Violation de données au cabinet : que faire, qui prévenir ?

En cas de violation de données au cabinet (ordinateur volé, boîte mail piratée, rançongiciel), agissez dans cet ordre : sécurisez ce qui peut encore l'être en coupant les accès et en changeant les mots de passe, évaluez quelles données patients sont touchées, notez tout par écrit, puis déterminez si l'incident présente un risque pour les personnes concernées. Si c'est le cas, une notification à la CNIL est généralement à envisager dans un délai court (souvent évoqué autour de 72 heures), et les patients concernés doivent parfois être informés à leur tour. Comme les délais et les modalités exacts peuvent évoluer, vérifiez-les toujours directement auprès de la CNIL avant d'agir. Cet article vous donne un déroulé chronologique simple à suivre, même sous stress, et détaille les trois scénarios les plus fréquents au cabinet.

Une violation de données, c'est quoi au cabinet ?

Avant de savoir quoi faire, encore faut-il reconnaître une violation quand elle se produit. Beaucoup de praticiens imaginent un piratage spectaculaire, alors que la majorité des incidents sont banals et involontaires.

La définition en une phrase

Une violation de données personnelles, c'est tout événement qui aboutit à ce que des données soient perdues, détruites, modifiées, ou exposées à des personnes qui ne devraient pas y avoir accès. Cela couvre autant le vol volontaire que la maladresse. Au cabinet, les données concernées sont particulièrement sensibles : identité, coordonnées, motifs de consultation, antécédents, comptes rendus, factures.

Des exemples très concrets

La liste des situations qui comptent comme une violation est plus large qu'on ne le pense :

• Un ordinateur portable ou une tablette contenant des dossiers patients est volé dans la voiture ou au cabinet.
• Une clé USB de sauvegarde est égarée entre le domicile et le cabinet.
• Votre boîte mail professionnelle est piratée après un clic sur un faux message.
• Un rançongiciel chiffre l'ensemble de vos fichiers et réclame une somme pour les débloquer.
• Vous envoyez par erreur un compte rendu au mauvais patient.

Certains de ces incidents sont mineurs et n'entraîneront aucune démarche, d'autres exigent une réaction rapide. La difficulté, sur le moment, est de faire le tri sans paniquer.

Les premières heures : le déroulé à suivre

C'est le cœur du sujet. Sous le stress, on saute des étapes ou on agit dans le désordre. Le but des premières heures n'est pas de tout régler, mais de limiter les dégâts et de garder des traces. Suivez ces trois temps.

Heure zéro : sécuriser, sans effacer

Votre premier réflexe est de stopper l'hémorragie. Selon l'incident :

• Coupez l'accès concerné : déconnectez la machine du réseau et d'internet, changez immédiatement le mot de passe de la boîte mail ou du compte touché depuis un autre appareil sain.
• Activez la double authentification partout où c'est possible.
• Ne payez rien et ne cliquez sur aucun lien en cas de rançongiciel.
• N'effacez pas et ne réinstallez pas dans la précipitation : ces éléments peuvent servir de preuve et à comprendre ce qui s'est passé.

L'objectif de cette première heure est simple : empêcher que la fuite continue, tout en préservant l'état des lieux.

Les 24 premières heures : évaluer et contenir

Une fois l'accès sécurisé, prenez le temps d'établir un premier bilan, même approximatif :

• Quelles données ont pu être touchées (une seule fiche, tout le fichier patients, uniquement des rendez-vous) ?
• Combien de personnes sont potentiellement concernées ?
• Les données étaient-elles chiffrées ou protégées par un mot de passe solide ?
• L'incident est-il terminé ou toujours en cours ?

En parallèle, prévenez les bonnes personnes : votre associé, votre secrétaire, votre prestataire informatique et, si vous en avez désigné un, votre délégué à la protection des données. Pour un rançongiciel ou un piratage caractérisé, un dépôt de plainte peut aussi être envisagé.

Documenter au fil de l'eau

C'est l'étape la plus négligée et la plus utile. Dès la première heure, ouvrez un simple document (ou une note papier) et consignez, avec l'heure :

• Ce que vous avez constaté et quand.
• Les mesures prises, dans l'ordre.
• Les personnes contactées.

Ce journal de bord vous servira à décider s'il faut notifier, à remplir une éventuelle déclaration et à prouver votre sérieux plus tard. Compter dix minutes pour poser ces éléments par écrit vous en fera gagner beaucoup ensuite.

Faut-il prévenir la CNIL ?

