Au début de ce mois de septembre 2026, la Commission Nationale de l'Informatique et des Libertés (CNIL) a rendue publique une décision de sanction de 500 000 euros prononcée à l'encontre d'un hôpital privé. (Délibération n° SAN-2026-009 du 21 juillet 2026)
Cette sanction a fait grand bruit : elle a été prononcée suite à une attaque informatique survenue dans cet hôpital.
En voici les points clés :
- Les faits
524 867 fiches patients et 202 246 fiches de personnes de confiance sont exfiltrées en cinq jours, sans qu'aucune alerte ne se déclenche.
L'hôpital notifie la violation de données à la CNIL, qui reçoit également neuf plaintes d'usagers.
La CNIL décide de réaliser un contrôle sur place.
- Deux manquements sont relevés par l'autorité de contrôle
- Non respect de l'article 32 du RGPD (sécurité)
- Manquement à l'article 34 du RGPD (communication de la violation aux personnes concernées)
- La sanction : 500 000 euros
L'amende a été calibrée au regard de l'unité économique formée avec le groupe RAMSAY SANTÉ, et non du seul chiffre d'affaires de l'hôpital, pourtant déficitaire.
Trois injonctions sous astreinte de 1 000 € par jour de retard, à exécuter dans des délais de 3 à 15 mois sont également prononcées par la CNIL.
Cette décision est aujourd'hui la référence la plus complète sur le niveau de sécurité attendu d'un dossier patient informatisé (DPI).
Elle intéresse directement les cliniques, hôpitaux privés, GHT, laboratoires, EHPAD et éditeurs de logiciels de santé.
Pour en savoir plus sur cette décision, lire l'article détaillé sur mon site internet :
" Sanction CNIL : 500 000 € d’amende contre un hôpital privé pour violation du RGPD "
Jessy Pollux
Avocate
Déléguée à la protection des données

Pas de contribution, soyez le premier