La CNIL vient de sanctionner l’Hôpital privé de la Loire d’une amende de 500 000 euros après une cyberattaque ayant permis à un attaquant d’accéder aux données de 524 867 patients, dont certaines données de santé, ainsi qu’à celles de 202 246 personnes désignées comme « tiers de confiance ».
L’attaque, survenue durant l’été 2025, a ciblé le dossier patient informatisé (DPI) de l’établissement.
La particularité de cette décision tient moins au montant de l’amende qu’à la précision avec laquelle la CNIL décrit les faiblesses techniques ayant permis à l’attaque de se propager.
Pour les utilisateurs externes, notamment les médecins libéraux, l’accès au DPI ne reposait ni sur un VPN, ni sur une authentification multifacteur.
La CNIL considère explicitement que cette procédure d’authentification n’était « pas suffisamment robuste ». L’attaquant a exploité cette vulnérabilité pour accéder au DPI avec les identifiants d’un utilisateur.
La faiblesse ne s’arrêtait toutefois pas à l’authentification. Une fois connecté, l’attaquant a pu accéder aux données de l’ensemble des patients de l’établissement.
La raison tient à une deuxième défaillance : la politique d’habilitation ne tenait pas suffisamment compte de la notion d’équipe de soins. Les professionnels n’étaient donc pas limités aux seules informations nécessaires à la prise en charge des patients dont ils avaient effectivement la charge.
Pour la CNIL, le problème est alors double. La compromission d’un compte a été rendue possible par une authentification insuffisamment robuste et, une fois le compte compromis, les droits qui lui étaient associés ont permis d’accéder à un volume considérable de données.
Cette distinction est importante. Même lorsqu’un attaquant parvient à compromettre un compte, il ne devrait pas pouvoir accéder à l’ensemble du système d’information. La limitation des droits d’accès et le cloisonnement des données doivent permettre de contenir l’attaque et d’en limiter les conséquences.
La troisième faiblesse relevée par la CNIL concerne la détection.
L’établissement ne disposait pas de mesures permettant d’identifier une activité suspecte dans le DPI en temps réel ou à très court terme et de déclencher une alerte. L’attaquant a ainsi pu explorer le système durant plusieurs jours et extraire un volume important de données sans que cette activité anormale ne soit détectée.
La CNIL considère que cette absence de détection a contribué à aggraver l’ampleur de la violation.
Le raisonnement dessine donc une chaîne de défense assez classique :
authentifier correctement → limiter les privilèges → cloisonner les accès → journaliser → détecter les comportements anormaux.
C’est cette chaîne, plus que l’absence isolée d’un VPN ou d’un MFA, qui permet de comprendre la décision.
Le cas de l’Hôpital privé de la Loire est exceptionnel par la précision avec laquelle la CNIL met en cause l’absence de VPN et de MFA. Mais il ne constitue pas pour autant une rupture dans sa jurisprudence.
La Commission avait déjà indiqué, en janvier 2025, que les entreprises détenant de grandes bases de données devaient notamment mettre en place une authentification multifacteur pour les employés, les partenaires, les sous-traitants et les autres intervenants accédant à distance.
Elle avait surtout annoncé qu’elle renforcerait dès 2026 ses contrôles sur ce point et précisé que l’absence de MFA pourrait justifier l’ouverture d’une procédure de sanction.
La CNIL rappelait également que cette authentification renforcée était déjà considérée comme, en principe, nécessaire au regard du RGPD pour les bases contenant des données sensibles ou dont la violation présenterait des risques importants.
La recommandation publiée en avril 2025 sur l’authentification multifacteur avait préparé le terrain.
Le dossier de l’Hôpital privé de la Loire montre donc comment cette doctrine peut désormais se traduire dans une procédure de sanction.
Quelques mois plus tôt, la CNIL avait déjà mis en cause plus directement une infrastructure d’accès distant.
En janvier 2026, elle a infligé 27 millions € à Free Mobile et 15 millions à Free, soit 42 millions € au total, après une importante violation de données. La Commission a notamment relevé l’insuffisance des mesures destinées à assurer la sécurité des données des abonnés.
