Un ordinateur volé dans son cabinet, 1 900 dossiers patients exposés : le sinistre RGPD qui a coûté 47 000 € à une orthoptiste

Un week-end de novembre, le cabinet d'une orthoptiste installée en libéral dans une ville moyenne est cambriolé. Le butin des malfaiteurs est dérisoire : un ordinateur portable de bureau, une imprimante et un peu de petite monnaie laissée dans un tiroir. Sur le plan matériel, le préjudice se chiffre à quelques centaines d'euros, remboursés par l'assurance du local. Le vrai sinistre est ailleurs.

L'ordinateur emporté contenait le logiciel métier et, surtout, une base de 1 900 dossiers patients : noms, dates de naissance, numéros de Sécurité sociale, comptes rendus de bilans orthoptiques, prescriptions, parfois des éléments cliniques sur des enfants suivis pour amblyopie ou strabisme. Le disque dur n'était pas chiffré. La sauvegarde, elle, existait — mais sur un disque externe rangé dans le même tiroir, lui aussi disparu.

Dès lors, il ne s'agit plus d'un vol de matériel mais d'une violation de données de santé. Et pour ce type de données, particulièrement sensibles au sens du RGPD, le cadre est strict et les délais courts.

Le matériel volé valait 600 €. La gestion de la fuite de données qu'il contenait a coûté soixante-dix fois plus.

L'orthoptiste découvre alors que sa responsabilité de responsable de traitement ne disparaît pas parce qu'elle est victime du vol. La CNIL cherche à établir le « degré de responsabilité » du professionnel au regard de sa conformité : un poste non chiffré contenant des données de santé est précisément le manquement qui aggrave le dossier.

Le RGPD impose au responsable de traitement de notifier toute violation de données présentant un risque à la CNIL dans un délai de 72 heures après en avoir pris connaissance. Pour des données de santé, ce risque est considéré comme quasi systématique. La notification n'est donc pas une option à débattre : c'est une obligation, et son absence est elle-même une faute sanctionnable, indépendamment du vol.

Mais ce n'est pas tout. Lorsque la violation est susceptible d'engendrer un risque élevé pour les personnes — ce qui est le cas d'un fichier patients non chiffré entre des mains inconnues — il faut aussi informer individuellement chaque patient concerné. Pour 1 900 personnes, cela représente un travail considérable : courriers, gestion des appels inquiets, explications sur les risques d'usurpation d'identité.

Voici, schématiquement, la séquence imposée :

• Heure 0 à 72 h : qualification de la violation, rédaction et dépôt de la notification CNIL.
• Jours suivants : information individuelle des 1 900 patients, avec mention de la nature des données, des risques et des mesures prises.
• En parallèle : reconstitution de la base à partir de sauvegardes plus anciennes, sécurisation du nouveau poste, dépôt de plainte.
• Sur plusieurs mois : suivi du dossier CNIL, réponses aux éventuelles demandes d'instruction.

Seule, sans cellule de crise ni expertise juridique, une praticienne libérale ne peut tenir ces délais correctement. C'est là qu'intervient — ou non — l'assurance.

Reconstituons le coût complet de l'incident, hors amende administrative (qui peut s'y ajouter et atteindre des montants bien supérieurs). Les ordres de grandeur ci-dessous sont représentatifs d'un sinistre de cette ampleur pour un cabinet libéral.

Aucun de ces postes n'est couvert par une assurance responsabilité civile professionnelle classique : la RC Pro indemnise le préjudice causé à un tiers par une faute professionnelle, pas la gestion d'une crise de données dont vous êtes la victime. Le remboursement du matériel volé, lui, relève au mieux de la garantie du local ou d'un contrat dédié au matériel informatique — mais il ne couvre que les 600 € de l'ordinateur, pas les 47 000 € de conséquences.

Deux leviers, l'un technique, l'autre assurantiel, transforment radicalement l'issue de ce sinistre.

Le chiffrement. Si le disque dur et la sauvegarde avaient été chiffrés, les données auraient été techniquement inexploitables par les voleurs. Le RGPD prévoit explicitement que la notification individuelle aux personnes n'est pas requise lorsque les données étaient protégées par des mesures rendant l'information incompréhensible, comme le chiffrement. La campagne d'information des 1 900 patients — le poste le plus lourd — aurait pu être évitée, et le dossier CNIL considérablement allégé. Le chiffrement d'un poste de cabinet est aujourd'hui gratuit et intégré aux systèmes d'exploitation courants.

La garantie cyber. Une assurance cyber dédiée ne se limite pas à indemniser : elle déclenche une cellule de gestion de crise. Concrètement, dès l'appel à la hotline, l'orthoptiste se voit attribuer un expert technique, un avocat spécialisé en données personnelles et un prestataire de notification. Les 72 heures deviennent tenables. Les frais listés plus haut sont pris en charge, et la défense devant la CNIL est assurée.

Le chiffrement supprime l'obligation de notifier les patients. La garantie cyber paie et pilote tout le reste. Les deux ensemble font passer un sinistre à 47 000 € sous la barre des frais maîtrisés.

Pour un cabinet d'orthoptie qui manipule chaque jour des données de santé d'enfants et d'adultes, ces deux mesures ne sont plus des options de confort : ce sont les fondations d'un exercice serein. Pour comprendre l'ensemble des risques propres à votre métier, consultez notre fiche dédiée à l'orthoptiste.