Télésuivi des biothérapies : quand le cabinet de rhumatologie devient une cible cyber
Questionnaires DAS28 en ligne, dossiers patients, ransomware : le risque cyber du rhumatologue décrypté, obligations RGPD comprises.
- Le rhumatologue gère des données de santé particulièrement sensibles : biothérapies, sérologies, scores d'activité, comorbidités — une cible de choix pour les rançongiciels.
- Le télésuivi des patients sous biothérapie (questionnaires DAS28/BASDAI, applications, télésurveillance remboursée) multiplie les points d'entrée numériques du cabinet.
- En cas de violation, le RGPD impose une notification à la CNIL sous 72 heures et, si le risque est élevé, l'information individuelle des patients.
- Un incident coûte typiquement 30 000 à 80 000 € à un cabinet libéral : l'assurance cyber transfère ce risque et fournit l'assistance de crise.
Pourquoi un cabinet de rhumatologie intéresse les attaquants
La santé est, année après année, le secteur le plus touché par les violations de données notifiées à la CNIL. Et le cabinet de rhumatologie concentre des données d'une sensibilité supérieure à la moyenne des spécialités : diagnostics de maladies chroniques (polyarthrite rhumatoïde, spondyloarthrite), traitements par biothérapies et leur historique, sérologies pré-thérapeutiques (hépatites, VIH, quantiféron), comorbidités, données de biologie itératives.
Ces informations relèvent des catégories particulières de données de l'article 9 du RGPD : leur simple divulgation peut nuire au patient (assurabilité, emploi, vie privée), ce qui en fait un levier de chantage efficace. Les attaquants ne visent pas « le docteur X » : leurs robots balayent des milliers d'adresses IP et de boîtes mail à la recherche du maillon faible — un serveur de logiciel métier exposé, un poste de secrétariat sans mise à jour, un mot de passe réutilisé. La taille du cabinet ne protège de rien ; elle ne fait que réduire les défenses.
Le scénario type : un lundi matin, l'agenda est vide
Le schéma observé chez les professionnels de santé libéraux est remarquablement constant :
- Vendredi 18 h : la secrétaire ouvre une pièce jointe imitant un résultat de laboratoire. Le code malveillant s'installe silencieusement.
- Week-end : l'attaquant explore le réseau, exfiltre le fichier patients, puis chiffre serveur et sauvegardes connectées.
- Lundi 8 h : logiciel métier inaccessible, agenda illisible, demande de rançon de 15 000 € en cryptomonnaie sur tous les écrans.
Le cabinet fonctionne alors en mode dégradé : consultations sans antécédents ni historique de biothérapies (avec le risque clinique que cela comporte), ordonnances manuscrites, rendez-vous perdus. Sur les dossiers analysés dans le secteur libéral de santé, le coût complet — reconstruction informatique, jours d'activité perdus, accompagnement juridique, notification — s'établit couramment entre 30 000 et 80 000 €, sans compter l'atteinte à la réputation locale si le fichier patients est publié.
RGPD et données de santé : le compte à rebours de 72 heures
Dès la découverte de l'incident, le rhumatologue — responsable de traitement — entre dans un calendrier réglementaire strict :
| Échéance | Obligation |
|---|---|
| Immédiatement | Documenter la violation dans le registre interne, contenir l'incident |
| 72 heures | Notification à la CNIL si la violation présente un risque pour les personnes |
| Sans délai excessif | Information individuelle des patients si le risque est élevé (données de santé exfiltrées : c'est presque toujours le cas) |
S'y ajoutent le signalement des incidents significatifs sur le portail national de cybersécurité en santé et, en cas de rançongiciel, le dépôt de plainte — devenu une condition d'indemnisation de la rançon depuis la loi LOPMI de 2023.
Payer la rançon ne fait disparaître ni l'obligation de notifier, ni celle d'informer les patients : les données ont été compromises, point. C'est l'erreur d'analyse la plus fréquente chez les praticiens touchés.
