Le 3 septembre 2026, la CNIL a rendu publique la délibération SAN-2026-009 du 21 juillet 2026 concernant l’Hôpital Privé de la Loire. La formation restreinte prononce une amende de 500 000 euros pour des manquements aux articles 32 et 34 du RGPD, une injonction de mise en conformité et une publication nominative pendant deux ans. Le dossier porte sur l’accès à un dossier patient informatisé, sur des données de santé et d’identité, ainsi que sur l’information de personnes désignées comme tiers de confiance.
Pour une entreprise qui reçoit une décision de cette nature, deux erreurs sont fréquentes : croire que la cyberattaque rend toute contestation impossible, ou déposer un recours sans traiter les mesures prescrites. La décision de la CNIL elle-même rappelle que la seule survenance d’une violation ne suffit pas automatiquement à établir un manquement à l’article 32. En revanche, une défense utile doit expliquer, pièces à l’appui, quelles mesures existaient, quel risque elles couvraient, pourquoi elles étaient adaptées et quelles corrections ont été engagées.
Le recours contre une sanction de la formation restreinte relève du Conseil d’État. Le délai indiqué dans la délibération est de deux mois à compter de sa notification. Il faut donc organiser sans délai la conservation des preuves, l’analyse de la procédure, la réponse à l’injonction et la stratégie de communication. Les développements qui suivent détaillent les moyens envisageables et les actions à conduire en parallèle.
I. Comment la CNIL a-t-elle justifié les 500 000 euros contre l’Hôpital Privé de la Loire ?
A. Quels défauts de sécurité et d’information ont été retenus ?
La décision SAN-2026-009 publiée sur Légifrance distingue la violation de données et les carences qui l’ont rendue possible ou qui en ont aggravé les conséquences. La formation restreinte indique que l’incident s’est déroulé entre le 26 juin et le 1er juillet 2025. L’alerte initiale est venue d’un praticien libéral qui ne parvenait plus à se connecter au dossier patient informatisé. Les investigations ont ensuite établi que l’attaquant avait pu accéder au système et extraire des informations pendant plusieurs jours.
Le périmètre est particulièrement sensible. La CNIL retient 524 867 patients et 202 246 personnes désignées par ces patients comme tiers de confiance. Les informations concernaient le dossier patient informatisé : données administratives, coordonnées permettant d’identifier ou de localiser une personne, copies de pièces d’identité et données de santé. La formation restreinte relève aussi le risque de hameçonnage ciblé et d’usurpation d’identité, notamment lorsque les informations permettent de se présenter au nom d’un mineur, d’un majeur protégé ou d’une personne décédée.
Le socle juridique est l’article 32 du RGPD. Il impose au responsable de traitement et au sous-traitant de mettre en œuvre des mesures techniques et organisationnelles adaptées au risque, en tenant compte notamment de l’état des connaissances, du coût des mesures, de la nature du traitement, de sa portée, de son contexte et de ses finalités. La délibération reprend cette exigence et précise que la sécurité doit protéger la confidentialité, l’intégrité, la disponibilité et la résilience des systèmes. Le texte de référence peut être consulté dans le chapitre IV du RGPD présenté par la CNIL.
La portée de cette obligation ne doit toutefois pas être exagérée. La formation restreinte écrit que « la simple survenance d’une violation de données ne caractérise pas à elle seule un manquement à l’article 32 du RGPD ». Cette formulation est déterminante pour une entreprise poursuivie après une attaque : la CNIL doit apprécier concrètement les mesures déployées et le risque auquel elles répondaient. Le débat porte donc sur l’adéquation des mesures avant l’incident, et non sur une obligation de garantir un risque nul.
Dans le cas examiné, la CNIL a identifié plusieurs insuffisances combinées. Pour l’accès à distance au dossier patient informatisé, l’hôpital n’avait pas mis en œuvre, à la période concernée, un moyen d’identification à deux facteurs ou un VPN suffisant. Cette absence a été analysée avec les autres faiblesses : l’attaquant a pu entrer dans le système, consulter un volume important de dossiers et ne pas être détecté rapidement.
