Fuite de données Centre hospitalier de Perpignan (2026) : analyse RGPD

Le Centre hospitalier de Perpignan a signalé, le 21 juillet 2026, un incident de sécurité informatique susceptible d'avoir exposé des données de patients suivis par son Service des maladies infectieuses et tropicales (SMIT). D'après les éléments rendus publics, la compromission ne viserait pas directement le système d'information hospitalier lui-même, mais une plateforme numérique externe utilisée pour la gestion des dossiers de vaccination. Les catégories de données concernées — état civil des patients, coordonnées personnelles, historique vaccinal et éléments du profil de santé — relèvent en grande partie de l'article 9 du RGPD, qui encadre strictement le traitement des données dites sensibles. L'établissement a déposé plainte. Le nombre de personnes affectées n'a pas été communiqué à ce stade. La gravité de cette violation est estimée critique : contrairement à un identifiant bancaire, une donnée de santé ne peut être révoquée ni remplacée, et son exposition produit des effets durables pour les personnes concernées.

Que s'est-il passé : Centre hospitalier de Perpignan victime d'une violation de données

L'incident a été rendu public à partir du 21 juillet 2026. Le périmètre identifié concerne les dossiers de vaccination gérés par le SMIT, un service qui suit notamment des patients atteints de pathologies infectieuses chroniques. Point déterminant sur le plan juridique comme sur le plan technique : la faille se situerait au niveau d'une plateforme opérée par un prestataire externe, et non sur l'infrastructure interne de l'hôpital. Ce schéma est devenu majoritaire dans les violations affectant le secteur santé en France, où les établissements s'appuient sur un écosystème dense de solutions métiers hébergées.

Le vecteur d'attaque précis n'a pas été détaillé publiquement. Aucun volume de dossiers n'a été confirmé, et aucune revendication par un groupe cybercriminel n'a été associée à l'incident à ce jour. Le dépôt de plainte reste, à cette heure, le seul acte procédural confirmé par l'établissement.

La sensibilité des données en jeu justifie le niveau de gravité retenu. Un statut vaccinal, croisé avec une identité et une adresse, permet d'inférer des informations médicales protégées : suivi d'une immunodépression, préparation d'un séjour en zone endémique, prise en charge d'une pathologie chronique. Cette combinaison alimente aussi bien l'ingénierie sociale ciblée que des tentatives de discrimination à l'embauche ou à l'assurance. Ce type d'incident s'inscrit dans une série documentée d'attaques visant le secteur hospitalier, que nous suivons dans notre panorama des fuites de données en France.

Obligations légales RGPD pour Centre hospitalier de Perpignan

Le fait que la brèche se situe chez un tiers ne déplace pas la responsabilité. L'hôpital demeure responsable de traitement au sens de l'article 4 du RGPD ; l'éditeur de la plateforme agit comme sous-traitant. L'article 28 impose que cette relation soit encadrée par un contrat précisant les mesures de sécurité, les conditions de sous-traitance ultérieure et les modalités d'assistance en cas d'incident. L'article 33§2 complète le dispositif : le sous-traitant doit alerter le responsable de traitement dans les meilleurs délais, mais c'est bien l'établissement qui porte l'obligation déclarative.

Concrètement, le Centre hospitalier de Perpignan dispose de 72 heures à compter de la prise de connaissance de la violation pour notifier la CNIL au titre de l'article 33. Lorsque le risque pour les droits et libertés est élevé — ce qui est présumé pour des données de santé —, l'article 34 impose en outre une communication individuelle aux personnes concernées, rédigée en termes clairs et intelligibles. L'article 33§5 exige enfin la tenue d'un registre interne des violations, documentant les faits, leurs effets et les mesures correctives adoptées, y compris pour les incidents non notifiés.

Le régime de sanctions de l'article 83 prévoit jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour un manquement aux obligations de sécurité et de notification, et jusqu'à 20 millions d'euros ou 4 % pour une violation des principes fondamentaux du traitement. Une nuance s'impose toutefois : appliquée à un établissement public de santé, la logique du pourcentage de chiffre d'affaires perd sa pertinence. En pratique, l'action de la CNIL envers les acteurs publics prend plus fréquemment la forme de mises en demeure, d'injonctions sous astreinte et de rappels à l'ordre publics — dont l'effet réputationnel et organisationnel reste significatif.