C'est la question qui angoisse le plus. La réponse tient en un principe, assortie d'une réserve importante sur les délais.

Le principe : notifier si l'incident présente un risque

La règle générale : une violation doit être notifiée à la CNIL dès lors qu'elle est susceptible d'engendrer un risque pour les droits et libertés des personnes concernées. Pour des données de santé, ce risque est vite atteint. À l'inverse, si les données étaient solidement chiffrées et donc illisibles, l'analyse peut différer. Dans le doute, considérez qu'une notification est probablement nécessaire, puis vérifiez-le.

Le délai souvent évoqué : à confirmer auprès de la CNIL

On cite fréquemment un délai de l'ordre de 72 heures après avoir pris connaissance de la violation. Retenez ce repère comme un signal d'urgence : ces démarches se comptent en heures, pas en semaines. Mais ne vous fiez pas à ce chiffre de mémoire le jour venu : les délais précis, les seuils et la procédure exacte doivent être vérifiés directement sur le site de la CNIL, qui met à disposition un téléservice de notification et un guide dédié. C'est la seule source qui fait foi.

Comment notifier concrètement

La CNIL propose une procédure de notification en ligne : vous y décrivez la nature de la violation, le nombre approximatif de personnes touchées, les conséquences probables et les mesures prises. Si vous ne disposez pas de tout dans les premières heures, notifiez une première fois puis complétez. C'est aussi pour cela que le journal de bord vaut de l'or.

Faut-il aussi prévenir vos patients ?

La notification à la CNIL et l'information des patients sont deux démarches distinctes qu'il ne faut pas confondre.

Quand l'information des personnes s'impose

Lorsque la violation présente un risque élevé pour les personnes concernées, vous devez en principe informer les patients touchés, en plus de la CNIL. Un fichier de dossiers de santé exposé en clair relève typiquement de ce cas. L'information doit être claire, sans jargon, et indiquer ce qui s'est passé, les conséquences possibles et ce que la personne peut faire pour se protéger.

Comment formuler le message

Restez factuel sans minimiser. Un message court par courrier, courriel sécurisé ou téléphone suffit souvent : expliquez la nature de l'incident, les données concernées, les mesures prises, et invitez le patient à rester vigilant face à des messages suspects se faisant passer pour le cabinet. Là encore, appuyez-vous sur les recommandations de la CNIL.

Trois scénarios et les bons réflexes

Pour aller vite le jour venu, voici un récapitulatif des trois cas les plus fréquents et de la première action à mener. Ce tableau ne remplace pas la vérification auprès de la CNIL, il vous aide à ne pas perdre les premières minutes.

Incident	Premier geste	Risque principal	Notification CNIL à envisager
Vol ou perte d'ordinateur, tablette, clé USB	Changer les mots de passe des comptes accessibles, tenter un effacement à distance	Lecture des dossiers si l'appareil n'est pas chiffré	Oui, surtout si non chiffré
Boîte mail ou compte piraté	Changer le mot de passe depuis un appareil sain, activer la double authentification	Accès aux échanges et usurpation d'identité	Oui, selon les données exposées
Rançongiciel	Isoler la machine du réseau, ne rien payer, appeler un professionnel	Perte des données et divulgation	Oui, cas généralement grave

Vol ou perte de matériel

Le vol d'un ordinateur portable dans une voiture est l'un des scénarios les plus courants. Tout se joue sur un point : le contenu était-il chiffré ? Si le disque est chiffré et l'appareil protégé par un mot de passe solide, le voleur revend le plus souvent une machine sans jamais lire vos données. Si rien n'était protégé, considérez que les dossiers sont lisibles : changez sans attendre les mots de passe des services accessibles depuis l'appareil, lancez un effacement à distance si vous l'aviez configuré, et déposez plainte. Le remplacement du matériel représente souvent plusieurs centaines d'euros, à comparer au coût du chiffrement, nul sur la plupart des ordinateurs récents.

Boîte mail ou compte piraté

Une boîte mail professionnelle piratée est particulièrement sensible : elle contient des pièces jointes et sert de porte d'entrée pour réinitialiser d'autres comptes. Dès le constat, changez le mot de passe depuis un autre appareil, activez la double authentification, vérifiez les règles de transfert automatique que l'attaquant a pu créer, et prévenez vos correspondants qu'un message frauduleux a pu partir en votre nom. C'est aussi le bon moment pour cesser d'échanger des données de santé par courriel classique et adopter une messagerie sécurisée de santé.