Ce dossier est particulièrement intéressant au regard de celui de l’Hôpital privé de la Loire. Le problème n’est plus simplement de savoir si une organisation possède un VPN, mais si l’ensemble du mécanisme d’accès distant présente un niveau de sécurité approprié.
La jurisprudence récente tend ainsi à regarder la sécurité comme une chaîne de contrôles plutôt que comme une collection de produits.
La sanction de 5 millions € infligée à France Travail en janvier 2026 va dans la même direction.
La CNIL a notamment relevé l’insuffisance des mesures de journalisation permettant de détecter les comportements anormaux sur le système d’information. Elle a également considéré que les habilitations attribuées aux comptes des conseillers de Cap emploi étaient trop larges, leur permettant d’accéder aux données de personnes qu’ils n’accompagnaient pas.
On retrouve donc les deux autres briques du dossier de l’Hôpital privé de la Loire : la journalisation et la gestion des habilitations.
Le rapprochement est particulièrement parlant. Dans les deux cas, le risque ne provient pas seulement de la possibilité de compromettre un compte. Il provient aussi du fait qu’un compte compromis dispose de droits trop étendus et que l’activité anormale n’est pas détectée suffisamment rapidement.
La sanction de 5 millions € infligée à IQVIA Operations France en mai 2026 complète encore ce tableau.
La CNIL a sanctionné l’entreprise dans le cadre de la gestion de deux entrepôts de données de santé et a notamment examiné les garanties destinées à limiter les risques liés à ces données.
Le dossier illustre l’importance croissante accordée par la CNIL à l’architecture de sécurité. Authentification, séparation des environnements, restriction des accès et traçabilité doivent être pensés ensemble lorsqu’il s’agit de données particulièrement sensibles.
La position de la CNIL sur la journalisation est particulièrement révélatrice.
Dans ses recommandations destinées aux grandes bases de données, la Commission demande une architecture permettant de tracer les accès et les actions des utilisateurs habilités. Mais elle précise surtout que la simple collecte des journaux ne suffit pas : les organisations doivent être capables de traiter ces informations afin de détecter rapidement un comportement suspect.
La CNIL recommande notamment de journaliser les accès aux applications, API, systèmes et réseaux, et de cibler la supervision sur les composants les plus sensibles. Les événements à surveiller doivent permettre de détecter des flux anormaux, des volumes inhabituels ou des tentatives de connexion rejetées.
Autrement dit, avoir des logs n’est pas nécessairement avoir une capacité de détection.
C’est précisément ce que montre le cas de l’Hôpital privé de la Loire. L’absence de détection en temps réel ou à très court terme a laissé à l’attaquant plusieurs jours pour explorer le DPI et extraire les données.
La CNIL ne découvre pas en 2026 la question des briques techniques de cybersécurité.
Son bilan 2024 fait état de 11 sanctions pour des manquements à la sécurité des données. Les organismes concernés avaient notamment utilisé des mots de passe insuffisamment robustes, stocké des mots de passe en clair, mis en œuvre des politiques d’habilitation insuffisantes ou continué à utiliser des versions obsolètes de TLS.
La Commission avait également sanctionné plusieurs organismes qui, malgré une mise en demeure, continuaient à utiliser TLS 1.0 ou TLS 1.1, ainsi que SHA-1, considérés comme obsolètes ou insuffisamment sûrs.
La logique est la même : le RGPD ne liste pas les produits ou technologies à installer. Il impose au responsable de traitement de mettre en œuvre des mesures de sécurité adaptées au risque et à l’état des connaissances.
Mais lorsque certaines technologies deviennent incontournables pour répondre à ce niveau de risque, leur absence ou leur mauvaise configuration peut devenir un élément central du constat de la CNIL.
Il faut donc éviter une interprétation trop mécanique de la décision.
Le RGPD ne transforme pas le VPN ou le MFA en obligations universelles. L’article 32 impose des mesures techniques et organisationnelles « appropriées » au regard notamment des risques présentés par le traitement.