Le deuxième volet concerne les journaux. Conserver une trace ne suffit pas toujours. Encore faut-il que l’organisation sache quels événements doivent déclencher une alerte, qui les analyse, dans quel délai, et quelle réponse est apportée en cas d’activité anormale. La CNIL reproche ici l’absence d’un système d’analyse proactive en temps réel ou à très court terme. Sa recommandation sur la journalisation des accès et des actions rappelle que les journaux servent à détecter les accès non autorisés et recommande une analyse automatique permettant une détection rapide.
Le troisième volet est la politique d’habilitations. Une matrice peut exister sur le papier tout en donnant des droits trop larges dans la pratique. La formation restreinte constate que le logiciel ne cloisonnait pas suffisamment les fiches patients : des praticiens ou des personnels paramédicaux pouvaient accéder aux données de nombreux patients sans être personnellement impliqués dans leur prise en charge. L’éditeur du logiciel pouvait également accéder à l’ensemble des dossiers dans le cadre de la maintenance, sans autorisation préalable spécifique de l’hôpital.
Pour mesurer la portée de ce reproche, il faut lire ensemble les articles L. 1110-4 et L. 1110-12 du code de la santé publique. L’article L. 1110-4 protège la vie privée et le secret des informations concernant la personne prise en charge. Il autorise le partage entre professionnels lorsque les informations sont strictement nécessaires à la coordination, à la continuité des soins ou au suivi. L’article L. 1110-12 définit l’équipe de soins et encadre la qualité des professionnels qui peuvent être regardés comme en faisant partie.
Une entreprise de santé ne peut donc pas répondre qu’un salarié appartient à l’établissement pour justifier un accès général. Le besoin d’en connaître doit être relié à une fonction, à un patient, à une séquence de soins et à une donnée déterminée. Le mécanisme d’urgence, souvent appelé « bris de glace », peut permettre un accès exceptionnel, mais il doit être limité, justifié et auditable. Un accès permanent du prestataire chargé de la maintenance ne se confond pas avec un accès ponctuel déclenché par un ticket documenté.
Enfin, la CNIL a retenu un manquement à l’article 34 du RGPD. La question n’était pas uniquement de savoir si les patients avaient été informés. La formation restreinte relève que 202 246 tiers de confiance n’avaient pas reçu d’information sur la nature de l’attaque, ses conséquences probables et les mesures à prendre. L’article 34 impose, lorsque la violation est susceptible d’engendrer un risque élevé pour les droits et libertés, une communication à la personne concernée dans les conditions prévues par le RGPD.
Une contestation sérieuse doit alors vérifier le périmètre des personnes exposées, le contenu exact des données, le niveau de risque individuel, la date à laquelle l’entreprise en a eu connaissance et les communications réellement envoyées. Les listes d’envoi, les courriers, les courriels retournés, les versions des messages, les justificatifs d’identité et les preuves de diffusion peuvent modifier l’analyse. Une entreprise ne doit pas se limiter à produire une politique générale de notification : elle doit démontrer ce qui a été fait pour chaque population concernée.
B. Pourquoi le montant, la publicité et l’injonction peuvent-ils être contestés ?
Le montant de 500 000 euros résulte de plusieurs critères. La CNIL prend en compte la nature des données, le nombre de personnes, la durée de l’exposition, la gravité des carences, la négligence éventuelle, les mesures correctrices, la coopération et la situation économique de l’entreprise. Dans la décision, les données de santé et les copies de pièces d’identité pèsent lourd. La formation restreinte relève aussi que l’analyse d’impact réalisée en 2021 avait évalué le risque à un niveau maximal.
La délibération explique également que l’Hôpital Privé de la Loire et le groupe Ramsay Santé peuvent être regardés comme une même unité économique pour apprécier la capacité financière et le caractère dissuasif de la sanction. Cette approche ne signifie pas que toute société d’un groupe est automatiquement responsable des actes d’une autre. Elle signifie que, lorsqu’une unité économique est retenue, les éléments financiers pertinents peuvent être pris en compte dans la détermination du plafond et du montant effectif.
