L’attaque avait commencé par l’utilisation des identifiants d’un praticien extérieur. Elle a ensuite révélé quatre faiblesses que toute entreprise doit désormais traiter comme des points de contrôle juridique : un accès distant sans VPN, l’absence d’authentification multifacteur, des habilitations trop larges et une détection insuffisante des activités anormales.

Cette décision ne signifie pas qu’une entreprise doit garantir l’absence de toute cyberattaque. La sécurité des données reste une obligation de moyens appréciée selon les risques, la nature des informations, l’état des connaissances et les capacités de l’organisme. En revanche, une direction qui ne peut pas expliquer ses choix, produire ses contrôles et démontrer ses corrections s’expose à une sanction, même après avoir contenu l’incident. La question utile n’est donc plus seulement « que faire en cas de cyberattaque ? ». Elle est aussi : quelles mesures et quelles preuves faut-il préparer avant le contrôle de la CNIL ?

I. Cyberattaque d’entreprise : quelles mesures la CNIL attend-elle avant l’incident ?

A. VPN et authentification multifacteur : comment sécuriser les accès à distance ?

La délibération CNIL n° SAN-2026-009 du 21 juillet 2026, publiée le 3 septembre, part d’un constat précis. Environ 450 utilisateurs extérieurs pouvaient accéder au dossier patient informatisé depuis internet sans connexion préalable à un VPN. L’attaquant a utilisé le compte d’un médecin libéral, exploré l’arborescence pendant plusieurs jours, puis extrait un volume massif de données. La formation restreinte rappelle que « l’obligation de sécurité prévue par l’article 32 du RGPD est une obligation de moyens ». Elle sanctionne toutefois l’insuffisance concrète des moyens déployés au regard du risque.

Le VPN ne doit pas être compris comme une formalité autonome. Il crée un canal contrôlé entre un terminal distant et le système d’information, limite l’exposition directe du service et permet d’appliquer des règles supplémentaires. Un accès distant sensible devrait donc être conditionné à un terminal identifié, une connexion chiffrée, une authentification forte et, lorsque le risque le justifie, une restriction géographique ou horaire. La société doit aussi prévoir la désactivation rapide d’un compte, le renouvellement des secrets compromis et la révocation des sessions ouvertes. Une seule barrière ne suffit pas lorsque le compte donne accès à des milliers de dossiers.

L’authentification multifacteur ajoute une preuve distincte du mot de passe : application d’authentification, clé physique, certificat ou autre facteur adapté. Son efficacité dépend cependant de sa configuration. Un simple code transmis sur un canal déjà compromis peut déplacer la faiblesse au lieu de la supprimer. Il faut donc identifier les comptes exposés, imposer le MFA aux administrateurs et aux accès distants, interdire les mécanismes de récupération trop faibles, puis tester la procédure. Le registre des comptes exemptés doit être court, motivé et revu. Une exemption ancienne, conservée par habitude, devient difficile à défendre après une intrusion.

Le Conseil d’État a déjà confirmé que l’absence de précautions élémentaires peut caractériser le manquement. Dans sa décision CE, 17 avril 2019, n° 422575, il a relevé que des documents comportant des données sensibles étaient accessibles sans authentification et qu’aucun protocole suffisant de tests ou d’audits n’était établi. Il juge que « la formation restreinte de la CNIL a caractérisé l’existence d’un manquement aux obligations de sécurité ». Cette jurisprudence montre qu’une correction postérieure ne fait pas disparaître le défaut antérieur.

La même exigence ressort de la décision CE, 4 novembre 2020, n° 433311. Des candidats à la location pouvaient voir des pièces privées en modifiant une adresse internet. Le Conseil d’État relève « qu’il aurait été possible de prévenir par des mesures simples de sécurité, comme l’authentification des utilisateurs » l’accès aux documents. Le caractère élémentaire de la mesure compte dans l’appréciation. Une entreprise ne peut pas opposer le coût ou la complexité d’une refonte lorsque l’exposition pouvait être réduite par un contrôle d’accès courant.

La robustesse doit aussi couvrir les prestataires. Dans la décision CE, 26 avril 2022, n° 449284, le juge relève « l’absence de mise en œuvre par la société Optical Center d’un contrôle régulier » des mesures de son sous-traitant. La délégation technique ne transfère donc pas la responsabilité juridique. Le contrat doit préciser les exigences minimales, les délais de correction, le droit d’audit, la remontée des incidents et les preuves à remettre. Les rapports de tests, versions logicielles, correctifs et réserves doivent rester accessibles à la direction.

