Fuite de données Hospices Civils de Lyon : 2 020 personnes exposées

Les Hospices Civils de Lyon (HCL) ont confirmé le 6 août 2026 une violation de données personnelles concernant 2 020 professionnels de l'établissement. L'incident ne provient pas de leur propre système d'information, mais d'un prestataire externe chez qui une base de données issue d'une migration technique réalisée en 2020 aurait été exfiltrée. Les informations exposées relèvent de l'annuaire interne : nom, prénom, photographie, fonction, identifiant professionnel et site d'affectation. Ni mot de passe, ni coordonnée bancaire, ni donnée de santé ne figurent dans le périmètre annoncé, ce qui explique une gravité estimée faible. Cette criticité limitée n'efface toutefois aucune des obligations imposées par le RGPD au responsable de traitement comme à son sous-traitant. Elle laisse surtout ouverte une question de fond, rarement posée après ce type d'incident : pourquoi une base technique constituée en 2020 restait-elle exploitable six ans plus tard ?

Que s'est-il passé : Hospices Civils de Lyon victime d'une violation de données

La chronologie communiquée reste sobre. Les HCL indiquent avoir été informés par l'un de leurs prestataires qu'un incident de cybersécurité avait touché ses infrastructures, et que le jeu de données concerné correspondait à une base historique constituée lors d'une migration technique menée en 2020. L'établissement précise que son système d'information hospitalier n'a pas été compromis, ce qui écarte les scénarios les plus redoutés dans le secteur santé : chiffrement des applications métier, indisponibilité du dossier patient informatisé ou déprogrammation d'activité.

Le vecteur d'attaque n'a pas été rendu public : ni la nature de l'intrusion, ni l'identité d'un éventuel groupe revendiquant l'opération, ni la date exacte de l'exfiltration ne sont documentées à ce stade.

Le périmètre des données, en revanche, est connu et il oriente toute l'analyse de risque. Photographie, nom, prénom, fonction, identifiant professionnel et site d'affectation forment un ensemble cohérent de données d'annuaire. Une photographie est bien une donnée personnelle, mais elle ne devient sensible au sens de l'article 9 du RGPD que si elle est traitée à des fins d'identification biométrique, ce qui n'est pas le cas ici. Le risque n'est donc ni financier ni médical : il est opérationnel.

Obligations légales RGPD pour Hospices Civils de Lyon

Cet incident est un cas d'école de la relation entre responsable de traitement et sous-traitant. Les HCL restent responsables de traitement, y compris pour des données manipulées par un tiers. Le prestataire, en qualité de sous-traitant, doit présenter les garanties de sécurité exigées par l'article 28 et notifier la violation au responsable de traitement dans les meilleurs délais, conformément à l'article 33§2. C'est cette notification qui déclenche le délai de 72 heures de l'article 33§1 pour la déclaration à la CNIL : le point de départ n'est pas la date de l'intrusion, mais celle de la prise de connaissance par le responsable de traitement.

L'article 34, qui impose l'information individuelle des personnes concernées, ne s'applique qu'en cas de risque élevé. En l'absence de données d'authentification, bancaires ou de santé, ce seuil n'est probablement pas atteint : informer les agents concernés relève ici de la bonne pratique plus que de l'obligation. L'article 33§5 s'applique en revanche sans condition de gravité : toute violation, même bénigne, doit être consignée au registre interne des violations, avec ses effets et les mesures correctives adoptées.

Le point le plus instructif est ailleurs. L'article 5§1(e) impose une limitation de la durée de conservation : une base de migration de 2020 encore exploitable en 2026 interroge directement la politique de purge des jeux de données techniques, et cette responsabilité incombe au responsable de traitement, non au prestataire.

Sur le volet sanction, une clarification s'impose. Les plafonds fréquemment cités de 2 % et 4 % sont indexés sur le chiffre d'affaires mondial d'une entreprise et ne se transposent pas à un établissement public de santé, qui n'en réalise pas ; seuls les plafonds absolus de 10 et 20 millions d'euros ont ici un sens théorique. Les établissements publics de santé sont des personnes morales distinctes de l'État et entrent donc dans le périmètre de sanction de la CNIL prévu à l'article 20-III de la loi Informatique et Libertés, l'autorité privilégiant souvent la mise en demeure lorsque la coopération est établie et le préjudice limité.