Le cadre national figure aux articles 20 et 22 de la loi Informatique et Libertés. L’article 20 de la loi n° 78-17 du 6 janvier 1978 organise les mesures correctrices et les sanctions de la formation restreinte. Pour les manquements relevant des obligations du responsable de traitement ou du sous-traitant, il renvoie au plafond prévu par le RGPD, qui peut atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial total, selon le montant le plus élevé ; pour d’autres catégories de violations, le plafond peut atteindre 20 millions d’euros ou 4 %.
Il faut distinguer ce plafond de la somme réellement prononcée. Une entreprise ne peut pas obtenir l’annulation parce que 500 000 euros sont inférieurs au plafond, pas plus que la CNIL ne peut justifier mécaniquement ce montant par la seule taille du groupe. La décision doit expliquer le rattachement aux critères de l’article 83, paragraphe 2, du RGPD et établir une proportion entre les faits, la responsabilité et la sanction. Le Conseil d’État, 13 février 2026, n° 498628, a rappelé, dans un contentieux de sanctions CNIL, l’importance de la motivation au regard des critères de l’article 83 et de la prise en compte de la nature des données de santé.
La jurisprudence montre qu’un recours peut conduire à une réformation. Dans la décision Conseil d’État, 23 décembre 2025, n° 492830, relative à Amazon France Logistique, le juge a ramené une amende de 32 millions à 15 millions d’euros après avoir écarté certains griefs et apprécié différemment les circonstances. Le dispositif indique expressément que le montant est réformé. Cette décision ne permet pas de prédire le résultat d’un recours contre SAN-2026-009, mais elle confirme que le juge administratif peut examiner les griefs et ajuster le montant.
Le même raisonnement apparaît dans le contentieux médical. Dans la décision Conseil d’État, 22 juillet 2022, n° 449694, le juge a retenu un seul manquement à l’article 32 du RGPD et réduit une sanction pécuniaire après avoir écarté un autre grief. Dans l’affaire Conseil d’État, 17 avril 2019, n° 423559, il a au contraire validé une amende de 75 000 euros en tenant compte de données personnelles accessibles par une faiblesse simple à corriger, tout en rappelant que la publication d’une sanction doit respecter le principe de proportionnalité. Ces décisions invitent à travailler les faits et les pièces, plutôt qu’à invoquer uniquement la disproportion de manière générale.
La publicité est une mesure distincte de l’amende. L’article 22 de la loi Informatique et Libertés prévoit que la formation restreinte peut rendre publiques les mesures qu’elle prend et ordonner une insertion dans des supports déterminés. Le texte permet également d’ordonner une information individuelle des personnes concernées. Le texte actuel de l’article 22 décrit la notification du rapport, la possibilité d’être représenté ou assisté, la publicité et le recouvrement de la sanction.
Dans SAN-2026-009, la publication est prévue sur les sites de la CNIL et de Légifrance, avec une anonymisation du nom de la société au terme de deux ans. La société avait soutenu que cette publicité causerait un préjudice réputationnel important. La formation restreinte a estimé que la gravité et le nombre de personnes concernées rendaient la mesure proportionnée. Pour la discuter, il faut établir un risque actuel, précis et documenté : confusion avec une autre entité, maintien d’informations inexactes malgré une correction, atteinte disproportionnée à des patients ou partenaires, ou durée de publication mal justifiée. Une critique abstraite de l’atteinte à l’image a peu de chances de suffire.
Le juge des référés du Conseil d’État a déjà examiné, dans l’ordonnance du 7 février 2014, n° 374595, des arguments liés à la publication d’une sanction CNIL non définitive, à la proportionnalité et au recours effectif. La solution dépend des circonstances et de l’urgence. La demande doit donc expliquer le préjudice immédiat, le lien avec la publication et la mesure provisoire sollicitée. Le recours au fond et une éventuelle demande d’urgence répondent à des fonctions différentes.
La procédure elle-même peut fournir un moyen de contestation. La procédure ordinaire commence par la désignation d’un rapporteur et la saisine de la formation restreinte. Le guide procédural de la CNIL indique que le rapport est communiqué à l’organisme, qui peut présenter des observations et être assisté. Le rapporteur présente éventuellement des observations orales mais ne prend pas part aux délibérations. Il faut comparer le rapport, les griefs finalement retenus, les pièces communiquées, les demandes de délai, les convocations et la décision.
