Édition #9 | Septembre 2026, Semaine 2

Des dossiers psychiatriques moisis en Irlande à un hacker adolescent ayant volé 700 000 dossiers de patients français, les régulateurs sévissent contre les négligences en matière d’hygiène des données. Honeywell et Telstra s’exposent à de nouvelles sanctions pour non-respect des obligations de cybersécurité et échec à prévenir les escroqueries par SIM swap.

Un hôpital français condamné à une amende de 500 000 € après une fuite de données exposant plus de 700 000 personnes

La CNIL a infligé une amende de 500 000 € à l’Hôpital privé de la Loire (HPL) pour ne pas avoir correctement protégé les données à caractère personnel des patients et de leurs proches.

Cette amende fait suite à une fuite de données survenue durant l’été 2025, qui a exposé des informations sensibles appartenant à 524 867 patients et à 202 246 tiers de confiance. Un pirate aurait accédé au système via le compte d’un médecin et aurait ainsi pu accéder à l’ensemble du système de dossiers médicaux de l’hôpital.

La CNIL a constaté plusieurs problèmes de sécurité, notamment l’absence d’authentification multifactorielle pour certains utilisateurs externes, des contrôles d’accès faibles et une surveillance insuffisante. Ces faiblesses ont permis à l'attaquant d'accéder et d'extraire une grande quantité de données pendant plusieurs jours sans être détecté.

L’autorité a également constaté que HPL n’avait pas directement informé les 202 246 tiers de confiance concernés, bien que l’hôpital ait informé ses patients. Un hacker adolescent utilisant le pseudonyme «Marak» a revendiqué l’attaque et aurait tenté de vendre les données volées entre 2 000 et 5 000 €.

HPL a renforcé ses mesures de sécurité pendant l’enquête de la CNIL. Les infractions concernaient les articles 32 et 34 du Règlement général sur la protection des données (RGPD) de l’Union européenne.

Honeywell Aerospace devra payer 2,04 M$ pour non-conformité aux exigences de cybersécurité

Honeywell Aerospace Inc. a accepté de verser 2,04 millions de dollars (environ 1,76 million d’euros) pour régler les allégations selon lesquelles elle n’aurait pas respecté les exigences en matière de cybersécurité dans le cadre d’un contrat avec le ministère américain de la Défense, a annoncé le ministère américain de la Justice.

Honeywell Aerospace, basée à Phoenix, en Arizona, fournit des produits et services aérospatiaux aux clients gouvernementaux et commerciaux.

Les allégations concernent une unité d’Honeywell qui, entre avril 2020 et décembre 2023, n’a pas respecté les normes de cybersécurité stipulées dans la norme NIST SP 800-171 de l’Institut national des normes et de la technologie (NIST). Ces exigences s’appliquaient à l’un des réseaux d’Honeywell.

Cet accord met fin aux réclamations intentées en vertu du False Claims Act, qui permet aux lanceurs d'alerte d'intenter une action en justice au nom du gouvernement. Un ancien employé de Honeywell ayant déposé la plainte recevra $375 823 (323 700 €) au titre de ce règlement.

Le plus grand opérateur télécom australien condamné à une amende de 277 000 AUD pour échec à la protection des clients contre les escroqueries

Telstra, le principal opérateur de télécommunications d’Australie, a été sanctionné d’une amende de A$277 000 (environ €171 700) pour n’avoir pas correctement protégé ses clients contre les escroqueries.

L'Autorité australienne des communications et des médias (ACMA) a constaté que Telstra n'avait pas effectué les vérifications d'identité requises lors de 15 swaps de cartes SIM non autorisés. Un swap de carte SIM permet à un client de remplacer une carte SIM ou une eSIM existante, mais les escrocs peuvent exploiter ce processus pour accéder au numéro de téléphone et aux comptes d'une victime.

L'enquête a également mis au jour 13 cas dans lesquels le personnel de Telstra n'avait pas appliqué les mesures de protection supplémentaires contre la fraude pour des clients ayant signalé leurs préoccupations ou identifiés comme à risque.

Outre l’amende, Telstra a accepté de prendre des engagements exécutoires visant à renforcer ses procédures de prévention de la fraude et à améliorer la formation de son personnel.