La CNIL le rappelle dans sa jurisprudence : le caractère suffisant des mesures de sécurité doit être apprécié en fonction des caractéristiques du traitement, des risques, de l’état des connaissances et du coût des mesures.
C’est précisément ce qui rend le dossier de l’Hôpital privé de la Loire intéressant. Les données concernées sont particulièrement sensibles, le DPI centralise un volume considérable d’informations et des utilisateurs externes peuvent y accéder à distance.
Dans ce contexte, l’absence cumulée de VPN et de MFA constitue, pour la CNIL, une faiblesse de sécurité suffisamment importante pour caractériser un manquement à l’article 32.
La décision contre l’Hôpital privé de la Loire ne crée donc pas une nouvelle obligation réglementaire imposant à tous les établissements de santé de déployer tel ou tel équipement.
Elle témoigne plutôt d’une évolution de la jurisprudence vers une appréciation beaucoup plus concrète de l’architecture de sécurité.
Authentification, MFA, VPN, habilitations, segmentation, journalisation, détection, chiffrement : ces briques ne sont plus examinées uniquement sous l’angle de la conformité documentaire. La CNIL cherche à déterminer si, dans les faits, elles sont suffisamment robustes pour empêcher une compromission ou en limiter les conséquences.
Le mouvement est d’ailleurs clairement assumé par la Commission.
Dans ses recommandations sur les grandes bases de données, elle indique qu’elle renforcera ses contrôles à partir de 2026 sur l’authentification multifacteur et que l’absence de cette mesure pourra justifier l’ouverture d’une procédure de sanction.
The post La CNIL durcit le contrôle des briques de cybersécurité appeared first on Silicon.fr.
Un modèle d’intelligence artificielle peut rapidement donner naissance à une multitude de versions dérivées. Une fois publié sur une plateforme comme Hugging Face, il peut être téléchargé, fine-tuned sur de nouvelles données, fusionné avec un autre modèle ou encore quantifié afin de réduire les ressources nécessaires à son fonctionnement. Le résultat peut ensuite être remis en ligne, puis servir à son tour de base de développement à d’autres systèmes.
À l’heure où les données personnelles sont devenues la monnaie d’échange du Web, la transparence devient un enjeu majeur. Entre marketing personnalisé et respect de la vie privée, les entreprises font face à un nouveau défi réglementaire imposé par la CNIL. Voici pourquoi vos boîtes mail débordent de demandes de consentement depuis quelques jours (et pourquoi ça pourrait bien continuer tout le restant de la semaine).
Les pixels de suivi sont des fichiers d’image invisibles, souvent d’une taille unique (un pixel, d’où leur nom). Bien qu’indétectables à l’œil nu, ils servent d’outils de pistage sophistiqués. Lorsqu’un utilisateur ouvre un courriel contenant une telle image, son logiciel de messagerie appelle l’URL associée, permettant à l’expéditeur de confirmer l’ouverture du message. C’est le même principe qu’un accusé de réception sur une messagerie instantanée, mais ils vont tout de même un peu plus loin.
Au-delà du simple taux d’ouverture, ces pixels peuvent collecter des métadonnées plus sensibles. Ils permettent parfois de connaître le type d’appareil utilisé (smartphone, ordinateur, tablette), l’adresse IP du destinataire, ou même une localisation approximative. Pour les entreprises, c’est une mine d’or marketing pour segmenter les audiences et analyser le profil des récepteurs les plus réactifs.
Toutefois, la pratique n’est pas sans limites. Les législations françaises et européennes imposent désormais que tout pistage repose sur un consentement « libre et éclairé ». La CNIL a précisé que si le suivi marketing est soumis au consentement, certaines exceptions existent, notamment pour la vérification de la délivrabilité ou les courriels transactionnels (confirmations de commande, mots de passe).