Cette analyse doit tenir compte de la décision du Conseil constitutionnel n° 2025-1154 QPC du 8 août 2025. Elle a déclaré contraires à la Constitution certaines dispositions de l’article 22 relatives aux observations et à l’audition, avec une abrogation reportée au 1er octobre 2026. Pendant la période transitoire, la personne mise en cause doit être informée de son droit de se taire. Une entreprise qui reçoit une notification ou participe à une audience doit vérifier que cette garantie a été portée à sa connaissance. Elle ne doit pas confondre ce droit avec la faculté de ne produire aucune pièce utile : la stratégie procédurale dépend des griefs et du risque de s’auto-incriminer.
Enfin, l’article 22-1 de la loi Informatique et Libertés, créé pour la procédure simplifiée, ne doit pas être confondu avec une sanction ordinaire de cette ampleur. L’article 22-1 réserve cette procédure aux affaires sans difficulté particulière et plafonne les mesures dans les limites qu’il prévoit. Une entreprise doit identifier le régime effectivement appliqué avant de soulever un moyen de procédure : l’existence de cette procédure simplifiée ne rend pas irrégulière une procédure ordinaire.
II. Comment contester une sanction CNIL et exécuter l’injonction dans le délai ?
A. Quel recours devant le Conseil d’État et quelles pièces préparer ?
La délibération SAN-2026-009 indique : « Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification. » Le point de départ est donc la notification à la société, et non la date de publication sur Légifrance. Il faut conserver l’enveloppe, le courriel sécurisé, l’accusé de réception ou toute preuve de mise à disposition. Une publication consultée le 3 septembre ne permet pas, à elle seule, de calculer le dernier jour du délai.
Le recours doit être construit autour de conclusions précises. Selon le dossier, l’entreprise peut demander l’annulation totale, l’annulation partielle de certains griefs, la réformation de la sanction pécuniaire, la modification de la publicité ou la remise en cause de tout ou partie de l’injonction. Les conclusions doivent correspondre aux moyens développés. Une demande vague de « clémence » ne remplace pas une démonstration d’erreur de droit, d’erreur de fait, d’insuffisance de motivation ou de disproportion.
Le premier travail est une chronologie à deux colonnes. La première reprend les dates de l’incident, de sa détection, de la notification à la CNIL, des mesures de confinement et des communications. La seconde reprend les dates de contrôle, de demandes d’information, de réponses, de rapport, d’audience, de décision et de notification. Cette chronologie permet de détecter une confusion entre ce que l’entreprise savait au moment de l’attaque et ce qu’elle a pu mettre en place après. Elle permet aussi de vérifier si la décision a retenu un grief qui n’a pas été suffisamment débattu.
Le deuxième travail est l’audit des mesures qui existaient réellement. Il faut rassembler les configurations de VPN et d’authentification, les politiques de mots de passe, les comptes administrateurs, les règles de pare-feu, les matrices d’habilitations, les tickets d’assistance, les contrats de maintenance, les rapports de test d’intrusion, les comptes rendus de comité de sécurité et les preuves de formation. Les copies doivent être datées et conservées dans un espace séparé. Une simple politique réécrite après l’incident ne prouve pas l’état du système au mois de juin 2025.
Le troisième travail porte sur l’extraction des journaux. Il faut identifier les comptes utilisés, les heures de connexion, les adresses sources, les modules consultés, les exportations réalisées, les changements de droits et les accès du prestataire. Si certaines traces ont été écrasées, l’entreprise doit l’expliquer et documenter la durée de conservation prévue. Elle doit éviter de présenter comme certain ce qui ne peut être établi. Une analyse technique indépendante peut distinguer les accès réussis, les tentatives, les données effectivement consultées et les données seulement susceptibles d’avoir été exposées.
Le quatrième travail vise l’article 34 du RGPD. Il faut dresser une cartographie des catégories de personnes concernées, associer chaque catégorie aux données exposées, puis rapprocher cette cartographie des communications envoyées. L’entreprise doit démontrer quand elle a identifié le risque élevé, quels messages ont été adressés, par quel canal, avec quel contenu et quelles mesures de protection ont été proposées. Une information tardive n’est pas nécessairement inexistante, mais son retard peut peser sur la responsabilité et sur le montant de la sanction.
