Le 3 septembre 2026, la CNIL a prononcé une sanction de 500 000 € contre l'Hôpital Privé de la Loire. La délibération identifie deux manquements techniques précis : l'absence d'authentification multifacteur sur les systèmes contenant des données de santé, et des contrôles d'accès insuffisants. Pour 727 000 personnes concernées, dont 524 000 patients, les données médicales circulaient dans un environnement dont les garde-fous de base n'étaient pas en place. La décision est instructive bien au-delà du secteur de la santé.
Ce que la CNIL a constaté
La brèche initiale remonte à l'été 2025. L'enquête de la CNIL a établi que l'hôpital n'avait pas déployé de MFA sur les accès aux systèmes traitant des données de santé, et que la gestion des habilitations laissait des comptes actifs sans justification métier. Ces deux failles sont documentées dans la délibération n° SAN-2026-012 publiée le 3 septembre 2026 (CNIL, délibération de la formation restreinte, 3 septembre 2026). L'autorité a conclu à une violation de l'article 32 du RGPD, qui impose de mettre en œuvre des mesures techniques appropriées compte tenu des risques que présente le traitement.
Deux éléments de cette décision méritent votre attention. D'abord, la CNIL ne sanctionne pas l'existence d'une brèche : elle sanctionne l'insuffisance des mesures préventives. La brèche est la preuve que ces mesures manquaient, pas la cause de la sanction. Ensuite, le montant retenu tient compte du chiffre d'affaires de l'établissement et du caractère sensible des données concernées. Pour une organisation de taille supérieure traitant des volumes comparables, l'exposition financière serait proportionnellement plus élevée.
Ce que l'article 32 exige concrètement
L'article 32 du RGPD n'impose pas une liste fermée de mesures. Il impose une approche par le risque : les mesures doivent être appropriées compte tenu de l'état des connaissances, du coût de mise en œuvre, de la nature des données et des risques identifiés. La CNIL a interprété cet article en indiquant que l'absence de MFA sur des systèmes contenant des données de santé ne peut pas être considérée comme une mesure appropriée en 2025-2026, au regard de la maturité de cette technologie et de son coût désormais marginal.
Ce précédent a une portée générale. Si la CNIL estime que le MFA est obligatoire dans le secteur de la santé, la même logique s'appliquera à tout traitement à risque élevé : données financières, données RH, données clients en volume. L'argument selon lequel le MFA représente une contrainte excessive pour vos utilisateurs ne constituera pas une défense recevable dans un contexte où des millions de comptes professionnels en bénéficient déjà sans friction notable.
Gestion des accès : le manquement le plus facile à documenter
Le second manquement, les contrôles d'accès insuffisants, est souvent le plus difficile à défendre face à un auditeur. Les comptes orphelins, les habilitations larges par défaut, les accès maintenus après départ d'un collaborateur : ces failles sont documentables par n'importe quel outil d'inventaire. Leur existence dans un périmètre soumis à l'article 32 RGPD indique que le programme de révision périodique des accès est absent ou inactif. La CNIL peut le constater dans les journaux système bien avant l'ouverture d'une procédure formelle.
Les exigences en matière de contrôle d'accès sous NIS2 et DORA convergent vers les mêmes pratiques. Si votre organisation a déjà conduit un chantier IAM dans le cadre de ces deux directives, les fondations pour répondre à l'article 32 RGPD sont probablement en place. Ce qui manque souvent, c'est la traçabilité : les révisions doivent être documentées, datées, et assignées à un responsable identifiable. L'article sur le contrôle d'accès IAM dans le cadre NIS2/DORA détaille les points que les auditeurs vérifient en priorité lors d'une inspection.
Trois questions à poser avant la fin du mois
Le MFA est-il actif sur l'ensemble des accès aux systèmes contenant des données à risque élevé ? Incluez les comptes de service, les accès administrateurs, et les accès distants. L'absence de MFA sur un seul compte privilégié suffit à constituer un manquement caractérisé.
Votre registre des habilitations est-il à jour ? Une révision annuelle est insuffisante si vos effectifs ou vos prestataires changent fréquemment. La pratique attendue est une révision au minimum trimestrielle, avec déclenchement automatique à chaque départ ou changement de poste.
La chaîne de responsabilité est-elle documentée ? L'article 32 impose non seulement de mettre en œuvre des mesures, mais de pouvoir en démontrer l'adéquation. Si vous ne pouvez pas produire la liste des mesures en place, leur date de déploiement, et les résultats de la dernière révision des accès, vous n'êtes pas en position de répondre à une investigation de la CNIL.
Ce que ce précédent change pour votre programme
Les délibérations de sanction de la CNIL publient désormais les mesures techniques jugées insuffisantes. Cette transparence a un effet indirect : elle fixe, en creux, le niveau minimum attendu. L'absence de MFA sur des données sensibles est désormais documentée comme insuffisante. Les contrôles d'accès non révisés le sont également. Ces deux points ne peuvent plus être traités comme des ajustements à planifier : ils constituent des risques de sanction actifs, constatables à tout moment.
Le programme de conformité RGPD de votre organisation doit intégrer ces précédents dans son évaluation des risques. Non pas comme une liste de contrôles à cocher, mais comme des indicateurs de ce que la CNIL considère comme le socle non négociable de l'article 32. Ce socle s'élève à mesure que les outils disponibles progressent et que leurs coûts diminuent. Ce qui était acceptable en 2020 ne l'est plus en 2026. La délibération SAN-2026-012 en fixe une nouvelle limite.