Les données de santé sont le graal des cybercriminels. Plus valorisées que les données bancaires sur le dark web (250 $ par dossier contre 5 $ pour une carte de crédit), elles attirent des groupes comme ShinyHunters, ALPHV ou Clop. La récente fuite DentaQuest (234 Go, 2,6 millions de comptes) illustre l'ampleur du risque. En France, les PME qui manipulent des données de santé — mutuelles, cabinets médicaux, éditeurs de logiciels médicaux, pharmacies, RH — sont soumises aux exigences les plus strictes du RGPD. Voici les 7 étapes pour protéger ces données sensibles.
Les 7 étapes de protection des données de santé
Étape 1 : Cartographier toutes les données de santé
Avant de protéger, il faut savoir ce que l'on protège. La cartographie des données de santé est la première étape obligatoire. Les données de santé se cachent souvent là où on ne les attend pas : dans les logiciels RH (arrêts maladie, déclarations RQTH), les CRM (notes de suivi client mentionnant une pathologie), les messageries (emails avec pièces jointes médicales).
Méthode concrète : Utilisez un outil de découverte de données comme l'outil de cartographie de la CNIL ou des solutions comme Varonis ou BigID. Pour chaque traitement identifié, documentez : la nature exacte des données, la base légale, la durée de conservation, les destinataires et les transferts hors UE.
Exemple PME : Un laboratoire d'analyses à Lyon a découvert lors de sa cartographie que des résultats biologiques transitaient en clair par email entre médecins prescripteurs. Le simple fait de documenter ce flux a permis de le corriger en 48 heures via un portail sécurisé.
Étape 2 : Réaliser l'Analyse d'Impact (AIPD)
L'article 35 du RGPD impose une Analyse d'Impact relative à la Protection des Données (AIPD) pour tout traitement de données de santé à grande échelle. En pratique, la CNIL recommande de la réaliser dès que vous traitez des données de santé de plus de 100 patients ou salariés.
Outil recommandé : Le logiciel PIA (Privacy Impact Assessment) de la CNIL est gratuit et open source. Il guide la rédaction de l'AIPD en 4 phases : description du traitement, évaluation de la nécessité et de la proportionnalité, gestion des risques pour les droits des personnes, validation.
Points critiques à évaluer : la vraisemblance d'un accès non autorisé (score 1-4), la gravité de l'impact sur les personnes concernées (score 1-4), les mesures de réduction existantes et celles à mettre en place. Pour les données de santé, la gravité est presque toujours élevée (3 ou 4), ce qui oblige à compenser par des mesures techniques fortes.
💡 Notre avis d'expert
Trop de PME traitent l'AIPD comme une formalité administrative. C'est une erreur stratégique. Une AIPD bien menée est votre meilleur bouclier juridique en cas de contrôle CNIL. En 2025, 3 des 5 plus grosses amendes CNIL dans le secteur santé étaient liées à l'absence ou l'insuffisance de l'AIPD — pas à la fuite elle-même.
Étape 3 : Chiffrer les données au repos et en transit
Le chiffrement est la mesure technique la plus efficace contre l'exfiltration. Si les données volées chez DentaQuest avaient été chiffrées au niveau colonne avec des clés par patient, les 234 Go de ShinyHunters auraient été inexploitables.
En transit : TLS 1.3 obligatoire sur toutes les connexions. Désactivez TLS 1.0 et 1.1. Vérifiez les certificats avec des outils comme testssl.sh ou SSL Labs.
Au repos : AES-256 minimum. Privilégiez le chiffrement au niveau colonne (Transparent Data Encryption ne suffit pas pour les données de santé). Stockez les clés dans un HSM ou un service dédié comme AWS KMS, Azure Key Vault ou HashiCorp Vault.
Sauvegardes : Les sauvegardes doivent être chiffrées avec des clés différentes de la production. Testez la restauration chaque trimestre. Une mutuelle à Bordeaux a découvert que ses sauvegardes de 3 ans étaient illisibles car les clés de chiffrement avaient été perdues lors d'une migration serveur.
Étape 4 : Implémenter un contrôle d'accès granulaire
Le principe du moindre privilège est non négociable pour les données de santé. Chaque utilisateur ne doit accéder qu'aux données strictement nécessaires à sa mission. Un comptable n'a pas besoin de voir les diagnostics. Un développeur n'a pas besoin d'accéder aux données de production.
RBAC + ABAC : Combinez le contrôle d'accès basé sur les rôles (RBAC) avec le contrôle basé sur les attributs (ABAC). Par exemple : le rôle « médecin » + l'attribut « service cardiologie » + l'attribut « patient assigné » = accès au dossier du patient.
MFA obligatoire : L'authentification multi-facteurs est indispensable pour tout accès aux données de santé. Privilégiez les clés FIDO2/WebAuthn aux SMS (vulnérables au SIM swapping). Un cabinet dentaire à Lille a bloqué 47 tentatives de phishing en 6 mois grâce au passage aux clés FIDO2.
💡 Notre avis d'expert
Le problème numéro un que nous constatons chez nos clients santé : les comptes de service à privilèges élevés sans MFA et sans rotation de mot de passe. C'est exactement par ce vecteur que ShinyHunters a exfiltré les 234 Go de DentaQuest. Si votre application métier se connecte à la base de données avec un compte root et un mot de passe en dur dans un fichier .env — vous êtes le prochain.