Le cinquième moyen possible est une erreur d’appréciation sur l’adéquation des mesures de l’article 32. Le dossier doit montrer que l’entreprise avait identifié le risque, choisi une mesure, évalué son efficacité, contrôlé sa mise en œuvre et prévu une réponse. Si un VPN était disponible pour certains accès mais pas pour tous, la question devient celle du périmètre et de la justification. Si une authentification renforcée était prévue mais incomplète, il faut établir les comptes concernés et la date d’achèvement. La défense gagne en crédibilité lorsqu’elle reconnaît une lacune précise tout en démontrant que la portée retenue par la CNIL est trop large.
Le sixième moyen touche au montant. Il faut reprendre chaque critère de l’article 83, paragraphe 2 : nature, gravité et durée, nombre de personnes, dommage, intention ou négligence, mesures d’atténuation, degré de responsabilité, coopération, catégories de données, manière dont la CNIL a eu connaissance des faits et circonstances aggravantes ou atténuantes. Les coûts d’une intervention de cybersécurité, d’une hotline, d’une notification et d’une migration ne font pas disparaître le manquement, mais ils peuvent documenter les mesures d’atténuation et la capacité réelle de l’entreprise à supporter l’amende.
L’arrêt Conseil d’État, 26 avril 2022, n° 449284, rappelle la liste des critères à prendre en considération pour une amende CNIL et l’exigence d’un raisonnement individualisé. Cette référence ne commande pas le montant d’une nouvelle sanction, mais elle fournit une grille de lecture pour vérifier si la décision explique la gravité, la négligence, les mesures correctrices et les catégories de données. L’entreprise doit signaler les omissions précises, sans transformer le recours en débat général sur la politique de la CNIL.
Il faut aussi contrôler l’identité du responsable de traitement et le rôle du sous-traitant. Une société peut contester l’imputation d’un choix technique si elle démontre qu’elle ne décidait ni des finalités ni des moyens essentiels. À l’inverse, un contrat qui confie la maintenance à un éditeur ne transfère pas automatiquement la responsabilité du responsable de traitement. La décision SAN-2026-009 rappelle que l’hôpital, qui définissait les finalités et les moyens essentiels du dossier patient, restait responsable du traitement. Le contrat, les annexes de sécurité, les comptes rendus de gouvernance et les décisions d’achat doivent être produits ensemble.
Le recours ne doit pas retarder les mesures exigées. Il faut demander une analyse séparée de l’effet de la décision, de l’échéance de chaque obligation et de la possibilité d’une mesure provisoire en cas d’urgence. Lorsque la publication cause un risque immédiat et documenté, une procédure d’urgence peut être étudiée avec le recours au fond. Lorsque l’injonction concerne une mesure de sécurité urgente, l’exécution peut parfois réduire le risque contentieux et fournir des preuves utiles. La stratégie dépendra des termes exacts de la décision et du calendrier de notification.
B. Comment corriger les habilitations, la journalisation et l’accès du prestataire ?
La décision impose trois actions principales. La première doit être réalisée dans les trois mois : mettre en place un système de journalisation et d’analyse proactive en temps réel ou à très court terme, capable de détecter un comportement anormal et de déclencher des alertes et des réponses adaptées. La deuxième doit être réalisée dans les quinze mois : mettre à jour la politique d’habilitations afin que seules les personnes qui ont besoin d’en connaître puissent accéder aux données, en prévoyant un mécanisme d’urgence. La troisième doit être réalisée dans les trois mois : empêcher l’accès permanent de l’éditeur du logiciel au dossier patient et soumettre chaque accès à l’autorisation préalable de l’hôpital. Chaque obligation est assortie d’une astreinte de 1 000 euros par jour de retard et les justificatifs doivent être transmis à la formation restreinte.