Les manquements exposent à des sanctions CNIL pouvant atteindre 20 M€ ou 4 % du chiffre d'affaires — des montants pensés pour les grands groupes, mais la CNIL a déjà sanctionné des médecins libéraux à hauteur de plusieurs milliers d'euros pour défaut de sécurisation.
Télésuivi et applications : les angles morts contractuels
La rhumatologie s'est fortement numérisée : questionnaires d'activité (DAS28, BASDAI) remplis en ligne avant la consultation, applications d'auto-suivi des patients sous biothérapie, télésurveillance médicale entrée dans le droit commun du remboursement en 2023, messagerie avec les patients, téléexpertise avec les confrères. Chaque brique ajoute un flux de données de santé… et une question de responsabilité :
- Qui héberge ? Toute donnée de santé stockée pour votre compte doit l'être chez un hébergeur certifié HDS ; exigez la mention au contrat de l'éditeur.
- Qui est sous-traitant ? Un contrat conforme à l'article 28 du RGPD doit lier le cabinet à chaque éditeur d'application ou de plateforme de télésuivi.
- Quelles messageries ? Les échanges contenant des données patients passent par MSSanté, pas par une boîte grand public.
- Qui répond en cas de fuite chez l'éditeur ? Vous restez responsable de traitement vis-à-vis de vos patients, même si la faille est chez le prestataire — vous vous retournerez ensuite contre lui.
Ce dernier point surprend toujours : externaliser l'outil n'externalise pas la responsabilité.
Se protéger : hygiène numérique et transfert du risque
Les mesures à fort rendement pour un cabinet libéral tiennent en peu de lignes : sauvegarde déconnectée testée régulièrement, double authentification sur la messagerie et le logiciel métier, mises à jour systématiques, sensibilisation du secrétariat au phishing, mots de passe uniques gérés par un gestionnaire. Ces mesures réduisent la probabilité ; elles n'annulent jamais le risque résiduel.
C'est là qu'intervient l'assurance cyber, qui apporte deux choses distinctes :
- Une assistance de crise 24/7 : experts en réponse à incident, juristes RGPD pour tenir le délai de 72 heures, communication, restauration des systèmes — c'est souvent la valeur principale du contrat ;
- Une indemnisation : pertes d'exploitation, frais de reconstitution des données, frais de notification aux patients, et responsabilité civile si des patients ou des tiers vous mettent en cause après la fuite.
Pour un cabinet de rhumatologie, la prime se situe typiquement entre 400 et 900 € par an — à rapprocher des 30 000 à 80 000 € d'un incident moyen. Le panorama complet des couvertures utiles à la spécialité est disponible sur notre fiche assurance du rhumatologue.
Questions fréquentes
La certification HDS de l'hébergeur est une obligation, pas une immunité. Vous restez responsable de traitement vis-à-vis de vos patients : en cas de violation, c'est à vous de notifier la CNIL et d'informer les personnes concernées, avant d'exercer un recours contre le prestataire défaillant.
Si des données de santé ont été exfiltrées ou sont susceptibles de l'avoir été, le risque pour les personnes est presque toujours qualifié d'élevé : l'information individuelle des patients est alors obligatoire, en plus de la notification CNIL sous 72 heures. Une assurance cyber prend en charge l'organisation et le coût de cette information.
Oui. Un score d'activité de la maladie, relié à un patient identifiable, est une donnée de santé relevant de l'article 9 du RGPD. La plateforme qui les collecte doit être hébergée chez un prestataire certifié HDS et liée au cabinet par un contrat de sous-traitance conforme.
Certains contrats le prévoient, sous conditions strictes — depuis la loi LOPMI, l'indemnisation d'une rançon suppose un dépôt de plainte dans les 72 heures du paiement. Mais l'essentiel de la valeur du contrat est ailleurs : assistance de crise immédiate, restauration des systèmes, gestion RGPD et perte d'exploitation.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Rhumatologue — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Rhumatologue →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.