Cette enquête fait suite à une précédente mesure d'exécution de l'ACMA à l'encontre de Telstra pour des infractions similaires. Il s'agit de la septième action dans le cadre de la lutte stricte du régulateur contre la fraude sur les numéros mobiles, les opérateurs de télécommunications ayant versé à ce jour plus de 5 millions de dollars d'amendes.

HSE condamné à une amende de 645 000 € après la découverte de dossiers médicaux dans de mauvaises conditions

L'Exécutif des services de santé (HSE), qui assure les services de santé publique en Irlande, s'est vu infliger une amende de 645 000 € après la découverte de dossiers médicaux dans de mauvaises conditions dans deux anciens hôpitaux psychiatriques.

La Commission irlandaise de protection des données (DPC) a ouvert une enquête après qu'une personne a eu un accès non autorisé à des dossiers papier à l'hôpital St. Loman de Mullingar et à l'hôpital St. Conal de Letterkenny.

Au cours de ses inspections, la DPC a constaté que des dossiers étaient endommagés par la moisissure et l'eau, recouverts de gravats et d'excréments d'animaux, ou gravement affectés par des conditions de stockage inadéquates. Certains dossiers étaient conservés dans des salles de bains désaffectées, des pièces sans chauffage ni éclairage, et même dans un conteneur.

La DPC a effectué 12 inspections dans tout le pays et a constaté que les problèmes n'étaient pas des incidents isolés. Elle a indiqué que le HSE n'avait pas correctement protégé les données à caractère personnel contenues dans des dossiers papier.

Le HSE a accepté les conclusions et a indiqué que des travaux sont en cours pour résoudre les problèmes. La DPC a également ordonné au HSE de mener un audit complet de ses installations de stockage.

Un fabricant roumain de cosmétiques amendé de 5 000 € après une cyberattaque

Gerocossen SRL, un important fabricant roumain de cosmétiques, s’est vu infliger une amende de 5 000 € après qu’une cyberattaque a exposé les données personnelles de ses clients. L’Autorité nationale de contrôle du traitement des données à caractère personnel (ANSPDCP) de Roumanie a constaté que Gerocossen avait enfreint l’article 32, paragraphe 1, point b), et l’article 32, paragraphe 2, du Règlement général sur la protection des données (RGPD) de l’UE.

L'entreprise a été sanctionnée d'une amende de 26 236,50 lei, soit l'équivalent de 5 000 €. L'enquête a débuté après que Gerocossen a notifié l'autorité d'une fuite de données à caractère personnel, conformément à l'article 33 du RGPD.

Selon l’ANSPDCP, la cyberattaque visait l’infrastructure informatique de l’entreprise et a entraîné un accès ou une divulgation non autorisés de données à caractère personnel, notamment des informations d’identification et des coordonnées.

L’autorité a constaté que Gerocossen n’avait pas mis en place des garanties de sécurité adéquates, notamment des mesures visant à protéger la confidentialité et l’intégrité de ses systèmes de traitement des données, en violation de l’article 32(1)(b) et de l’article 32(2).

Outre l’amende, l’ANSPDCP a ordonné à l’entreprise, en vertu de l’article 58(2)(d) du RGPD, de mettre en place des systèmes de surveillance et de journalisation des accès à son infrastructure informatique. Les journaux d’accès doivent être conservés pendant au moins 30 jours et sauvegardés.

Dans une autre affaire, le régulateur roumain a infligé une amende de 15 728 lei (environ 3 000 €) au titre du RGPD au concessionnaire automobile Poliserv JG (PJG) SRL après une attaque par hameçonnage ayant compromis les identifiants d'un compte administrateur. Les attaquants ont utilisé ces identifiants volés pour accéder aux données personnelles des clients, y compris au moins leurs nom et prénom.

Prochaines étapes:

• Demandez une démonstration gratuite du produit ou un devis
• Inscrivez-vous à nos webinaires et formations produits.
• Lisez notre blog hebdomadaire Cybercrime Investigations.
• Suivez-nous sur LinkedIn, X, Telegram et WhatsApp
• Abonnez-vous à notre Newsletter
• Rejoignez notre programme de partenariat