Pour la journalisation, l’entreprise doit commencer par définir les événements utiles. L’identifiant de l’utilisateur, la date et l’heure, la ressource consultée, l’action réalisée, l’équipement utilisé, l’adresse réseau, l’élévation de privilège, l’exportation et la fermeture de session peuvent être nécessaires. Le dispositif doit distinguer les accès normaux des comportements anormaux : consultation massive, accès à des patients sans lien avec le service, téléchargement inhabituel, connexion depuis un pays ou un appareil inattendu, ou utilisation d’un compte en dehors des horaires prévus.
La journalisation doit rester proportionnée. La CNIL rappelle que les journaux contiennent aussi des informations sur les utilisateurs habilités et peuvent créer un risque supplémentaire s’ils sont conservés trop longtemps ou insuffisamment protégés. Dans sa recommandation officielle, elle présente la traçabilité comme un outil de sécurité et recommande une analyse automatique rapide. L’entreprise doit donc documenter la durée de conservation, les personnes qui peuvent consulter les traces, la protection des journaux contre l’altération, la synchronisation des horodatages et la procédure d’escalade. Un tableau de bord sans responsable ni délai d’intervention ne répond pas à toute l’exigence.
Le test de fonctionnement est indispensable. Il faut simuler un accès anormal avec des données de test ou un environnement maîtrisé, vérifier que l’événement est enregistré, que l’alerte arrive au bon interlocuteur, qu’une décision est prise et que la réponse est tracée. Le rapport doit indiquer la date, le scénario, le résultat, les anomalies et la correction. Les justificatifs peuvent comprendre une capture de configuration, un export de logs, un ticket d’incident, un procès-verbal de recette et un compte rendu de revue par le délégué à la protection des données.
Pour les habilitations, il faut partir de la fonction et non de l’organigramme. Un médecin, un infirmier, un agent administratif, un technicien informatique, un prestataire de maintenance et un intervenant extérieur ne doivent pas disposer du même accès par défaut. La matrice doit préciser les modules, les types de données, les opérations autorisées et les conditions de retrait. Elle doit prévoir la création, la modification, la suspension et la suppression des comptes, ainsi qu’une revue périodique par le responsable de service.
Dans un établissement de santé, l’article L. 1110-4 du code de la santé publique impose que les informations partagées soient strictement nécessaires à la coordination ou à la continuité des soins. L’article L. 1110-12 encadre la notion d’équipe de soins. La matrice d’habilitation doit traduire ces règles en droits techniques : appartenance au service, relation avec le patient, acte ou parcours concerné, durée de l’accès et finalité de la consultation. Le mécanisme de « bris de glace » doit être exceptionnel, justifié au moment de l’utilisation et revu après coup.
L’accès de l’éditeur mérite une procédure dédiée. Chaque intervention doit partir d’une demande identifiée, préciser le motif, le périmètre, la durée et la personne qui autorise. L’accès doit être nominatif, limité au besoin, protégé par une authentification forte et fermé automatiquement à la fin de la fenêtre d’intervention. Une session enregistrée ou un journal détaillé doit permettre de vérifier les actions réalisées. Les accès d’urgence ne doivent pas devenir une voie de contournement permanente. Le contrat doit prévoir la restitution des traces, l’obligation de coopération, la notification des incidents et le contrôle des sous-traitants ultérieurs.
L’entreprise doit également traiter l’information des personnes concernées. Une lettre utile précise la date ou la période de l’incident, les catégories de données, les conséquences possibles, les mesures déjà prises, les précautions recommandées, le point de contact et les droits. Le message adressé à un patient peut différer de celui adressé à un tiers de confiance, mais l’organisation doit pouvoir expliquer cette différence. Les personnes qui n’ont pas été informées lors de la première communication doivent être identifiées et recevoir une information adaptée si le risque le justifie.
La mise en conformité n’est pas seulement technique. Le conseil d’administration ou la direction doit valider le risque résiduel, les investissements, les priorités et les échéances. Le délégué à la protection des données doit conserver son analyse. Le responsable informatique doit établir la preuve des changements. Les directions juridique, médicale et financière doivent pouvoir répondre à une demande de la CNIL sans rechercher les documents dans des boîtes personnelles. Le dossier de conformité doit rester cohérent avec l’analyse d’impact, les contrats de sous-traitance, le registre des traitements et le plan de continuité.
