Vos dossiers patients valent de l'or : ce qu'une cyberattaque coûte vraiment à une clinique de jour
Une donnée de santé se revend plus cher qu'un numéro de carte bancaire. Voici pourquoi votre clinique est visée et ce qui se déclenche en cas d'attaque.
- Les données de santé sont des données sensibles au sens du RGPD : leur vol expose la clinique à des sanctions de la CNIL, à des notifications obligatoires et à la perte de confiance des patients.
- Une clinique sans bloc est une cible de choix : logiciel de gestion de patientèle, agenda en ligne, objets connectés et personnel non spécialisé en sécurité informatique.
- Au-delà de la rançon, le coût réel d'une attaque vient de l'arrêt d'activité, de la reconstitution des données, de la notification et de la gestion de crise.
- L'hébergement des données de santé impose des obligations spécifiques (HDS) dont le non-respect aggrave la responsabilité en cas de fuite.
Pourquoi une clinique ambulatoire est une cible privilégiée
On imagine les cyberattaques réservées aux grands hôpitaux ou aux multinationales. La réalité du terrain est inverse : les structures de santé de taille moyenne, comme les cliniques de jour, sont devenues des cibles de premier choix. La raison est froidement économique.
D'abord, la valeur de la donnée. Sur les marchés clandestins, un dossier médical complet se revend nettement plus cher qu'un simple numéro de carte bancaire. Il contient une identité, un historique de santé, parfois des coordonnées bancaires et des informations exploitables pour de l'usurpation ou du chantage. Une patientèle de quelques milliers de dossiers représente donc un butin substantiel.
Ensuite, la surface d'attaque. Une clinique ambulatoire moderne fonctionne avec un logiciel de gestion de patientèle, un agenda de rendez-vous en ligne, des terminaux de paiement, des postes partagés, parfois des dispositifs médicaux connectés et une messagerie ouverte sur l'extérieur. Chaque brique est une porte d'entrée potentielle.
Enfin, la pression au paiement. Une clinique paralysée ne peut plus accueillir ses patients : l'urgence de rétablir l'activité pousse à céder à la rançon. Les attaquants le savent et ciblent précisément les structures où l'arrêt est intenable.
Le rançongiciel : anatomie d'une journée de paralysie
Le scénario le plus redouté est le rançongiciel, ce logiciel qui chiffre l'ensemble des fichiers et réclame une rançon pour les libérer. Déroulons une journée type pour mesurer l'onde de choc dans une clinique de jour.
8 h : le secrétariat allume les postes. Écran noir, message de rançon. Le logiciel de patientèle est inaccessible. Plus aucun dossier patient n'est consultable : antécédents, traitements en cours, allergies, comptes rendus. L'agenda du jour a disparu.
9 h : les patients arrivent pour leurs rendez-vous. Impossible de savoir qui était attendu, ni pour quel soin. Les actes nécessitant l'historique médical doivent être reportés. La sécurité des soins elle-même est compromise.
Journée : la clinique tourne au ralenti ou ferme. Chaque heure d'arrêt représente des actes non facturés et des patients à reprogrammer. Le personnel passe en gestion de crise au lieu de soigner.
Le coût visible, c'est la rançon. Le coût réel, c'est l'arrêt d'exploitation, la reconstitution des données, l'intervention d'experts en sécurité, la notification aux patients et le temps de retour à la normale — souvent plusieurs semaines.
Et payer la rançon ne garantit ni la restitution des données, ni qu'elles n'ont pas déjà été copiées et revendues. La fuite, elle, est définitive.
Vos obligations légales quand des données de santé fuient
Une cyberattaque sur une clinique n'est pas qu'un incident technique : elle déclenche un faisceau d'obligations légales dont le non-respect aggrave lourdement la situation.
Le RGPD classe les données de santé parmi les données sensibles, soumises à une protection renforcée. En cas de violation susceptible d'engendrer un risque pour les personnes, vous devez notifier la CNIL dans les 72 heures, et informer les patients concernés lorsque le risque est élevé. Le manquement à ces obligations expose à des sanctions financières significatives.
L'hébergement des données de santé (HDS) impose que ces données soient hébergées chez un prestataire certifié. Une clinique qui stocke ses dossiers dans un environnement non conforme voit sa responsabilité aggravée en cas de fuite.
Le signalement des incidents de sécurité aux autorités sanitaires complète le dispositif pour les structures de soins. À cela s'ajoute le risque réputationnel : la révélation d'une fuite de données médicales érode durablement la confiance des patients, dont la fidélité est le premier actif d'une clinique.
Gérer cette cascade d'obligations en pleine crise, sans accompagnement, est hors de portée de la plupart des structures.
Ce que couvre une assurance cyber pour une structure de soins
Une assurance cyber ne se résume pas à rembourser une rançon. Pour une clinique, elle joue surtout le rôle de cellule de crise prête à l'emploi, ce qui fait toute la différence quand l'activité est à l'arrêt.
Les volets typiquement attendus pour une structure de santé :
- L'assistance technique d'urgence : intervention d'experts pour identifier l'attaque, contenir la propagation, restaurer les systèmes et les données.
- La prise en charge des pertes d'exploitation liées à l'interruption d'activité pendant la paralysie.
- L'accompagnement juridique et réglementaire : gestion de la notification CNIL, information des patients, relations avec les autorités.
- La gestion de la communication de crise pour limiter l'impact réputationnel.
- La couverture des recours de patients dont les données ont été compromises.
La cyber se combine utilement avec une multirisque professionnelle qui protège le volet matériel et l'exploitation. Pour une vue d'ensemble des risques propres à votre structure, notre page assurance clinique sans bloc opératoire recense les garanties à articuler. Le point clé : une clinique ne se demande plus si elle sera visée, mais quand, et si elle saura répondre.
Questions fréquentes
Parce que le rapport effort/gain est meilleur pour les attaquants. Les structures de taille moyenne disposent de données de santé à forte valeur de revente mais sont souvent moins protégées et moins dotées en compétences cybersécurité qu'un grand établissement. L'urgence de rétablir l'activité y rend aussi le paiement de rançon plus probable.
Pas de façon garantie. Rien n'assure que les attaquants fourniront la clé de déchiffrement, ni que les données n'ont pas déjà été copiées et revendues avant le chiffrement. La fuite reste définitive. Les autorités déconseillent généralement le paiement, qui alimente l'économie criminelle sans résoudre le risque réglementaire.
Le RGPD impose de notifier la CNIL dans les 72 heures en cas de violation à risque, et d'informer les patients concernés si le risque est élevé. Les données de santé doivent par ailleurs être hébergées chez un prestataire certifié HDS. S'ajoutent le signalement aux autorités sanitaires et un fort enjeu réputationnel. Le non-respect de ces obligations aggrave les sanctions.
Non, et c'est même rarement son rôle principal. Elle finance surtout l'assistance technique d'urgence, la restauration des systèmes, les pertes d'exploitation liées à l'arrêt, l'accompagnement juridique pour les notifications obligatoires, la communication de crise et les recours des patients. Pour une clinique, c'est une cellule de crise prête à l'emploi.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Clinique sans bloc opératoire — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Clinique sans bloc opératoire →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.