Dossiers oncologiques piratés : le scénario que les cancérologues ne peuvent plus ignorer
Diagnostics, génomique tumorale, télésuivi : l'oncologue manipule les données que les pirates revendent le plus cher. Guide de survie.
- Un dossier médical complet se revend jusqu'à 20 à 50 fois plus cher qu'un numéro de carte bancaire sur les places de marché criminelles ; un dossier oncologique, avec génomique et pronostic, est au sommet de cette hiérarchie.
- L'oncologie multiplie les points d'entrée : dossier communicant de cancérologie, fiches RCP partagées, applications de télésuivi des chimiothérapies orales, échanges avec les laboratoires.
- En cas de violation, le RGPD impose une notification à la CNIL sous 72 heures et, pour des données aussi sensibles, une information individuelle des patients presque systématique.
- L'assurance cyber couvre la gestion de crise, la notification, la reconstitution des données et la responsabilité vis-à-vis des patients — ce que la RC Pro médicale ne fait pas.
Pourquoi les données d'oncologie valent si cher
Sur les places de marché criminelles, un identifiant bancaire volé se négocie quelques euros. Un dossier médical complet, entre 100 et 350 dollars selon les études de sociétés de cybersécurité. La raison est simple : une carte se remplace en 48 heures, un historique médical est irrévocable. Il alimente l'usurpation d'identité, la fraude à l'assurance et, plus sordide, le chantage.
Le dossier oncologique cumule tous les attributs qui font monter les enchères : diagnostic engageant le pronostic vital, profil génomique tumoral (et parfois constitutionnel, avec ses implications familiales), traitements coûteux, données psychiatriques associées. C'est exactement le type d'information qu'un patient ne veut voir divulgué à aucun prix — employeur, banque, entourage — ce qui en fait un levier d'extorsion idéal.
Les attaques contre les centres de lutte contre le cancer et les cliniques ne relèvent plus de l'hypothèse : plusieurs établissements français de cancérologie ont subi des rançongiciels avec exfiltration de données ces dernières années, et les cabinets libéraux, moins défendus, sont des cibles de report naturelles.
Les points d'entrée propres à l'exercice oncologique
L'oncologue libéral ou exerçant en clinique n'est pas un utilisateur informatique comme les autres. Sa pratique repose sur un maillage d'échanges numériques dense :
- Le dossier communicant de cancérologie (DCC) et les fiches RCP, partagés entre établissements, radiothérapeutes, anatomopathologistes : chaque interconnexion est une surface d'attaque ;
- Le télésuivi des chimiothérapies orales : applications de recueil de symptômes, questionnaires patients, alertes de toxicité — souvent éditées par des start-up dont le niveau de sécurité est inégal ;
- Les résultats de biologie moléculaire transmis par messagerie avec les plateformes de génomique ;
- Le poste de travail du secrétariat, porte d'entrée historique des rançongiciels via une pièce jointe piégée imitant un compte rendu ou une demande de RCP.
Dans un cabinet d'oncologie, la question n'est pas de savoir si un maillon est exposé, mais lequel cédera en premier.
Un chiffre à garder en tête : selon la CNIL, le secteur de la santé figure chaque année parmi les trois premiers secteurs notifiants de violations de données, et la majorité des incidents ont pour origine un simple hameçonnage.
Vos obligations quand la violation survient : le compte à rebours de 72 heures
Le RGPD ne laisse aucune place à l'improvisation. Dès que vous avez connaissance d'une violation de données — chiffrement par rançongiciel, exfiltration, clé USB perdue, mauvais destinataire — trois obligations s'enclenchent :
- Notifier la CNIL sous 72 heures lorsque la violation présente un risque pour les personnes : avec des données d'oncologie, ce seuil est presque toujours franchi ;
- Informer individuellement les patients lorsque le risque est élevé — divulgation d'un diagnostic de cancer, de données génétiques : là encore, l'exemption sera rare ;
- Documenter l'incident dans un registre interne : chronologie, périmètre, mesures prises, même si la notification n'est pas requise.
Les manquements coûtent cher : la CNIL a déjà sanctionné des professionnels de santé libéraux pour défaut de chiffrement et de notification, avec des amendes de plusieurs milliers à plusieurs dizaines de milliers d'euros — sans compter le contentieux civil des patients dont l'intimité a été exposée, et l'atteinte réputationnelle, particulièrement destructrice quand la patientèle est adressée par des confrères.
Prévenir, et transférer ce qui ne peut pas l'être
La prévention de base est connue mais mérite d'être adaptée à l'oncologie : messagerie sécurisée de santé pour tout échange nominatif, chiffrement des postes et des sauvegardes, sauvegarde déconnectée testée régulièrement, double authentification sur le logiciel métier et le DCC, et une vigilance particulière sur les applications de télésuivi : exigez de l'éditeur un hébergement certifié données de santé et une convention de sous-traitance RGPD en bonne et due forme, car en cas de fuite chez lui, c'est votre responsabilité de responsable de traitement qui est engagée en première ligne.
Reste le risque résiduel, celui qu'aucun pare-feu n'élimine. C'est le rôle de l'assurance cyber : assistance de crise 24/7 (négociateur, informaticiens légistes), prise en charge de la notification CNIL et de l'information des patients, reconstitution des données, perte d'exploitation pendant l'indisponibilité du système, et volet responsabilité civile si des patients demandent réparation. Des garanties distinctes de la RC médicale, qui ne couvre que l'acte de soin — les deux se complètent, comme le détaille notre fiche dédiée aux oncologues.
Questions fréquentes
Non. La RC Pro médicale couvre les dommages liés aux actes de prévention, de diagnostic et de soins. La gestion d'un rançongiciel, la notification CNIL, la reconstitution des données et la responsabilité liée à une fuite relèvent d'un contrat cyber distinct.
Oui, en tant que responsable de traitement, vous restez l'interlocuteur de la CNIL et de vos patients, même si la faille est chez l'éditeur (sous-traitant). Vous pourrez ensuite vous retourner contre lui, d'où l'importance du contrat de sous-traitance RGPD.
Les autorités françaises le déconseillent formellement : le paiement ne garantit ni la restitution ni la non-divulgation, et finance la filière. La bonne réponse est une sauvegarde déconnectée restaurable et une assistance de crise, généralement incluse dans l'assurance cyber.
Oui. Les attaques sont largement automatisées et opportunistes : les pirates ciblent les structures les moins défendues, pas les plus grosses. Un cabinet libéral détenant des dossiers oncologiques combine forte valeur des données et faible niveau de protection.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Oncologue (cancérologue) — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Oncologue (cancérologue) →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.