Données de santé piratées : ce qu'un dispensaire doit faire dans les 72 heures d'une fuite

Un dispensaire ne manipule pas n'importe quelles données. Le dossier patient informatisé contient des données de santé : pathologies, traitements, résultats d'examens, statut vaccinal, parfois informations sur la situation sociale ou administrative de personnes en situation de précarité. Le droit européen classe ces données dans une catégorie particulière, bénéficiant d'une protection renforcée, parce que leur divulgation peut causer un préjudice grave et durable à la personne.

À cette dimension réglementaire s'ajoute une dimension déontologique : le secret médical. Une fuite de dossiers n'est pas seulement une infraction à la réglementation sur les données personnelles ; c'est aussi une atteinte au secret qui protège la relation de soin. Un patient dont le statut sérologique, une pathologie psychiatrique ou une addiction se retrouverait exposé subit un préjudice qui dépasse de loin le simple désagrément informatique.

Cette double sensibilité — donnée de santé protégée et secret médical — fait du système d'information du dispensaire un actif critique et juridiquement à haut risque. Sa compromission ne se gère pas comme une panne informatique ordinaire : elle déclenche un cadre légal exigeant et un compte à rebours.

Lorsqu'une violation de données survient — accès non autorisé, vol, fuite, chiffrement par un rançongiciel — le dispensaire, en tant que responsable de traitement, est soumis à des obligations précises et urgentes.

1. Notifier la CNIL. La violation doit en principe être notifiée à l'autorité de contrôle dans les 72 heures après en avoir pris connaissance, sauf si elle est peu susceptible d'engendrer un risque pour les droits et libertés des personnes. Ce délai très court suppose d'avoir, en amont, identifié qui pilote la réponse et comment.
2. Informer les patients concernés. Lorsque la violation est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes — ce qui est fréquemment le cas pour des données de santé — les patients doivent être informés individuellement, dans les meilleurs délais.
3. Documenter la violation. Toute violation, même non notifiée, doit être consignée dans un registre interne : nature des faits, données touchées, mesures prises. Ce registre est exigé par la réglementation et peut être contrôlé.

Le piège pour un dispensaire est le facteur temps. 72 heures, c'est très court quand il faut simultanément comprendre l'étendue de l'attaque, contenir l'incident, identifier les patients concernés et rédiger une notification conforme — le tout en pleine crise opérationnelle.

Le non-respect de ces obligations expose à des sanctions administratives significatives, qui s'ajoutent au préjudice de réputation et à la perte de confiance des patients. La maîtrise de ce délai ne s'improvise pas : elle se prépare.

Parmi les menaces, le rançongiciel (ou ransomware) est devenu le cauchemar des structures de santé. Le principe : un logiciel malveillant chiffre l'ensemble des fichiers du système — dossiers patients, agenda, logiciel métier — et les rend inaccessibles. Les attaquants exigent une rançon pour fournir la clé de déchiffrement, et menacent souvent de publier les données volées.

Les établissements de soins sont une cible de choix pour une raison cynique : leur activité ne peut pas s'arrêter. Un dispensaire privé de son système d'information ne peut plus accéder aux dossiers, planifier les soins, ni assurer la continuité de la prise en charge. Cette pression à la reprise rapide rend la victime plus encline à céder — ce qui n'est pourtant ni recommandé ni une garantie de récupération.

Un tel incident cumule plusieurs dommages : interruption d'activité (le dispensaire tourne au ralenti, voire à l'arrêt), violation de données (déclenchant les obligations de notification vues plus haut), coût de restauration du système, et atteinte à la réputation. C'est un sinistre global, qui touche à la fois l'outil de travail, la conformité réglementaire et la confiance des patients. Aucune garantie classique ne le couvre : ni la RC Pro, ni la multirisque professionnelle ne sont conçues pour ce risque numérique.

La conformité réglementaire et la sécurité technique vont de pair. Un dispensaire réduit fortement son exposition par quelques mesures d'hygiène numérique, qui sont aussi les premières questions que posera un assureur cyber :

• Les sauvegardes régulières et isolées. Des sauvegardes fréquentes, déconnectées du réseau, permettent de restaurer les dossiers sans céder à une rançon. C'est la mesure la plus efficace contre un rançongiciel.
• Les mises à jour et le chiffrement. Maintenir à jour les logiciels et chiffrer les données de santé limite à la fois l'intrusion et l'exploitation des données en cas de vol.
• La gestion des accès. Mots de passe robustes, authentification renforcée, droits limités au strict nécessaire : un dossier patient ne doit être accessible qu'aux personnes habilitées, dans le respect du secret médical.
• La sensibilisation de l'équipe. La majorité des intrusions commence par un courriel piégé. Une équipe formée à repérer l'hameçonnage est une barrière déterminante.
• Le plan de réponse à incident. Savoir, avant la crise, qui contacter, comment notifier la CNIL et informer les patients dans les délais : c'est ce qui permet de tenir le compte à rebours de 72 heures.

Ces mesures ne suppriment pas le risque — aucune sécurité n'est absolue — mais elles le réduisent et conditionnent souvent l'accès à une couverture cyber dans de bonnes conditions.

Face à un risque qui mêle obligations réglementaires strictes, paralysie de l'activité et atteinte au secret médical, l'assurance cyber est la réponse dédiée. Là où la RC Pro couvre les dommages causés aux patients par les soins et la multirisque protège les biens, la cyber prend en charge le risque numérique, que ni l'une ni l'autre ne couvrent.

Concrètement, une assurance cyber adaptée à un dispensaire intervient sur plusieurs fronts : l'assistance en gestion de crise (mobilisation d'experts en sécurité pour identifier et contenir l'attaque), l'accompagnement juridique pour respecter les obligations de notification à la CNIL et d'information des patients dans les délais, la restauration des systèmes et des données, la prise en charge des pertes d'exploitation liées à l'interruption d'activité, et la gestion de l'éventuel volet réputationnel.

Pour une structure de soins, cet accompagnement opérationnel vaut autant que l'indemnisation : en pleine crise, disposer immédiatement d'experts et d'un cadre de réponse fait la différence entre un incident maîtrisé en quelques jours et une paralysie prolongée. Pour dimensionner une couverture cyber cohérente avec le volume et la sensibilité des dossiers patients que vous gérez, consultez notre page assurance dispensaire.