C'est par les médias que la Commission nationale de l'informatique et des libertés (Cnil) dit avoir été informée de la publication de données médicales concernant près de 500 000 Français. L'autorité de protection des données personnelles se penche sur cette affaire et fronce les sourcils.
" Les constations préliminaires semblent indiquer qu'il s'agit effectivement d'une violation de données d'une ampleur et d'une gravité particulièrement importante, et laissent à penser que les données proviendraient de laboratoires d'analyse médicale. "
#Violation de données de santé ⚠? La CNIL rappelle les obligations des organismes à la suite d’une fuite de données massive annoncée dans les médias ? https://t.co/TerUYDGnf9 pic.twitter.com/7nnrBE5fDD
— CNIL (@CNIL) February 24, 2021
La Cnil rappelle que pour de tels incidents, une notification doit lui être faite par les organismes concernés dans les 72 heures. C'est une disposition du fameux Règlement européen sur la protection des données (RGPD). Les personnes pour lesquelles des données ont été compromises doivent également être informées.
Diverses alertes depuis plusieurs jours
En début de semaine, Libération a publié une enquête sur des informations confidentielles de 500 000 patients français dérobées à des laboratoires et diffusées en ligne. D'autres médias ont confirmé l'existence d'un fichier.
Auparavant, le site ZATAZ avait alerté sur une vente de plus de 400 000 données de patients français. Le CERT-FR a également informé le ministre de la Santé de la mise en vente sur un forum cybercriminel d'une liste de 50 000 comptes utilisateurs appartenant à des agents de centres hospitaliers. Un fichier dénommé " FR medicine related database " et vendu depuis le 4 février.
Ces informations apparaissent aussi dans un rapport de la société de cybersécurité CybelAngel spécialisée dans la surveillance du Dark Web. En particulier, une base de données présentée en tant que " 500 000 French hospital records. "
" Le fichier a 491 480 lignes en tout […]. D'après nos premières recherches, cette base de données répertorie les patients associés à leurs professionnels de santé (infirmières, médecins, pharmaciens…). Le terme Covid n'apparaît que six fois, il se peut donc que cette base de données ne soit pas directement liée aux tests de dépistage du coronavirus ", écrit CybelAngel dans son rapport.
A priori, l'exfiltration concernerait des données sur plusieurs années. Un fichier a fait l'objet d'un commerce avant d'être diffusé gratuitement.