Une politique écrite ne suffit pas si elle n’est pas appliquée. Le dossier défendable comprend la matrice des accès distants, la liste des comptes soumis au MFA, les journaux d’activation, les derniers tests et les exceptions autorisées. Il doit aussi identifier qui décide, qui vérifie et qui peut couper l’accès en urgence. En pratique, la direction juridique, la sécurité informatique et le délégué à la protection des données doivent pouvoir reconstituer la chaîne de décision sans dépendre d’une personne absente. La preuve de gouvernance prépare autant la prévention que la réponse au contrôle.

Pour les services numériques en santé, l’exigence est renforcée. L’article L. 1470-2 du Code de la santé publique dispose exactement : « L’utilisation des services numériques en santé requiert l’identification électronique de leurs utilisateurs. » Le texte ajoute que le moyen choisi doit garantir un niveau adapté de sécurité et de protection des données. L’article R. 1112-2 du même code précise pour sa part : « Un dossier médical est constitué pour chaque patient hospitalisé dans un établissement de santé public ou privé. » La concentration de ces informations accroît mécaniquement les conséquences d’un compte compromis.

B. Habilitations et journalisation : comment empêcher qu’un compte compromis ouvre toute la base ?

La sanction du 3 septembre 2026 ne porte pas seulement sur l’entrée dans le système. Elle examine ce que l’attaquant a pu faire après la première connexion. Le compte utilisé donnait accès aux données de l’ensemble des patients, sans limitation suffisante aux personnes effectivement prises en charge par l’équipe du praticien. Ce défaut a transformé la compromission d’un identifiant en violation massive. Le principe du moindre privilège impose au contraire de limiter chaque compte aux seules données nécessaires à sa mission, pendant la durée strictement utile.

Une matrice d’habilitation doit distinguer les métiers, les applications, les catégories de données et les actions possibles. Lire un dossier, le modifier, l’exporter ou administrer les droits sont des opérations différentes. La société doit éviter les profils génériques trop larges et les droits accordés par simple copie du compte d’un collègue. Toute création, élévation ou prolongation d’accès devrait être validée par un responsable identifié. Les accès temporaires doivent comporter une date d’expiration. Les départs, mobilités internes et fins de mission doivent déclencher une revue immédiate.

Le contrôle périodique est aussi important que l’autorisation initiale. Une revue trimestrielle ou semestrielle, ajustée au risque, permet de rapprocher les comptes actifs des effectifs, des contrats de prestation et des besoins réels. Le responsable métier doit confirmer les droits qu’il connaît ; l’équipe technique ne peut pas décider seule de la nécessité opérationnelle. Le compte rendu de revue doit mentionner les comptes supprimés, les droits réduits, les anomalies et leur délai de correction. Sans ce document, l’entreprise aura du mal à prouver que sa politique d’habilitation existe au-delà d’un tableau théorique.

La journalisation répond à une autre question : l’entreprise peut-elle voir qu’un utilisateur consulte en quelques heures des milliers de dossiers sans rapport avec son activité ? La CNIL reproche à l’hôpital de ne pas avoir détecté l’exploration et l’extraction pendant plusieurs jours. Les journaux doivent donc enregistrer les connexions, échecs, changements de privilèges, consultations inhabituelles, téléchargements massifs et exports. Ils doivent être horodatés, protégés contre l’altération et conservés pendant une durée justifiée. Leur collecte n’a de valeur que si des alertes et une revue rendent les signaux exploitables.

La détection doit reposer sur des scénarios liés au risque réel : connexion depuis un pays inattendu, volume anormal, accès nocturne, consultation de dossiers sans lien métier, enchaînement rapide de requêtes ou utilisation simultanée du même compte. Chaque alerte doit produire une action définie : qualification, suspension éventuelle, préservation des preuves, information des responsables et traçabilité de la décision. Une alerte jamais examinée peut devenir une preuve d’inaction. À l’inverse, un historique de faux positifs corrigés montre que le dispositif est piloté.

Le Conseil d’État a validé cette logique dans plusieurs espèces. Dans sa décision CE, 17 avril 2019, n° 423559, il constate qu’un défaut permettait à un tiers de consulter des bulletins de salaire, avis d’imposition et justificatifs d’identité. Il relève que le manquement pouvait être prévenu par « l’occultation des chemins d’accès aux dossiers enregistrés ou l’authentification des utilisateurs ». La mesure attendue était directement reliée à la vulnérabilité, et non une exigence abstraite de sécurité parfaite.

