Données de santé des curistes : pourquoi un établissement thermal est une cible cyber

On associe spontanément la cybersécurité aux banques, aux e-commerçants ou aux industriels. On oublie qu'un établissement thermal ou de thalassothérapie est, du point de vue des données, un établissement de santé. Pour chaque curiste, il manipule un dossier qui va bien au-delà d'un simple fichier client : prescription médicale de cure, orientation thérapeutique (rhumatologie, voies respiratoires, phlébologie, dermatologie, affections psychosomatiques), pathologies traitées, contre-indications, données de prise en charge par l'Assurance maladie pour les cures conventionnées.

Le Règlement général sur la protection des données (RGPD) classe les données concernant la santé parmi les catégories particulières de données, dont le traitement est encadré beaucoup plus strictement et dont la fuite est considérée comme particulièrement grave. À cela s'ajoutent les données de paiement, les coordonnées complètes, parfois des informations sur les accompagnants. Un établissement de taille moyenne peut ainsi détenir, sur plusieurs années, les dossiers médicaux de dizaines de milliers de curistes.

Cette concentration de données sensibles change la nature du risque. Là où une fuite de coordonnées commerciales est un incident gênant, une fuite de données de santé est une violation grave, génératrice d'obligations légales immédiates et de réclamations potentielles de la part des personnes concernées.

Les données de santé sont parmi les plus recherchées sur les marchés clandestins, pour une raison simple : elles sont durables et exploitables. Un numéro de carte bancaire est invalidé en quelques heures après une fuite ; un dossier médical, lui, ne se change pas. Il permet l'usurpation d'identité, la fraude à l'Assurance maladie, le chantage ciblé ou la revente à des tiers. C'est ce qui explique que les établissements de soins, au sens large, soient devenus une cible de prédilection des groupes de rançongiciels.

Le mode opératoire typique combine deux pressions. L'attaquant chiffre vos systèmes — logiciel de gestion des curistes, planning des soins, facturation — paralysant l'activité. Et il exfiltre les données avant de les chiffrer, menaçant de les publier si la rançon n'est pas payée : c'est la double extorsion. Pour un établissement thermal, l'impact est triple :

• Opérationnel : impossible d'accéder aux dossiers, de planifier les soins, de facturer. L'activité s'arrête.
• Réputationnel : la publication de données médicales de curistes est un désastre de confiance.
• Juridique : la violation déclenche des obligations RGPD et ouvre la voie aux réclamations.

Une violation de données de santé expose l'établissement à deux types de conséquences financières distinctes, qui peuvent se cumuler.

D'abord, la dimension réglementaire. En cas de violation susceptible d'engendrer un risque pour les personnes, le RGPD impose de notifier la CNIL, en principe dans les 72 heures, et d'informer les curistes concernés lorsque le risque est élevé — ce qui est presque toujours le cas avec des données de santé. La CNIL peut prononcer des sanctions financières significatives, en tenant compte de la gravité, du caractère sensible des données et des mesures de sécurité en place. Un défaut de sécurité caractérisé sur des données de santé est précisément le type de manquement que le régulateur sanctionne lourdement.

Ensuite, la dimension civile. Les curistes dont les données ont fuité peuvent demander réparation du préjudice subi — préjudice moral lié à la divulgation d'informations médicales intimes, préjudice né d'une usurpation d'identité ou d'une fraude. Quand des milliers de dossiers sont concernés, ces réclamations peuvent se regrouper et atteindre des montants considérables.

À ces deux fronts s'ajoute le coût caché : la paralysie de l'activité, l'expertise technique pour restaurer les systèmes, la communication de crise et le temps de direction mobilisé pendant des semaines.

Beaucoup d'exploitants pensent être couverts par leur multirisque professionnelle. C'est une erreur fréquente : la multirisque classique indemnise les dommages matériels — incendie, dégât des eaux, bris de matériel — et la perte d'exploitation qui en découle. Elle n'a pas vocation à couvrir un sinistre purement immatériel comme une cyberattaque : ni la rançon, ni la restauration des systèmes, ni les sanctions et réclamations liées à la violation de données.

C'est précisément le rôle d'une assurance cyber. Selon les contrats, elle intervient sur plusieurs volets :

L'enjeu n'est pas seulement financier : en cas d'attaque, l'accès immédiat à des experts techniques et juridiques, à toute heure, fait souvent la différence entre une crise maîtrisée et un naufrage. Un matériel informatique sécurisé et à jour reste par ailleurs le premier rempart — son renouvellement régulier relève d'une couverture dédiée au matériel distincte de la cyber.

L'assurance cyber n'a de sens qu'adossée à une hygiène numérique sérieuse — qui est d'ailleurs souvent une condition de garantie. Quelques priorités concrètes pour un établissement thermal :

1. Cartographier les données de santé : savoir où sont stockés les dossiers de cure, qui y accède, et limiter les accès au strict nécessaire. Le RGPD impose la minimisation et la sécurisation de ces données sensibles.
2. Sauvegarder hors ligne : des sauvegardes régulières, testées et déconnectées du réseau, sont la meilleure parade contre un rançongiciel. Sans elles, payer la rançon devient une tentation dangereuse.
3. Sécuriser les accès : authentification forte sur le logiciel de gestion des curistes, mots de passe robustes, mises à jour de sécurité appliquées sans délai.
4. Former le personnel : la majorité des intrusions commencent par un e-mail piégé ouvert par un collaborateur. La sensibilisation au hameçonnage est l'investissement au meilleur rendement.
5. Désigner un référent et un plan de réponse : qui contacter, comment notifier la CNIL dans les 72 heures, comment déclencher le contrat cyber.

Pour replacer le risque numérique dans l'ensemble des expositions de votre métier, consultez notre page assurance établissement thermal ou thalassothérapie.