Le pic actuel de notifications s’explique par les recommandations de la CNIL publiées en avril dernier, qui donnaient jusqu’au 14 juillet 2026 aux entreprises pour se mettre en conformité. Ce délai court explique l’envoi massif de courriels par des géants comme Deezer, Le Monde ou même la Fnac pour recueillir les autorisations nécessaires avant l’échéance.
Pour les utilisateurs soucieux de leur anonymat, plusieurs options s’offrent à eux. Il est possible de refuser le suivi sans que cela ait d’impact sur l’accès aux services. Par ailleurs, beaucoup de fournisseurs de messagerie proposent désormais une option permettant de bloquer systématiquement le chargement des images externes, neutralisant ainsi ces « pixels espions » par défaut.
Si certaines entreprises ont ainsi attendu le dernier moment pour envoyer leur missive, il ne fait aucun doute que d’autres ont même pris du retard et vous contacteront dans les prochains jours, au risque de se faire taper sur les doigts par le gendarme du Web.
Depuis 2019, la CNIL recrute systématiquement ses agents contractuels en CDI… et c’est discutable.
Tel est l’avis de la Cour des comptes. Ce choix, estime-t-elle, a contribué à un accroissement de masse salariale dont le rythme n’est plus tenable vu la situation générale des finances publiques.
D’autres éléments de politique RH l’ont interpellée à ce même titre. Par exemple, une tendance à contourner les grilles indiciaires au moment du recrutement. La CNIL positionne en l’occurrence ses agents sur des catégories plus favorables. Il en a été ainsi d’au moins 10 juristes – compétence pourtant non rare, souligne la Cour des comptes – recrutés en CDI en 2023-2024. On les a positionnés d’office sur le 4e échelon de la catégorie A3 alors qu’ils sortaient d’études supérieures ou avaient moins d’un an d’expérience professionnelle.
Autre sujet : le décompte des RTT. Chaque année, les journées sont créditées par anticipation. Une campagne semestrielle de décrémentation permet de retirer les RTT perdues du fait de l’absence pour maladie. Ce n’est pas suffisant, affirme la Cour des comptes. La réglementation prévoit effectivement de défalquer l’ensemble des jours non travaillés, sauf autorisations spéciales d’absence pour raisons syndicales. Dans ce contexte, 223 jours attribués en 2024 auraient du être pris en compte pour la réduction des RTT mais ne l’ont pas été. En parallèle, la CNIL a choisi, à tort, de ne pas décompter les absences liées à la parentalité.
Le recours systématique au CDI pour les agents contractuels figure dans le règlement de gestion depuis 2019. La CNIL le présente comme un argument d’attractivité, l’impact du RGPD ayant créé un marché concurrentiel parmi les spécialistes de la protection des données.
Même si la commission rédige ses contrats pour permettre une certaine flexibilité dans l’allocation des agents aux postes, cette pratique rigidifie la gestion RH. Elle permet par ailleurs aux agents de prendre un congé pour mobilité de deux fois 3 ans maximum (ils peuvent suspendre leur CDI pour travailler dans une autre structure tout en bénéficiant d’un droit de retour).
La CNIL est déjà attractive, considère la Cour des comptes. Elle en veut pour preuve les 245 candidatures externes reçues en moyenne pour chacun des 50 postes ouverts au recrutement en 2024 et au premier semestre 2025 (hors emploi d’encadrement). De surcroît, une partie des postes ne correspond pas à des compétences en tension. La commission compte, notamment, assez peu de postes à dominante technique (57, vs 125 à dominante juridique).
La masse salariale représente 86 % du budget de la CNIL. Celui-ci a connu une hausse significative entre 2017 (17 M€) et 2024 (28,2 M€), porté par un relèvement du plafond d’emplois exécutés (passage de 195 à 277 ETP).
Depuis 2017, la CNIL occupe un bâtiment à Paris où sont regroupés des services du Premier ministre et des autorités administratives indépendantes. Elle a maintenu son propre atelier de reprographie alors qu’un atelier mutualisé « se trouve à quelques dizaines de mètres », pour reprendre les mots de la Cour des comptes.
