Point Vision a récemment révélé qu’un de ses prestataires chargé de la gestion et de l’organisation des rendez-vous a subi une cyberattaque. Un accès non autorisé a permis à un tiers de consulter ou de télécharger certaines données de patients. L’incident concerne l’environnement informatique du prestataire et non les systèmes médicaux propres à Point Vision. Le principal risque identifié est celui de campagnes d’hameçonnage ciblées et d’usurpation d’identité utilisant les informations dérobées pour inspirer confiance aux victimes.
Les données potentiellement compromises comprennent au minimum les nom et prénom, la date de naissance, les coordonnées (adresse postale, adresse électronique, numéro de téléphone) et certains échanges relatifs à l’organisation des rendez-vous.
Les investigations n’ont pas permis de confirmer que les mots de passe des comptes ou les motifs de rendez-vous ont été consultés. Toutefois, cette hypothèse ne peut être totalement exclue, certaines traces d’activité ayant été supprimées ! Les motifs de rendez-vous pourraient, le cas échéant, révéler des informations relatives à la santé des personnes concernées.
À la suite de l’incident, l’entreprise a suspendu certains accès du prestataire, renouvelé les moyens d’authentification, renforcé sa surveillance, demandé des mesures complémentaires à son hébergeur de données de santé et décidé de réinitialiser les mots de passe des comptes de prise de rendez-vous par précaution.
Cette situation constitue une violation de données à caractère personnel au sens de l’article 4.12 du RGPD, puisqu’il est question d’un accès non autorisé à des données permettant d’identifier des personnes physiques. Le fait que l’incident touche un sous-traitant ne décharge pas le responsable de traitement (Point Vision) de ses obligations. En l’espèce, Point Vision demeure responsable du traitement des données de ses patients, tandis que le prestataire agit comme sous-traitant.
A la suite de cette violation de données, Point Vision semble avoir engagé une démarche cohérente avec les exigences des articles 33 et 34 du RGPD relatives à la notification des violations de données personnelles à l’autorité de contrôle et à la communication aux personnes concernées lorsque le risque est élevé. Cependant, plusieurs questions demeurent :
- L’encadrement du sous-traitant Le RGPD impose au responsable de traitement de sélectionner des sous-traitants présentant des garanties suffisantes en matière de sécurité (article 28). Cette affaire pourrait conduire à s’interroger sur les mesures techniques et organisationnelles réellement mises en œuvre chez le prestataire et sur les audits qu’aurait du exercer Point Vision.
- La protection de données potentiellement sensibles Même si les dossiers médicaux ne semblent pas avoir été atteints, les motifs de rendez-vous et certains échanges peuvent indirectement révéler des informations relatives à la santé. Les données de santé bénéficient d’une protection renforcée au titre de l’article 9 du RGPD. L’incertitude sur l’étendue exacte de la fuite accroît donc la gravité potentielle de l’incident.
- Le principe d’accountability Le RGPD exige que l’organisation soit en mesure de démontrer sa conformité. À ce titre, Point Vision devra documenter l’incident, les analyses réalisées, les décisions prises et les mesures correctrices mises en œuvre afin de pouvoir justifier auprès de la CNIL des mesures prises pour gérer cette violation.
- La maîtrise de la chaîne de sous-traitance Cette affaire illustre une problématique récurrente : la sécurité globale d’un traitement dépend souvent davantage du maillon le plus faible de l’écosystème que du responsable de traitement lui-même. Les cyberattaques visant des prestataires deviennent un vecteur majeur de compromission des données personnelles.
D’un point de vue RGPD, cette actualité illustre parfaitement les enjeux de gouvernance des sous-traitants et de cybersécurité dans le secteur de la santé. La compromission de données d’identité et de contact de patients constitue un incident sérieux. Les patients ont besoin d’avoir confiance dans la gestion de leurs données personnelles qu’ils confient aux acteurs de la santé. Pour Point Vision, la perte de confiance est un risque majeur.
Le rôle du DPO : avant, pendant et après la crise
Cette affaire illustre également l’importance stratégique du Délégué à la protection des données (DPO). Notre intervention ne se limite pas à la gestion de l’incident une fois celui-ci survenu.
- En amont, le DPO contribue à réduire le risque en veillant à la conformité des relations avec les sous-traitants. Il participe à l’évaluation des garanties offertes par les prestataires, à la rédaction des clauses contractuelles prévues par l’article 28 du RGPD, à la mise en place de procédures de gestion des violations de données et à la sensibilisation des équipes aux enjeux de sécurité et de protection des données. Son action permet également d’identifier les traitements les plus sensibles et d’anticiper les scénarios de crise.
- Pendant la crise, le DPO joue un rôle de coordination et de conseil. Il accompagne le responsable de traitement dans l’analyse de la violation, l’évaluation des risques pour les personnes concernées, la détermination des obligations de notification à l’autorité de contrôle et la communication à destination des personnes impactées. Il veille également à ce que les décisions prises soient documentées conformément au principe d’accountability et que les mesures correctrices soient adaptées à la nature de l’incident.
- Après la crise, le DPO participe au retour d’expérience. Il contribue à identifier les défaillances organisationnelles ou techniques ayant favorisé l’incident, à renforcer les mesures de sécurité, à revoir les procédures internes et, le cas échéant, à réévaluer la pertinence du recours à certains sous-traitants. Cette phase est essentielle pour démontrer une démarche d’amélioration continue de la conformité et de la gestion des risques.
Au-delà de son rôle juridique premier, le DPO est un véritable acteur de la gouvernance des risques numériques, capable de faire le lien entre les exigences réglementaires, les impératifs opérationnels et les enjeux de cybersécurité.