Dans l’affaire CE, 22 juillet 2022, n° 449694, des images médicales avaient été laissées accessibles après l’ouverture de ports réseau et sans chiffrement du support. Le juge considère qu’« un manquement aux exigences élémentaires en matière de sécurité informatique » était constitué. Il confirme le défaut de limitation des flux et l’absence de chiffrement, tout en corrigeant séparément l’analyse de la notification. Cette décision invite à ne pas confondre les obligations : sécuriser, détecter, notifier et informer sont quatre contrôles distincts.

La sanction pénale peut également entrer en jeu. L’article 226-17 du Code pénal vise le fait de traiter des données « sans mettre en œuvre les mesures prescrites » notamment par l’article 32 du RGPD. La peine prévue est de cinq ans d’emprisonnement et 300 000 euros d’amende. Toute cyberattaque ne déclenche pas automatiquement ce délit. Le texte rappelle cependant que l’insuffisance de sécurité peut dépasser la seule procédure administrative, surtout lorsque les carences sont documentées et persistent malgré les alertes.

Le plan d’action préventif doit donc produire des livrables vérifiables. Il comprend au minimum une cartographie des données et des accès, une matrice d’habilitation, la preuve du MFA, les paramètres du VPN, une politique de journaux, des scénarios d’alerte, les rapports de tests et un registre des corrections. Ces éléments doivent être datés, attribués et conservés. Une capture isolée ou un document rédigé après l’incident sera moins convaincant qu’un historique cohérent montrant des contrôles réguliers, des écarts identifiés et des décisions budgétaires motivées.

II. Cyberattaque : que faire dans les premières heures et comment préparer le contrôle CNIL ?

A. Contenir, préserver la preuve et notifier : quelles actions mener dans les 72 heures ?

La première heure doit servir à contenir l’incident sans détruire la preuve. Il faut isoler les systèmes compromis, révoquer les sessions, bloquer les comptes suspects et préserver les journaux. Une extinction désordonnée peut effacer des éléments nécessaires à l’analyse. L’entreprise doit désigner un responsable de crise, ouvrir une chronologie unique et enregistrer chaque action. Les équipes techniques, juridiques, direction, communication, assureur et délégué à la protection des données doivent travailler sur la même version des faits, en distinguant ce qui est confirmé de ce qui reste hypothétique.

La qualification juridique commence en parallèle. Il faut déterminer si l’incident a entraîné destruction, perte, altération, divulgation ou accès non autorisé à des données personnelles. L’analyse doit identifier les catégories, le nombre approximatif de personnes, la sensibilité, les conséquences probables et les mesures déjà prises. Le délai de notification à la CNIL ne suppose pas que l’enquête technique soit terminée. Une notification initiale peut être complétée. Attendre une certitude complète augmente le risque de dépasser les 72 heures et de perdre la maîtrise du récit factuel.

La décision n° 449694 apporte une nuance utile. Le Conseil d’État rappelle exactement que la notification doit intervenir « dans les meilleurs délais et, si possible, 72 heures au plus tard ». Il annule cependant le manquement à cette obligation parce que la CNIL connaissait déjà la violation et avait elle-même engagé le contrôle. Cette situation reste exceptionnelle. Une entreprise ne doit pas parier sur l’information préalable de l’autorité. Elle doit documenter l’heure de découverte, l’évaluation du risque, la décision de notifier ou de ne pas notifier et les compléments transmis.

Le dépôt de plainte répond à une logique différente. L’article L. 12-10-1 du Code des assurances prévoit que l’indemnisation contractuelle d’une atteinte à un système automatisé est « subordonnée au dépôt d’une plainte […] au plus tard soixante-douze heures après la connaissance de l’atteinte ». Cette règle vise les personnes morales et les professionnels. Le délai d’assurance et le délai RGPD peuvent donc courir simultanément, mais leurs destinataires, critères et objets diffèrent. L’entreprise doit activer les deux circuits sans les confondre.

La préservation des preuves doit être organisée avec le prestataire de réponse à incident. Il faut conserver les images système, journaux, adresses, comptes, heures, règles de filtrage et éléments permettant de comprendre l’exfiltration. Les exports doivent être intègres et accompagnés d’une chaîne de conservation. Les contrats avec l’hébergeur ou l’éditeur doivent permettre l’accès rapide à ces informations. Si le prestataire détient seul les traces et applique une conservation très courte, l’entreprise peut perdre la preuve au moment où elle en a le plus besoin.