Cet atelier occupe un agent. Il a coûté 7800 € de location de matériel d’impression en 2024, alors que son activité est plutôt modeste (environ 50 000 pages par mois en 2023). Cela n’empêche pas la CNIL d’externaliser des impressions (27 500 € en 2023, puis 15 400 € en 2024), justifiées par des besoins à courte échéance (avant chaque collège du jeudi matin) et par la réalisation de formats originaux en interne (affiches, cartes postales…). Elle n’est pas favorable à une mutualisation au nom de la réactivité, mais aussi de l’indépendance : il lui faut imprimer des projets d’avis sur des textes du Gouvernement, voire des sanctions à son encontre.
La Cour des comptes relève que les services du Premier ministre se disent en capacité d’absorber le volume de la CNIL. Elle note aussi qu’ils assurent déjà les impressions d’autres autorités administratives indépendantes et de cabinets ministériels, dont les documents ne sont pas moins confidentiels.
La CNIL rembourse les frais de déplacement des commissaires dont la résidence familiale et administrative est hors Île-de-France. Pour certains, a Cour des comptes juge discutable le recours au taxi à des horaires « ni matinaux ni tardifs », vu la disponibilité de transports interurbains.
Autre point qui l’alerte : le recours au voyagiste privé dont disposent les services du Premier ministre. Leur DSAF (direction des services administratifs et financiers) réceptionne les demandes de la CNI et les rentre dans le logiciel Chorus-Déplacements Temporaires. Elle accède alors à l’offre et peut réserver instantanément, comme sur une plate-forme de voyages grand public. La Cour des comptes s’interroge ainsi sur la plus-value du voyagiste, d’autant plus que le système s’avère bien plus coûteux que la réservation directe. Et que le marché passé avec ce prestataire ne prévoit aucun bordereau de prix ni mécanisme de contrôle de ces prix.
La taille du collège – 18 membres, ce qui place la CNIL dans le peloton de tête des autorités administratives indépendantes – complique la gestion. Elle peut engendrer des débats plus longs et des enjeux en termes d’harmonisation des connaissances et des pratiques.
À l’exception de la présidente, aucun membre n’est affecté à temps plein à la CNIL. Dans un contexte de croissance de l’activité, cela pose la question de leur disponibilité pour siéger. A fortiori à mesure que croît le besoin de professionnalisation sur des aspects de plus en plus techniques. La Cour des comptes appelle à s’inspirer de l’Autorité de la concurrence. Sur 17 membres, son collège comprend 4 vice-présidents qui sont à temps plein.
Chaque année, certains commissaires ont été payés davantage de vacations que le nombre de séances. La CNIL a effectivement doublé la rémunération pour les séances plénières prévues le matin mais qui se sont poursuivies dans l’après-midi. Ce par analogie avec d’autres activités payées à la demi-journée (activités européennes, exercice de droit indirect). Or, selon la Cour des comptes, il s’agit matériellement d’une seule et même séance, dotée d’un unique procès-verbal et d’une unique présidence. En l’état, le doublement de la rémunération n’est pas fondé.
En cas de conflit d’intérêts, les membres du collège doivent s’abstenir de siéger. Les agents doivent quant à eux informer leur supérieur hiérarchique, qui les dessaisit.
Les déports sont bien recensés au fil de l’eau dans les PV de la séance plénière et de la formation restreinte. Mais la CNIL n’a pas de registre centralisé des déports édictés ex ante, soit par la HATVP (avant nomination d’un membre, d’un secrétaire général ou de son adjoint), soit par le supérieur hiérarchique (préalablement à l’embauche d’un agent) Elle n’a par ailleurs pas de suivi des provenances des agents recrutés. Ce qui rend impossible le recensement des mobilités entrantes susceptibles de présenter un risque de conflit d’intérêts.
La Cour des comptes s’arrête aussi sur l’habilitation des agents chargés des vérifications. Elle regrette que l’enquête de sécurité se limite à la vérification de l’absence de condamnation à une peine correctionnelle ou criminelle inscrite au bulletin no 2 du casier judiciaire.