Rançongiciel

Le rançongiciel est le scénario le plus lourd : vos fichiers deviennent illisibles et une rançon est réclamée. La consigne est constante : ne payez pas (le paiement ne garantit rien et alimente le système) et isolez immédiatement la machine du réseau. Appelez un professionnel et signalez l'attaque via les dispositifs publics dédiés. Une sauvegarde récente, stockée séparément, fait toute la différence entre une journée perdue et un cabinet à l'arrêt pendant une semaine.

Après la crise : réduire le risque durablement

Une fois l'incident géré, l'enjeu est d'éviter le suivant. La bonne nouvelle : quelques mesures simples couvrent l'essentiel des cas.

Les mesures de base qui évitent 90 % des drames

• Chiffrez les disques de vos ordinateurs et téléphones (fonction native, gratuite).
• Utilisez des mots de passe uniques et robustes, gérés dans un gestionnaire de mots de passe.
• Activez la double authentification sur la boîte mail et les logiciels métier.
• Sauvegardez régulièrement, avec une copie hors ligne ou hébergée séparément.
• Tenez à jour votre registre des traitements et une liste de vos prestataires.

Le rôle de vos outils

Où vivent vos données compte autant que la façon dont vous les protégez. Un dossier patient stocké dans un fichier local non sauvegardé, ou dans une messagerie grand public, multiplie les points de fragilité. Un logiciel de cabinet pensé pour la conformité RGPD centralise les informations, les protège et les sauvegarde à votre place. Pour des données de santé, la question de l'hébergement certifié HDS est un point à vérifier auprès de chaque éditeur.

C'est la logique de Komper : l'agenda et les rappels de rendez-vous, le dossier patient, la facturation avec relances d'impayés, les demandes d'avis Google et l'assistant IA qui rédige vos comptes rendus reposent sur une base centralisée et sauvegardée, plutôt que sur des fichiers éparpillés entre un ordinateur, une clé USB et une boîte mail. Vous réduisez ainsi le nombre d'endroits où une fuite peut survenir. Aucun outil ne rend un cabinet invulnérable, mais concentrer et sauvegarder les données change l'ampleur d'un éventuel incident.

FAQ

Que faire en premier en cas de violation de données au cabinet ?

Sécurisez l'accès touché : coupez la machine du réseau ou changez le mot de passe compromis depuis un appareil sain. Notez l'heure et ce que vous constatez. Ne payez rien et n'effacez rien dans la précipitation. Vous déciderez ensuite, à tête reposée, s'il faut notifier la CNIL.

Quel est le délai pour notifier une violation de données ?

On évoque fréquemment un ordre de grandeur de 72 heures après avoir pris connaissance de la violation, mais ce repère doit être confirmé au cas par cas auprès de la CNIL, seule source officielle. Retenez surtout l'idée d'urgence : ces démarches se comptent en heures.

Mon ordinateur volé était-il un problème s'il était protégé par mot de passe ?

Un simple mot de passe de session protège peu si le disque n'est pas chiffré, car les données restent extractibles. Si le disque était chiffré, le risque est bien plus faible. C'est pourquoi le chiffrement du disque, gratuit sur les appareils récents, est la première protection à activer.

Faut-il prévenir les patients concernés ?

Oui lorsque la violation présente un risque élevé pour eux, par exemple l'exposition en clair de dossiers de santé. L'information doit être claire, indiquer ce qui s'est passé, les conséquences possibles et les précautions à prendre. La CNIL publie des recommandations sur son contenu.

Un rançongiciel : faut-il payer pour récupérer mes dossiers ?

Non. Le paiement ne garantit pas la récupération des données et encourage ces attaques. Isolez la machine, faites appel à un professionnel, signalez l'attaque et restaurez à partir d'une sauvegarde saine. C'est la raison pour laquelle une sauvegarde régulière et séparée est indispensable.

En résumé

Le jour d'une violation de données, votre valeur ajoutée n'est pas de connaître la loi par cœur, mais de réagir dans le bon ordre : sécuriser, évaluer, documenter, puis notifier si nécessaire. Gardez ce déroulé à portée de main, et souvenez-vous que les délais et modalités exacts se vérifient toujours auprès de la CNIL. En amont, la meilleure protection reste de limiter le nombre d'endroits où vos données patients se trouvent, et de les sauvegarder.

C'est précisément ce que permet un outil de cabinet centralisé. Pour rassembler agenda, dossiers patients, facturation et comptes rendus dans un environnement conçu pour la sécurité plutôt que sur des fichiers dispersés, découvrez Komper.