La communication externe doit rester exacte et évolutive. Une première information peut indiquer la nature connue de l’incident, les mesures de protection et le point de contact, sans attribuer prématurément l’attaque. Les messages aux clients, partenaires, salariés et autorités doivent être cohérents. Les formulations absolues, telles que « aucune donnée n’a été touchée », sont risquées tant que l’investigation n’est pas stabilisée. Une mise à jour datée, expliquant ce qui a changé depuis le premier avis, réduit les contradictions et facilite ensuite la démonstration de diligence.

Le contrôle ne s’arrête pas à la fermeture de la faille. Dans la décision n° 422575, le Conseil d’État admet qu’une sanction puisse intervenir alors que le défaut a déjà été corrigé. Il juge aussi que la célérité des mesures correctrices doit être prise en compte dans le montant. Le passage exact est le suivant : « il lui appartient […] de tenir compte […] du comportement du responsable du traitement ». La réaction rapide ne supprime donc pas le manquement, mais elle peut influer sur la proportionnalité de la sanction et la crédibilité du responsable.

La direction doit enfin préparer un dossier de crise exploitable. Il rassemble la chronologie, les décisions, les notifications, la plainte, les échanges avec l’assureur, les mesures techniques, l’évaluation des personnes concernées et le plan de correction. Chaque pièce doit être rattachée à un responsable et à une date. Cette organisation permet de répondre aux questions de la CNIL sans improvisation, mais aussi de gérer les réclamations contractuelles, la responsabilité envers les clients et les discussions avec les fournisseurs de sécurité.

B. Informer toutes les personnes exposées et défendre la proportionnalité des mesures

L’information des personnes ne se confond pas avec la notification à l’autorité. Lorsque la violation est susceptible d’engendrer un risque élevé, le responsable doit informer directement les personnes concernées dans les meilleurs délais. La sanction publiée le 3 septembre 2026 illustre le risque d’un périmètre incomplet. L’hôpital avait informé les patients, mais pas les 202 246 tiers de confiance dont les noms, liens, coordonnées et numéros de téléphone avaient aussi été extraits. La CNIL retient un manquement distinct au titre de l’article 34 du RGPD.

La première difficulté consiste à identifier toutes les catégories de personnes présentes dans les données. Une base clients peut contenir des bénéficiaires, garants, contacts d’urgence, prospects, représentants de sociétés, salariés d’un fournisseur ou personnes désignées par un titulaire. Le nom technique d’une table ne suffit pas à définir le périmètre juridique. Il faut examiner les champs effectivement extraits, leur origine et leur rattachement. Une personne qui n’est pas le client principal demeure concernée si ses propres données ont été compromises.

La deuxième difficulté porte sur le contenu de l’information. Le message doit décrire la nature de la violation en termes compréhensibles, les conséquences probables, le point de contact et les mesures prises ou proposées. Il doit aussi fournir des conseils utiles : vigilance face aux messages frauduleux, changement de mot de passe lorsque nécessaire, contrôle des opérations ou précautions liées à l’usurpation d’identité. Un message vague destiné à protéger l’image de l’entreprise peut priver le destinataire de la capacité de se protéger et aggraver le grief.

La preuve de l’information doit être conservée. Il faut pouvoir démontrer le fichier des destinataires, la version du message, la date, le canal, les échecs de remise et les relances. Lorsque certaines coordonnées manquent, la société doit documenter les recherches et choisir un moyen de communication complémentaire adapté. Une publication générale peut parfois compléter le dispositif, mais elle ne remplace pas automatiquement l’information individuelle requise. La décision SAN-2026-009 montre précisément qu’informer une catégorie visible ne couvre pas les autres personnes contenues dans la base.

L’entreprise doit également préparer sa défense sur le caractère approprié des mesures. La CNIL reconnaît qu’aucun système ne supprime tout risque. Elle examine néanmoins la probabilité, la gravité, l’état de l’art, le coût et la nature du traitement. Le dossier doit donc expliquer pourquoi chaque mesure a été choisie, quelles alternatives ont été étudiées et comment les risques résiduels ont été acceptés. Un arbitrage budgétaire peut être discuté ; il devient plus difficile à soutenir lorsque des mesures usuelles et proportionnées, comme le MFA ou la limitation des droits, ont été différées sans échéance.