Risques pour les personnes touchées et que faire

Le jeu de données exposé ne permet de se connecter à aucun compte : sans adresse e-mail ni mot de passe, le credential stuffing n'est pas la menace centrale. La combinaison photographie, nom, fonction et site d'affectation constitue en revanche un kit d'ingénierie sociale redoutablement efficace.

Trois scénarios sont réalistes. D'abord l'usurpation d'identité professionnelle : disposer d'une photo, d'une fonction et du bon site permet de fabriquer un badge crédible ou de se présenter au téléphone comme un agent identifié. Ensuite le phishing latéral : un message citant un supérieur réel et son service franchit les défenses cognitives d'un collègue bien plus facilement qu'un courriel générique. Enfin la fraude au faux ordre de virement, où la connaissance de l'organigramme réel sert de levier de légitimité auprès des fournisseurs.

Les réflexes utiles en découlent. Vérifiez par un canal indépendant toute demande inhabituelle se réclamant d'un collègue, même lorsque l'interlocuteur cite des éléments internes exacts. Signalez les sollicitations atypiques au service sécurité plutôt que de les ignorer. Par hygiène générale, activez l'authentification multifacteur sur vos comptes et cessez de réutiliser vos mots de passe : aucun identifiant n'a fuité ici, mais un incident reste le bon moment pour corriger ces failles. En cas de préjudice constaté, toute personne concernée peut déposer une plainte auprès de la CNIL.

Enseignements pour les entreprises similaires

Cet incident illustre ce que confirment la plupart des fuites de données en France : la surface d'attaque déborde le périmètre technique maîtrisé en interne. Quatre chantiers méritent d'être priorisés.

La gouvernance des sous-traitants d'abord : cartographier les prestataires ayant accès à des données personnelles, exiger contractuellement les garanties de l'article 28, puis auditer leur application au lieu de se satisfaire d'une déclaration signée une fois. La purge des données techniques ensuite : jeux d'essai, sauvegardes de migration et exports temporaires doivent porter une date d'expiration dès leur création, sans quoi ils deviennent des passifs dormants.

Le socle technique reste indispensable : chiffrement au repos des bases contenant des données personnelles, MFA sur les accès d'administration, segmentation réseau limitant les rebonds latéraux, et tests d'intrusion couvrant explicitement les environnements hors production, historiquement les moins surveillés. Enfin, la directive NIS 2 élargit le périmètre des entités régulées et responsabilise la chaîne d'approvisionnement : les établissements de santé y figurent comme entités essentielles, et leurs prestataires se voient répercuter ces exigences par voie contractuelle.

Questions fréquentes

Que faire si vous êtes client de Hospices Civils de Lyon ?

Les HCL n'ont pas de clients au sens commercial : ils ont des patients et des agents. Le périmètre annoncé ne concerne que des professionnels, à travers des données d'annuaire interne. Si vous avez été soigné dans un établissement des HCL, aucun élément de votre dossier médical ni de votre identité patient ne figure dans le jeu de données concerné. Si vous êtes en revanche un professionnel ayant travaillé pour l'établissement, notamment autour de 2020, considérez que votre nom, votre photo et votre affectation peuvent circuler et redoublez de vigilance face aux sollicitations se réclamant de l'institution.

Hospices Civils de Lyon doit-elle notifier la CNIL ?

Oui. L'obligation de notification de l'article 33 pèse sur le responsable de traitement, même lorsque la violation survient chez un sous-traitant. Le délai de 72 heures court à compter de la connaissance de l'incident, c'est-à-dire à réception du signalement du prestataire. La faible gravité n'exonère pas de la notification : elle pèse seulement sur l'analyse du risque, donc sur l'éventuelle information individuelle prévue à l'article 34.

Comment vérifier si vos données ont été exposées ?

Aucun outil public ne permettra de tester ce jeu précis, faute d'adresse e-mail : les plateformes de vérification reposent sur cet identifiant. Le service Have I Been Pwned reste utile pour contrôler l'exposition de vos adresses dans d'autres fuites, mais il ne répondra pas à cette question. La voie fiable est l'exercice du droit d'accès de l'article 15 du RGPD auprès du délégué à la protection des données de l'établissement.