Piratage de données de santé : les victimes vont être prévenues, comment agir ?

Il y a dix jours, le journal Libération révélait la mise à nue des données médicales et administratives de plus de 490.000 Français dont 350.000 Bretons. Des données récupérées par des pirates d'Internet et diffusées sur le "dark web". Deux jours après ces révélations, le parquet de Paris s'est saisi du dossier et a ouvert une enquête.

Les adresses mail de 12% des patients visés auraient fuité

De son côté, la Commission nationale de l'informatique et des libertés (Cnil) a lancé des contrôles. Ce jeudi 4 mars elle indique avoir demandé, par l'intermédiaire du tribunal judiciaire de Paris, le blocage d'un site hébergeant les données de santé piratées. Les fiches des patients de 28 laboratoires ont été recueillies par les pirates.

Selon le journaliste Jean-Marc Manach, moins de 12% victimes ont vu leur adresse email divulguée. Pour autant, depuis la révélation de cette affaire, certains se sentent complètement perdus. Philippe, un Morbihannais, gère une page Facebook qui accueille les victimes potentielles ou avérées de cette fuite. "Les gens ont beaucoup d'inquiétudes et de doutes. Ils se demandent ce qui va leur arriver, contre qui ils peuvent et doivent se retourner. Tout ça est très flou." Lui et son épouse ont été victimes du piratage, c'est en tout cas ce que leur affirme le site mis en ligne par la société Acéis, quelques heures après les révélations dans la presse. Un site désactivé ce jeudi 4 mars.

Tous les laboratoires se sont signalés à la Cnil

"Nous avons fait ce choix car les laboratoires prennent le relais pour informer leur clientèle et par ailleurs ce site, même s'il ne collectait aucune donnée, flirtait entre le légal et l'illégal. Face aux recommandations de la Cnil nous avons préféré le fermer," explique Yves Duchesne, directeur général de Aceis. Le patron assure par ailleurs que les informations fournies par son site étaient fiables. "Contrairement à ce que je peux lire ici et là, les données étaient exactes."

@clcnature students learning how to extract lymph nodes from deer. These students will be manning the mandatory CWD… https://t.co/Y0DI1x6CfN

— CLC NaturalResources Thu Oct 04 12:15:05 +0000 2018

Qui croire ? Sur Internet, de nombreux Bretons font part de leurs doutes. Si vos données ont été piratées vous devriez le savoir très vite. A ce jour, tous les laboratoires visés se sont signalés à la Cnil. Ils ont maintenant pour mission de se retourner vers leurs patients. "Toutes les personnes concernées vont recevoir personnellement un courrier de notre part pour leur expliquer ce qu'il s'est passé et comment ils peuvent se protéger," confie Olivier Kerrand, le président d’Ocealab qui compte sept laboratoires dans le Morbihan. Quelques 121.669 patients de ses laboratoires sont concernés par la fuite de données.

Un courrier va être envoyé aux personnes concernées

Depuis mardi dernier, une cellule de crise a été activée dans son entreprise. Du personnel a été embauché pour répondre aux milliers de mails qui ont rempli la messagerie du laboratoire. Cela fait une semaine que le standard explose. "Nous avons mobilisé de très gros moyens pour rassurer les patients et leur répondre mais il faut qu'ils comprennent que la tâche est colossale. Nous faisons au mieux. Les courriers vont partir la semaine prochaine." Le chef d'entreprise s'est aussi rapproché d'un cabinet d'avocat spécialisé et a décidé de porter plainte contre X. A Pontivy, le laboratoire Biopole a lui aussi engagé cette démarche.

La consigne est claire, si vous ne recevez pas de message de votre laboratoire, il est inutile d'aller porter plainte auprès des gendarmes ou de la police. Dans le cas contraire, vous pouvez vous rendre en commissariat ou en gendarmerie avec le document reçu et expliquer votre démarche. "Nous avons transmis des informations dans les brigades afin que les plaintes soient prises en compte," confirme-t-on du côté du groupement de gendarmerie du Morbihan. Il est aussi possible d'écrire au procureur de la République du tribunal de grande instance de votre domicile.

Plusieurs démarches possibles

Pourquoi porter plainte ? Selon plusieurs avocats que nous avons contactés, il est possible de déposer une plainte contre X notamment sur le fondement de l'article 226-17 du code pénal pour manque de sécurisation des données. Les laboratoires pointent du doigt la société Dedalus, éditrice du logiciel dont ils étaient équipés, mais l'enquête diligentée par le parquet de Paris dira qui est responsable. Selon plusieurs spécialistes, les laboratoires pourraient eux aussi être mis en cause pour leur négligence.

"Cependant, il ne faut pas se faire beaucoup d'illusions, à moins d'une action menée par un groupe de personnes, il y a peu de chances d'espérer quelque chose de la part de justice. Si dommages et intérêts il devait y avoir, ils seraient de l'ordre d'une centaine d'euros," détaille l'avocat Bernard Lamon, spécialisé en droit de la propriété intellectuelle. Il est aussi possible d'engager des démarches administratives auprès de la Cnil.

Les données collectées pourraient servir à des personnes mal intentionnées. En cas d'usurpation d'identité ou d'escroquerie, il est évidemment nécessaire de porter plainte. Ces dernières semaines, certains Bretons ont d'ailleurs constaté des tentatives d'hameçonnage dans leurs messageries.

"Depuis 15 jours, je reçois beaucoup de mails très étranges de la part de banques, d'entreprises diverses, de Paypal, qui me demandent de régulariser des situations," confie Manuela, une Morbihannaise. Par mesure de précaution, il est recommandé aux victimes de modifier les mots de passe de ses différents comptes. Vous trouverez de nombreux conseils sur le site de la Cnil.