Un disque dur volé, 1 200 dossiers patients dans la nature : reconstitution d'un sinistre cyber à 74 000 €
L'ordinateur du cabinet a disparu un week-end, avec 1 200 dossiers patients non chiffrés. Reconstitution d'un sinistre à 74 000 €.
- Les bilans, comptes rendus et coordonnées que conserve un orthophoniste sont des données de santé : leur fuite déclenche des obligations RGPD strictes, indépendamment de toute faute professionnelle de soin.
- Le sinistre type n'est pas le piratage spectaculaire mais le banal vol d'un ordinateur ou d'une clé USB non chiffrés : la donnée part avec le matériel.
- Le coût réel cumule notification à la CNIL et aux patients, expertise, reconstitution des dossiers et défense, bien au-delà de la valeur du matériel volé.
- La garantie cyber prend en charge la gestion de crise, l'expertise et les frais de notification ; le chiffrement du poste reste votre première protection.
Le sinistre : un cambriolage ordinaire, une catastrophe réglementaire
Reconstituons un cas représentatif des situations que rencontrent les cabinets libéraux. Une orthophoniste exerce seule dans un cabinet de centre-ville. Comme beaucoup de consœurs, elle centralise son activité sur un ordinateur portable : logiciel de gestion de patientèle, comptes rendus de bilans, courriers aux médecins prescripteurs, photos d'exercices, et un tableur de coordonnées. Le tout, sur un disque dur non chiffré, simplement protégé par un mot de passe de session Windows.
Un week-end, le cabinet est cambriolé. Outre du petit matériel, l'ordinateur portable disparaît. Sur le moment, la praticienne pense « pertes matérielles » et songe à racheter une machine. Ce qu'elle n'a pas mesuré, c'est que le vrai sinistre n'est pas le matériel à 900 €, mais ce qu'il contenait : environ 1 200 dossiers patients, dont des données de santé sur des enfants et des adultes suivis pour des troubles du langage, de la déglutition ou de la cognition.
Un mot de passe de session ne chiffre rien : il suffit d'extraire le disque pour lire l'intégralité des fichiers. Juridiquement, l'orthophoniste fait face à une violation de données à caractère personnel portant sur des données sensibles. Et le compte à rebours réglementaire commence.
Pourquoi les dossiers d'un orthophoniste sont des données « sensibles »
Beaucoup de praticiens sous-estiment la nature de ce qu'ils manipulent au quotidien. Un orthophoniste ne traite pas de simples coordonnées : il consigne des informations relatives à la santé de ses patients, qui constituent une catégorie particulière de données au sens du RGPD, soumise à un niveau de protection renforcé.
Concrètement, sont concernés :
- les comptes rendus de bilan et conclusions diagnostiques ;
- les courriers échangés avec les médecins prescripteurs ou les autres soignants ;
- les notes de séance, observations cliniques et plans de soins ;
- les éléments concernant des mineurs, qui appellent une vigilance supplémentaire ;
- parfois des enregistrements audio ou vidéo à visée d'évaluation.
La gravité d'une violation ne se mesure pas au nombre de fichiers, mais à leur sensibilité. Mille dossiers de santé exposés pèsent, en risque réglementaire et humain, infiniment plus lourd que mille adresses e-mail commerciales.
Cette qualification change tout : en cas de fuite susceptible d'engendrer un risque élevé pour les personnes, l'orthophoniste doit non seulement notifier l'autorité de contrôle, mais aussi informer individuellement les patients concernés. Sur une patientèle d'enfants, cela signifie contacter des centaines de familles pour leur annoncer que les données de santé de leur enfant ont pu être exposées.
Décomposition d'un préjudice à 74 000 €
Le coût d'une violation de données de santé ne se résume jamais au matériel perdu. Il s'empile en postes successifs, dont chacun se chiffre. Voici comment se décompose un sinistre type sur ce cabinet.
| Poste | Nature | Ordre de grandeur |
|---|---|---|
| Expertise et investigation technique | Déterminer l'étendue exacte de la fuite | 9 000 € |
| Gestion de la notification | Déclaration à l'autorité de contrôle, accompagnement juridique | 11 000 € |
| Information des patients | Courriers individuels, hotline, gestion des appels | 14 000 € |
| Reconstitution des dossiers | Ressaisie depuis sauvegardes partielles et archives papier | 16 000 € |
| Défense et réclamations de patients | Conseil juridique, indemnisations éventuelles | 22 000 € |
| Matériel volé | Rachat du poste de travail | 2 000 € |
On atteint environ 74 000 €, dont le matériel volé ne représente qu'une fraction négligeable. L'essentiel du coût naît de la gestion de la crise informationnelle : prévenir, expliquer, reconstituer, se défendre. Pour une praticienne en libéral, un tel montant absorbé seul met directement en péril la viabilité du cabinet.
