Dans l'affaire de la fuite de 500 000 dossiers médicaux de patients français, la CNIL vient de rendre son verdict. Le gendarme de l'informatique a décidé d'infliger une amende d'1,5 million d'euros pour négligence à l'éditeur de logiciels Dedalus. Elle reproche à l'entreprise plusieurs défauts de sécurité qui ont abouti à cette fuite massive.

Souvenez-vous, en février 2021, les fichiers médicaux de 500 000 patients français sont piratés et se retrouvent à la vue de tous sur la toile. Ces informations provenaient d'une base de données de plus de trente laboratoires de biologie médicale situés dans le nord-ouest de la France.

On retrouvait notamment des données plutôt sensibles comme “les noms, prénom, numéro de sécurité sociale, nom du médecin prescripteur, date du dernier examen mais aussi et surtout des informations médicales (VIH, cancers, maladies génétiques, grossesses, traitements médicamenteux suivis par le patient, ou encore des données génétiques)”, comme le rappelle la CNIL. À la suite de cette fuite massive, une société rennaise avait d'ailleurs développé un outil gratuit pour découvrir si vos données médicales avaient été compromises ou non.

Dès les jours qui ont suivi cette fuite importante, la CNIL avait effectué plusieurs contrôles auprès de la société Dedalus Biologie, une société spécialisée dans le développement et la vente de solutions logicielles pour des laboratoires d'analyses médicales. Après une enquête de longue haleine, la CNIL vient de publier son verdict ce jeudi 21 avril 2022. Ainsi et sur la base des constations effectuées à la suite de ces contrôles, la formation restreinte de la CNIL (un organe chargé de prononcer les sanctions) “a considéré que la société avait manqué à plusieurs obligations prévues par le RGPD, en particulier à l'obligation d'assurer la sécurité des données personnelles”. 

La CNIL inflige une lourde amende à Dedalus pour négligence

De fait, l'institution a décidé d'infliger une amende de 1,5 million d'euros à la société Dedalus France. Ce montant a été fixé “au regard de la gravité des manquements retenus, mais également en prenant en compte le chiffre d'affaires de la société DEDALUS BIOLOGIE”. Voici dans le détail les différents manquements constatés à l'obligation d'assurer la sécurité des données personnelles, comme le prévoit l'article 32 du RGPD :

• Absence de procédure spécifique pour les opérations de migration de données
• Absence de chiffrement des données personnelles stockées sur le serveur problématique
• Absence d'effacement automatique des données après migration vers l'autre logiciel
• Absence d'authentification requise depuis Internet pour accéder à la zone publique du serveur
• Utilisation de comptes utilisateurs partagés entre plusieurs salariés sur la zone privée du serveur
• Absence de procédure de supervision et de remontée d'alertes de sécurité sur le serveur

Comme le précise la CNIL, ces mesures de sécurité insuffisantes sont en majeure partie responsables de la fuite des données médico-administratives de ces 500 000 patients français.