Le Conseil d’État contrôle la proportionnalité de la sanction, mais il tient compte de l’ensemble du comportement. Dans la décision n° 449284, il relève que la société avait coopéré, mais aussi qu’elle avait « méconnu deux obligations élémentaires en matière de sécurité informatique ». Il valide l’amende au regard du nombre de personnes, des catégories de données, des antécédents et du chiffre d’affaires. La coopération n’efface donc pas une négligence durable. Elle s’inscrit parmi plusieurs critères, au même titre que les corrections, la gravité et la répétition.

La publicité de la sanction constitue un risque autonome. Dans la décision n° 423559, le Conseil d’État explique que la publication peut servir à informer les utilisateurs et à assurer l’effet dissuasif. Il retient « l’intérêt s’attachant à la publication de la sanction financière ». L’entreprise doit donc intégrer le risque réputationnel à son plan de crise. Cela suppose une communication prête, une gouvernance des réponses, un suivi des demandes et une information interne permettant d’éviter les messages contradictoires. La sanction publique peut durer plus longtemps que l’indisponibilité technique.

Une revue indépendante après incident permet enfin de transformer la correction en preuve durable. Elle doit vérifier les accès distants, le MFA, les habilitations, la segmentation, le chiffrement, la journalisation, les alertes et les contrats de sous-traitance. Chaque recommandation reçoit un niveau de risque, un responsable, une échéance et une preuve de clôture. Les mesures temporaires doivent être distinguées des corrections pérennes. La direction doit suivre les retards et accepter explicitement le risque résiduel. Ce suivi évite que les urgences prises le premier jour soient abandonnées lorsque l’activité reprend.

À Paris et en Île-de-France, les entreprises concentrent souvent des prestataires, des accès distants et des bases clients réparties entre plusieurs établissements. Cette organisation augmente le nombre d’intervenants à coordonner, mais ne modifie pas les obligations de fond. Le siège doit connaître les responsables opérationnels, les lieux d’hébergement, les sous-traitants et les canaux d’alerte. Avant un incident, un exercice de crise doit tester la disponibilité des décideurs, du DPO, du prestataire cyber, de l’assureur et du conseil. Le test doit aussi vérifier que les coordonnées et les délégations sont à jour.

La conformité utile repose ainsi sur une chaîne complète. Le VPN réduit l’exposition, le MFA limite l’effet d’un mot de passe volé, les habilitations contiennent la compromission, les journaux permettent de voir l’anomalie, la notification informe l’autorité et le message individuel protège chaque personne exposée. Une faiblesse isolée peut être compensée par une autre barrière ; plusieurs faiblesses alignées transforment un compte compromis en violation massive. C’est précisément la leçon opérationnelle de la décision publiée le 3 septembre 2026.

Conclusion

Ces vérifications s’inscrivent dans l’accompagnement plus large proposé par notre cabinet d’avocats en droit des affaires à Paris, notamment lorsque l’incident engage à la fois la conformité, les contrats et la responsabilité de l’entreprise.

La sanction visant l’Hôpital privé de la Loire fixe un repère concret pour toutes les entreprises qui traitent des données personnelles. Elle ne crée pas une obligation de sécurité absolue. Elle exige une gestion des risques démontrable, adaptée aux données, aux accès et aux conséquences possibles. Les quatre contrôles prioritaires sont désormais identifiables : sécuriser l’accès distant par un canal maîtrisé, imposer une authentification multifacteur, limiter chaque compte aux données nécessaires et détecter rapidement les consultations ou extractions anormales.

Après une attaque, la réponse doit suivre plusieurs voies en parallèle. Il faut contenir sans détruire la preuve, qualifier la violation, notifier la CNIL lorsque le risque le commande, déposer plainte dans le délai utile à l’assurance, puis informer toutes les catégories de personnes exposées lorsque le risque est élevé. La réaction doit être tracée. Une correction rapide peut réduire la sanction, mais elle ne fait pas disparaître le défaut initial. L’entreprise doit donc préparer avant l’incident les documents qu’elle devra produire ensuite : matrice d’habilitation, preuve du MFA, paramètres des accès distants, journaux, alertes, tests, contrats et registre des décisions.

Besoin d’un avis rapide sur votre dossier.
Le cabinet propose une consultation téléphonique sous 48 heures pour examiner une cyberattaque, une notification CNIL ou un risque de sanction.
Appelez Maître Reda KOHEN au 06 46 60 58 22 ou utilisez le formulaire de contact du cabinet. Le cabinet intervient notamment à Paris et en Île-de-France.