La mise en œuvre de certains traitements de données suppose une saisine préalable de la CNIL. Celle-ci formule un avis simple non contraignant. La démarche concerne exclusivement le secteur public.
Saisie d’une demande d’avis sur un projet de loi ou de décret touchant à la protection des données personnelles, la CNIL a 2 mois pour se prononcer (délai prolongeable par la présidence). Même timing pour les demandes d’avis spontané de la part des pouvoirs publics. Pour les traitements relatifs à la sécurité, la sûreté et la recherche d’infractions, le délai de base est de 8 semaines.
La commission peine à tenir les délais. En 2023, la durée moyenne de procédure fut de 114 jours calendaires. En 2024, de 75 jours.
Sur ces deux années, 55 % des saisines ont dépassé le délai de 60 jours… ouvrés. C’est effectivement la métrique que retient la CNIL, arguant qu’elle seule compte du point de vue des personnes morales. La Cour des comptes rétorque que cela ne correspond pas aux règles. Et invite par conséquent la commission à réformer sa méthode de calcul.
Les circuits de diffusion de l’information auprès des DPD (délégués à la protection des données) ne sont pas toujours clairs. Selon les cas, ils sont sont ou non informés des contrôles, plaintes ou questionnaires adressés aux directions métiers.
Sur des demandes précises, il leur est difficile d’obtenir une position ferme de la CNIL. Ainsi qu’un interlocuteur unique (la permanence téléphonique peut, à l’occasion, apporter des réponses contradictoires, précise la Cour des comptes).
La relation avec les DPD se caractérise plus globalement par une logique de flux. La CNIL n’a pas les outils pour développer une vision plus stratégique. Sa base de données des DPD est incomplète. Elle est dépourvue d’une carte sur les traitements de données de l’État.
Entre 2017 et 2024, le volume annuel de plaintes adressées à la CNIL a progressé de 113 % (le nombre de plaintes recevables augmentant de 77 %). Les notifications de violation de données personnelles ont connu une croissance similaire (de 2284 en 2019 à 5629 en 2024).
Dans le même temps, le nombre d’agents chargés du suivi des plaintes a augmenté de 70 %. En parallèle, la CNIL a engagé un prestataire chargé de la préinstruction (tri des plaintes les plus simples selon 18 scénarios de réponses-types). Ce prestataire (1 personne à temps plein) a traité 3228 plaintes en 2023 puis 3450 en 2024. Coût forfaitaire : 168 564 € par an, soit 49 € par saisine en 2024. Un contrat correctement exécuté, mais dont la Cour des comptes invite à renégocier le contenu et le prix lors du renouvellement du marché en 2026.
Depuis 2022, le délai moyen de réponse définitive s’est stabilisé, à un peu plus de 6 mois. Ce qui reste relativement élevé, d’après la Cour des comptes. D’autant que si on se limite aux plaintes recevables, le délai moyen a atteint 309 jours en 2024.
Le pilotage de l’activité n’aide pas. La CNIL n’est pas en mesure de distinguer, sur l’ensemble des plaintes, celles qui font l’objet d’un traitement par la direction des contrôles et des sanctions. Elle ne comptabilise pas le nombre de rappels à la loi envoyés aux mis en cause. Et ne documente pas, dans son outil de gestion, les raisons de la clôture du dossier. Il n’est donc pas possible d’analyser de manière fiable le traitement de la majorité des plaintes recevables, en termes d’objet, de suites données et de délais de traitement.
Pas possible non plus de connaître le délai de traitement moyen des plaintes ayant donné lieu à mesure correctrice ou sanction, du fait de la dissociation des activités de plainte et de contrôle et sanction.
La présidente de la CNIL reconnaît le besoin d’intensifier le pilotage. Elle souligne que depuis mi-février, la commission bénéficie – à sa demande – d’un accompagnement de la DITP (direction interministérielle de la transformation publique).
Illustration générée par IA
The post La soutenabilité budgétaire de la CNIL questionnée appeared first on Silicon.fr.
Connexion