Besoin d'un audit RGPD pour vos données de santé ?
Nos experts certifiés réalisent un diagnostic complet en 5 jours ouvrés.
Demander un audit gratuitÉtape 5 : Journaliser tous les accès aux données
Chaque accès, consultation, modification ou export de données de santé doit être tracé. La journalisation n'est pas optionnelle — c'est une exigence RGPD (article 5.2, principe de responsabilité) et une obligation de la politique générale de sécurité des systèmes d'information de santé (PGSSI-S).
Ce qu'il faut journaliser : qui a accédé (identifiant, rôle), quand (horodatage UTC), quoi (quel dossier, quelle donnée), depuis où (adresse IP, appareil), quelle action (lecture, modification, export, suppression). Stockez les logs dans un SIEM centralisé (notre guide SIEM) et conservez-les 12 mois minimum.
Outils : Pour les PME, Wazuh (open source) ou Elastic SIEM offrent un bon rapport qualité/prix. Pour les structures plus grandes, Splunk ou Microsoft Sentinel. L'essentiel est que les logs soient immuables et envoyés en temps réel vers un système séparé du serveur d'application.
Impact des mesures sur le niveau de risque
Étape 6 : Former les équipes aux risques spécifiques
La technologie ne suffit pas. 82 % des fuites de données de santé impliquent un facteur humain : clic sur un lien de phishing, envoi de dossier au mauvais destinataire, partage de mot de passe entre collègues. La sensibilisation des collaborateurs est la mesure au meilleur rapport coût/efficacité.
Programme de formation minimum :
- • Onboarding : 2 heures sur la politique de sécurité des données de santé, signature d'un engagement de confidentialité renforcé
- • Trimestriel : Simulation de phishing ciblé santé (faux email DMP, fausse alerte Améli, faux lien Doctolib)
- • Annuel : Exercice de crise type fuite de données avec notification CNIL simulée (délai 72h)
- • Continue : Micro-learning mensuel (5 min) sur les menaces actuelles
Exemple : Une clinique à Marseille a réduit son taux de clic sur les emails de phishing de 31 % à 4 % en 9 mois grâce à un programme de simulations trimestrielles avec debriefing individuel.
Étape 7 : Préparer un plan de réponse à incident
Quand (pas si) un incident survient, la rapidité de réaction détermine l'ampleur des dégâts. Le RGPD impose une notification à la CNIL sous 72 heures et une information des personnes concernées si le risque est élevé. Sans plan préétabli, ces délais sont impossibles à tenir.
Contenu du plan :
- • Détection : Alertes SIEM automatiques, seuils d'anomalie définis (export massif, accès hors horaires, connexion depuis IP inhabituelle)
- • Qualification : Matrice de sévérité (P1 à P4) avec critères spécifiques aux données de santé
- • Confinement : Procédures d'isolation immédiate (coupure réseau, révocation tokens, blocage comptes)
- • Notification : Modèles pré-remplis pour la CNIL et les personnes concernées
- • Restauration : Procédure de retour à la normale avec vérification d'intégrité
- • Post-mortem : Analyse forensique, leçons apprises, mise à jour du plan
💡 Notre avis d'expert
La majorité des PME françaises du secteur santé que nous auditons n'ont pas de plan de réponse à incident documenté. Quand une fuite survient, c'est la panique : on ne sait pas qui appeler, quoi isoler, ni comment notifier la CNIL dans les 72 heures. Le coût de préparation d'un plan (2 000 à 5 000 €) est dérisoire comparé au coût moyen d'une fuite de données de santé en France : 4,5 millions d'euros selon IBM Security.
Checklist récapitulative
| Étape | Action clé | Outil recommandé | Délai |
|---|---|---|---|
| 1. Cartographie | Inventaire complet des traitements | CNIL Carto / Varonis | 2-4 sem. |
| 2. AIPD | Analyse d'impact formalisée | PIA CNIL (gratuit) | 2-3 sem. |
| 3. Chiffrement | AES-256 repos + TLS 1.3 transit | HashiCorp Vault / AWS KMS | 1-2 sem. |
| 4. Accès | RBAC + ABAC + MFA FIDO2 | Keycloak / Azure AD | 2-3 sem. |
| 5. Logs | Journalisation centralisée immuable | Wazuh / Elastic SIEM | 1-2 sem. |
| 6. Formation | Simulations phishing trimestrielles | KnowBe4 / Gophish | Continue |
| 7. Incident | Plan de réponse documenté | Modèles ANSSI | 1 sem. |
Questions fréquentes
Quelles données de santé sont concernées par le RGPD ?
L'AIPD est-elle obligatoire pour les données de santé ?
Quel niveau de chiffrement est requis pour les données de santé ?
Quelles sanctions en cas de fuite de données de santé ?
Protégez vos données de santé avec WebGuard Agency
Audit RGPD santé, mise en conformité AIPD, chiffrement, SIEM, formation — nous accompagnons les PME françaises du secteur santé de A à Z.
Obtenir un devis gratuit sous 24h