Risques pour les personnes touchées et que faire

La menace principale est le hameçonnage contextualisé. Un attaquant disposant de votre nom, de vos coordonnées et de votre historique vaccinal peut rédiger un message d'une crédibilité redoutable : faux rappel de rendez-vous au SMIT, prétendue régularisation d'un dossier de prise en charge, demande de confirmation de carte Vitale. La règle est simple : aucun établissement de santé ne réclame de coordonnées bancaires ni d'identifiants par courriel ou SMS.

Le risque d'usurpation d'identité administrative doit également être pris au sérieux, une identité complète associée à une adresse suffisant à ouvrir des comptes ou à détourner des démarches en ligne. Aucun mot de passe n'a été signalé comme exposé à ce stade ; par précaution, si vous utilisez un portail patient ou un espace de santé en ligne partageant le même mot de passe qu'un autre service, renouvelez-le et activez l'authentification à deux facteurs partout où elle est disponible, afin de neutraliser toute tentative de bourrage d'identifiants. Vous pouvez vérifier l'exposition de votre adresse électronique dans des compromissions connues via Have I Been Pwned. Surveillez vos relevés bancaires et vos remboursements d'assurance maladie. En cas de préjudice, une réclamation peut être déposée auprès de la CNIL et une plainte auprès des services de police ou de gendarmerie.

Enseignements pour les entreprises similaires

Cet incident rappelle que la surface d'attaque d'une organisation s'étend à ses fournisseurs. Trois axes s'imposent en priorité. Premièrement, la gouvernance des sous-traitants : clauses de sécurité contractuelles vérifiables, délais de notification d'incident inférieurs à 24 heures, droit d'audit effectif, cartographie à jour des flux de données confiés à des tiers. Deuxièmement, les mesures techniques : chiffrement au repos et en transit, authentification multifacteur obligatoire sur tous les accès distants et comptes à privilèges, segmentation réseau isolant les plateformes exposées, journalisation centralisée et supervisée. Troisièmement, la vérification régulière : tests d'intrusion annuels, revue des droits d'accès, exercices de gestion de crise incluant le scénario d'une compromission chez un prestataire.

La directive NIS 2, transposée en droit français, place les établissements de santé parmi les entités essentielles et impose des exigences renforcées de gestion des risques, de sécurité de la chaîne d'approvisionnement et de notification en 24 heures pour les incidents significatifs. Les entreprises fournissant ces établissements sont directement concernées par ricochet : une évaluation de conformité NIS 2 et un audit d'infrastructure constituent le point de départ raisonnable.

Questions fréquentes

Que faire si vous êtes client de Centre hospitalier de Perpignan ?

En tant que patient suivi au SMIT ou dans un autre service de l'établissement, restez attentif à toute sollicitation se réclamant de l'hôpital, de l'Assurance Maladie ou d'une mutuelle. Ne cliquez pas sur les liens reçus par courriel ou SMS : composez directement le standard de l'établissement pour vérifier une demande. Conservez les messages suspects, ils constituent des éléments de preuve utiles en cas de réclamation.

Centre hospitalier de Perpignan doit-elle notifier la CNIL ?

Oui, dès lors que la violation présente un risque pour les droits et libertés des personnes, ce qui est le cas ici compte tenu de la nature médicale des données. L'obligation pèse sur l'établissement en sa qualité de responsable de traitement, y compris lorsque l'origine de la faille se situe chez un prestataire. Le délai court à partir de la prise de connaissance des faits, et une notification en deux temps est admise lorsque tous les éléments ne sont pas encore disponibles.

Comment vérifier si vos données ont été exposées ?

Aucun outil ne permet de vérifier l'exposition d'un dossier médical spécifique. Vous pouvez en revanche contrôler la présence de votre adresse électronique dans des bases compromises connues avec Have I Been Pwned, et surtout exercer votre droit d'accès prévu par l'article 15 du RGPD en écrivant au délégué à la protection des données de l'établissement, qui doit vous répondre sous un mois.