Le rôle de la garantie cyber dès les premières heures
Face à ce type d'événement, la différence entre une orthophoniste couverte et une praticienne seule se joue dans les toutes premières heures. La garantie cyber et atteinte aux données est conçue précisément pour ces situations, là où une assurance générique du cabinet montre vite ses limites.
Une couverture cyber adaptée intervient sur plusieurs fronts simultanés :
- L'assistance de crise dès la déclaration : une cellule prend la main pour cadrer la réponse, plutôt que de laisser la praticienne improviser seule.
- L'expertise technique pour établir l'étendue réelle de la violation et les obligations qui en découlent.
- Les frais de notification à l'autorité de contrôle et l'information des personnes concernées.
- La défense et la prise en charge des réclamations des patients qui s'estimeraient lésés.
Au-delà de l'indemnité finale, c'est l'accompagnement opérationnel qui change l'issue : savoir quoi déclarer, dans quel délai et à qui, évite que la maladresse de gestion ne vienne aggraver le manquement initial. Pour situer cette garantie dans l'ensemble de votre protection, consultez notre page assurance orthophoniste.
Réduire le risque : trois réflexes qui changent tout
La meilleure couverture ne dispense pas de réduire la probabilité du sinistre. Sur ce risque précis, la prévention est largement à votre portée et, surtout, votre capacité à démontrer que vous aviez pris des mesures raisonnables pèse directement sur l'appréciation de votre responsabilité.
- Chiffrez vos postes et supports. Un disque chiffré rendu inexploitable par le vol fait souvent basculer l'événement : la donnée volée est illisible, ce qui peut dispenser d'avoir à notifier les personnes. C'est la mesure au rapport coût-bénéfice le plus élevé.
- Sauvegardez ailleurs, et testez la restauration. Une copie chiffrée hors site vous évite de devoir reconstituer les dossiers à la main, le poste le plus lourd du sinistre reconstitué.
- Cloisonnez les accès et limitez la conservation. Purgez les données dont vous n'avez plus besoin et n'emportez en déplacement que le strict nécessaire.
Ces réflexes ne sont pas qu'une protection juridique : ce sont des gestes professionnels qui réduisent réellement votre exposition. Couplés à une garantie cyber calibrée sur la sensibilité de vos dossiers, ils transforment un sinistre potentiellement fatal pour le cabinet en un incident maîtrisé.
Questions fréquentes
Oui. Les comptes rendus de bilan, conclusions diagnostiques, notes de séance, courriers aux médecins et observations cliniques sont des données relatives à la santé. Elles constituent une catégorie particulière de données au sens du RGPD, soumise à une protection renforcée. Leur fuite déclenche des obligations spécifiques, indépendamment de toute faute dans le soin lui-même.
Si la fuite est susceptible d'engendrer un risque élevé pour les personnes, vous devez notifier l'autorité de contrôle et informer individuellement les patients concernés. Sur une patientèle d'enfants, cela implique de contacter les familles. Le chiffrement du poste peut, en rendant les données illisibles, atténuer ces obligations : c'est l'une des raisons majeures de chiffrer son matériel.
Une garantie classique peut indemniser le matériel volé, mais c'est une fraction négligeable du préjudice. Le cœur du coût — expertise, notification, information des patients, reconstitution des dossiers, défense — relève de la garantie cyber et atteinte aux données, conçue pour gérer la violation elle-même et non le seul objet dérobé.
Chiffrez vos postes et supports amovibles, ce qui rend la donnée illisible en cas de vol ; conservez une sauvegarde chiffrée hors site et testez sa restauration ; limitez la conservation aux dossiers nécessaires et n'emportez en déplacement que l'indispensable. Ces mesures réduisent la probabilité et l'ampleur du sinistre, et démontrent votre vigilance en cas de contrôle.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Orthophoniste — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Orthophoniste →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.