Rançongiciel à l’hôpital : les 5 manquements retenus

Un rançongiciel sur un système de laboratoire hospitalier vient de coûter 300 000 euros au service de santé national irlandais. Lire cette décision comme une affaire de sécurité serait passer à côté : sur les cinq manquements retenus, seuls deux ont été sanctionnés financièrement. Les trois autres portent sur des obligations que tout responsable de traitement croit maîtriser.

Que s’est-il passé ?

L’attaque a visé le système d’information de laboratoire d’un hôpital régional. Les attaquants ont accédé aux ordinateurs qui stockaient et traitaient les résultats des tests diagnostiques des patients, puis ont chiffré ces données.

Le responsable du traitement a estimé qu’environ 84 000 personnes étaient concernées. La violation a été détectée en novembre 2018, la décision finale a été notifiée en juin 2026.

Sept ans et demi. Les mesures correctrices prises entre-temps ont été reconnues par l’autorité. Elles n’ont pas effacé le constat.

Pourquoi trois manquements ne concernent pas la sécurité ?

Parce que l’enquête n’est pas restée sur le terrain de l’incident. Elle a porté sur la sécurité des traitements, mais aussi sur les contrats conclus avec les prestataires, sur le registre des activités de traitement et sur l’information des personnes concernées.

C’est le schéma désormais habituel, et il mérite d’être anticipé : une notification de violation ouvre rarement une enquête limitée à la seule sécurité.

Les trois manquements non sanctionnés ne sont pas anodins pour autant. Ils figurent dans une décision publique et constituent un antécédent en cas de nouvel incident.

Un registre régularisé après coup répare-t-il quelque chose ?

Non. Le manquement à l’article 30 a été constaté au moment de la violation. Le registre a donc été demandé et examiné dans l’état où il se trouvait au jour des faits.

C’est un point que beaucoup d’organismes découvrent trop tard. Compléter son registre pendant l’instruction ne fait pas disparaître la carence initiale. La documentation vaut à la date de l’incident, pas à la date du contrôle.

Même logique pour les contrats. Une clause de renvoi générique au règlement ne remplace pas les mentions attendues d’un accord de traitement des données conforme, et le manquement a ici été retenu de façon autonome.

Sans preuve d’exfiltration, faut-il notifier les personnes ?

La motivation de l’autorité mérite d’être retenue mot pour mot. Il n’existait pas de preuve claire d’une exfiltration de données cliniques, mais le rapport d’analyse technique n’avait pas pu exclure cette possibilité.

Le risque a été qualifié sur cette base : la nature sensible des données et le nombre de personnes concernées faisaient peser des risques sur la prise en charge des patients et des risques d’usage abusif.

Le raisonnement est directement transposable. L’absence de preuve d’exfiltration n’est pas une preuve d’absence d’exfiltration. Quand le rapport conclut à l’impossibilité d’exclure, le risque se qualifie en conséquence, y compris pour décider de la communication aux personnes.

Reconstituer après coup quels sous-traitants touchaient le système attaqué, avec quel contrat et quelle date de signature, prend des jours quand l’information vit dans des tableurs. DPO SUITE relie chaque traitement à ses sous-traitants et à leurs contrats. Voir comment tenir une chaîne de sous-traitance vérifiable.

Que vérifier dans un établissement de santé ?

• Le système d’information de laboratoire : rarement l’application phare du plan de sécurité, presque toujours un logiciel spécialisé maintenu par un éditeur externe, connecté au dossier patient.
• Le contrat avec l’éditeur et l’infogérant : comporte-t-il les mentions attendues, et pas seulement un renvoi générique au règlement.
• Le registre : couvre-t-il ce traitement, avec ses destinataires, ses durées et ses mesures de sécurité.
• Le modèle de communication aux personnes : reprend-il la nature de la violation, les coordonnées du délégué, les conséquences probables et les mesures que la personne peut prendre.
• La chaîne d’alerte avec les prestataires, dont les sous-traitants ultérieurs souvent oubliés.

Le quatrième point est le plus facile à corriger et le plus fréquemment constaté. Un modèle de communication incomplet se prépare à froid, il ne s’improvise pas dans les heures qui suivent une attaque.

Source officielle : Data Protection Commission, décision finale sur l’enquête Midlands Regional Hospital Tullamore.

FAQ

Un rançongiciel sans vol de données doit-il être notifié ?

Oui. Le chiffrement des données constitue une perte de disponibilité, qui est une violation au sens du règlement. La notification à l’autorité s’impose dès qu’un risque existe pour les personnes, indépendamment de toute exfiltration. L’indisponibilité d’un système de laboratoire affecte directement la prise en charge.

Que doit contenir la communication aux personnes concernées ?

Quatre éléments : la nature de la violation, les coordonnées du délégué à la protection des données, les conséquences probables de la violation et les mesures prises ou proposées pour y remédier. Il faut y ajouter les mesures que la personne peut elle-même prendre pour se protéger.

Le sous-traitant peut-il être sanctionné directement ?

Oui, pour les obligations qui lui incombent en propre, notamment la sécurité et la tenue de son propre registre. Mais le responsable de traitement reste sanctionnable pour n’avoir pas encadré la relation par un contrat comportant les garanties exigées, comme dans cette décision.

Combien de temps une enquête peut-elle durer ?

Sans limite fixée par le règlement. Cette affaire s’étend sur plus de sept ans entre la détection de l’incident et la décision finale. Les mesures correctrices prises pendant l’instruction sont prises en compte dans l’appréciation, mais elles n’effacent pas les manquements constatés initialement.