Pour un groupe dont le siège ou les fonctions support sont à Paris ou en Île-de-France, cette organisation présente une difficulté pratique : le système centralisé peut être administré depuis un autre établissement, alors que les besoins d’accès sont locaux. La matrice doit distinguer le rôle du siège, les équipes de l’établissement, les praticiens libéraux et les prestataires. La localisation administrative du siège ne modifie pas le délai de recours devant le Conseil d’État, mais elle peut multiplier les interlocuteurs, les comptes techniques et les contrats à auditer. Une gouvernance unique, un responsable de la preuve et un calendrier partagé évitent qu’une mesure soit achevée dans un établissement mais non déployée dans les autres.
La preuve de la correction doit être envoyée selon les modalités indiquées par la décision. Pour l’analyse des journaux, il faut joindre la description du système, les règles d’alerte, le test réalisé et la preuve d’une réponse opérationnelle. Pour les habilitations, il faut joindre la nouvelle politique, la matrice, les revues de comptes, les procédures d’urgence et les résultats d’un échantillonnage. Pour l’éditeur, il faut joindre le contrat ou son avenant, la procédure d’autorisation, le mécanisme d’accès temporaire, les traces d’intervention et un test de fermeture automatique. Un simple engagement de déployer ultérieurement ne permet pas de démontrer la mise en conformité.
La sanction pécuniaire et l’injonction doivent être suivies dans deux tableaux distincts. Le premier retrace la dette, les éventuelles demandes de réformation et les provisions. Le second retrace chaque obligation, son délai, son responsable, sa preuve et sa date d’envoi. Cette séparation est essentielle : même si le montant de l’amende est contesté, une injonction peut rester au centre du dossier et une astreinte peut courir si l’entreprise ne justifie pas les actions demandées.
Les entreprises confrontées à un incident comparable doivent enfin préserver les intérêts des personnes concernées. Une communication de crise ne doit pas minimiser l’exposition, accuser un prestataire sans preuve ou promettre une sécurité absolue. Elle doit rester compatible avec le rapport transmis à la CNIL, l’information individuelle et les obligations contractuelles. Les messages publics, les réponses aux patients, les échanges avec l’assureur et les écritures contentieuses doivent être relus ensemble afin d’éviter des contradictions exploitables dans la procédure.
Conclusion
La décision SAN-2026-009 du 21 juillet 2026 ne transforme pas toute cyberattaque en condamnation automatique. La CNIL rappelle elle-même que la violation seule ne suffit pas : l’analyse porte sur l’adéquation des mesures au risque, la qualité des habilitations, la détection des accès anormaux, le contrôle du prestataire et l’information des personnes exposées. Dans le dossier de l’Hôpital Privé de la Loire, le nombre de patients et de tiers de confiance, la nature des données, la durée de l’accès et la combinaison des carences ont justifié une amende de 500 000 euros, une publication et une injonction assortie d’astreintes.
Une entreprise qui reçoit une telle décision doit agir sur trois fronts. Elle doit préserver les pièces et déposer, si elle le souhaite, un recours motivé devant le Conseil d’État dans les deux mois de la notification. Elle doit vérifier la procédure, notamment la notification du droit de se taire dans la période transitoire issue de la décision n° 2025-1154 QPC. Elle doit surtout exécuter ou documenter immédiatement les mesures de sécurité, sans attendre l’issue du recours : journalisation analysée, habilitations limitées, accès du prestataire autorisé et information complète des personnes concernées.
Cette démarche s’inscrit dans le droit des affaires lorsqu’une entreprise, un groupe ou un prestataire doit défendre ses intérêts, organiser sa gouvernance et sécuriser ses relations contractuelles à la suite d’un incident.
Besoin d’un avis rapide sur votre dossier.
Une consultation téléphonique en 48 heures avec un avocat du cabinet peut vous aider à qualifier la décision, préserver les délais et organiser les pièces utiles.
Une consultation téléphonique en 48 heures avec un avocat du cabinet permet de préparer le recours et le plan de mise en conformité.
Appelez le 06 46 60 58 22 ou utilisez le formulaire de contact du cabinet.