Secrecy Care Blog
Find the latest news from Secrecy Care, new products, events, and articles from our experts here.
Find the latest news from Secrecy Care, new products, events, and articles from our experts here.
Le centre hospitalier de Perpignan a confirmé un incident de sécurité informatique touchant les dossiers de vaccination gérés par son service des maladies infectieuses et tropicales. Si vous avez été suivi par ce service, voici ce que l'on sait, ce que cela change concrètement et les réflexes à adopter dès maintenant.
Le centre hospitalier de Perpignan a été victime, mi-juillet 2026, d'un incident de sécurité relatif à une plateforme externe utilisée pour la gestion des dossiers de vaccination de son service des maladies infectieuses et tropicales (SMIT). L'établissement a déposé plainte et indique qu'un tiers non autorisé a pu accéder à certaines données personnelles et en obtenir une copie : identité, coordonnées, informations relatives à la vaccination et au profil de santé. Les mots de passe, stockés sous forme chiffrée, ne seraient pas dans le périmètre de la fuite. L'hôpital n'est pas en mesure d'identifier avec certitude toutes les personnes touchées : par précaution, l'ensemble des patients suivis par le centre de vaccination du SMIT est considéré comme potentiellement affecté. Si vous faites partie de cette patientèle, les bons réflexes sont la vigilance face au phishing, la vérification des communications officielles de l'hôpital et, en cas de doute, l'exercice de vos droits RGPD auprès de l'établissement.
L'incident ne résulterait pas d'une intrusion directe dans le système d'information de l'hôpital, mais toucherait une plateforme exploitée par un prestataire technique externe, utilisée spécifiquement pour la gestion des dossiers de vaccination du SMIT. Selon les informations communiquées par l'établissement, les investigations ont révélé qu'un tiers non autorisé a pu accéder à certaines données hébergées sur cette plateforme et en obtenir une copie.
Les catégories de données susceptibles d'être touchées incluent les données d'identité des patients, leurs coordonnées et informations de contact, des données relatives à la vaccination, ainsi que des informations relatives à leur profil de santé. Un point rassurant : les mots de passe, lorsqu'ils existaient sur cette plateforme, auraient été stockés sous forme chiffrée et ne seraient donc pas directement exploitables.
L'établissement a précisé ne pas être en mesure, à ce stade, d'identifier avec certitude l'ensemble des personnes réellement affectées. Par mesure de précaution, tous les patients pris en charge par le centre de vaccination du SMIT sont donc traités comme potentiellement impactés, en attendant que l'enquête précise le périmètre exact.
Prenons le cas d'une personne ayant consulté le SMIT du CH de Perpignan pour une vaccination (voyage, expositions professionnelles, rattrapage vaccinal). Ses données d'identité, ses coordonnées et l'historique de ses vaccinations ont pu transiter par la plateforme visée par l'incident. Concrètement, cela veut dire qu'elle pourrait recevoir un message officiel de l'hôpital l'informant de la situation, et qu'elle doit rester vigilante face à d'éventuelles tentatives d'hameçonnage se faisant passer pour l'établissement ou l'Assurance Maladie, qui chercheraient à exploiter l'inquiétude légitime suscitée par cette actualité. Elle n'a en revanche pas à s'inquiéter pour ses identifiants de connexion à des services numériques de santé, les mots de passe n'étant a priori pas dans le périmètre de la fuite.
Une violation de données de santé relève à la fois du RGPD et des obligations propres au secteur de la santé. Le RGPD qualifie de « violation de données à caractère personnel » toute divulgation ou tout accès non autorisé à des données personnelles, qu'il résulte d'une cyberattaque ou d'un incident technique. Lorsque cette violation présente un risque pour les droits et libertés des personnes concernées — ce qui est presque systématique pour des données de santé — le responsable de traitement doit notifier l'incident à la CNIL dans les meilleurs délais et, si possible, dans un délai de 72 heures après en avoir pris connaissance. Si ce délai est dépassé, les motifs du retard doivent être communiqués à la CNIL. Lorsque le risque est élevé pour les personnes, une information individuelle des patients touchés est également requise.
La CNIL rappelle que cette obligation s'applique quel que soit l'auteur technique de l'incident : lorsque la violation survient chez un prestataire (sous-traitant au sens du RGPD), celui-ci doit alerter l'établissement de santé dans les meilleurs délais, mais c'est bien l'hôpital, en tant que responsable de traitement, qui reste tenu de notifier la CNIL et d'informer les patients (source : CNIL, page « Violations de données personnelles : les règles à suivre »).
Cet incident illustre une tendance de fond : la surface de risque des établissements de santé ne se limite plus à leur système d'information interne, mais s'étend à l'ensemble des prestataires et plateformes tierces auxquels ils confient une partie de leurs données. Les évolutions réglementaires en cours vont dans ce sens, avec un encadrement renforcé de l'hébergement des données sensibles et des obligations de sécurité étendues aux sous-traitants critiques du secteur santé.
Sur le plan technique, cette évolution pousse vers des architectures où la donnée reste chiffrée de bout en bout, y compris vis-à-vis de l'hébergeur ou du prestataire technique lui-même. Dans un modèle où seul le titulaire légitime détient les clés de déchiffrement, la compromission d'une plateforme tierce n'expose plus directement les données en clair : c'est précisément l'enjeu des architectures dites « zero-knowledge », appelées à se généraliser dans les prochaines années pour les données de santé les plus sensibles.
Message clé : une donnée de santé, même « juste » une donnée de vaccination, mérite une vigilance immédiate — mais la panique n'aide pas ; la vérification des communications officielles et l'exercice de vos droits, si.
Cet incident rappelle qu'aucun établissement, aussi rigoureux soit-il, n'est à l'abri d'une faille chez un prestataire tiers. La bonne réaction reste la même : rester attentif aux communications officielles, éviter toute précipitation face à des messages non vérifiés, et faire valoir ses droits RGPD si besoin.
Suis-je touché si j'ai été vacciné ailleurs qu'au SMIT de Perpignan ? Non, à ce stade l'incident touche spécifiquement la plateforme utilisée par le service des maladies infectieuses et tropicales du centre hospitalier de Perpignan pour la gestion des dossiers de vaccination.
Comment savoir si mes données ont réellement été copiées ? L'hôpital indique ne pas être en mesure d'identifier avec certitude toutes les personnes effectivement touchées ; par précaution, informez-vous directement auprès de l'établissement si vous avez été suivi par ce service.
La CNIL a-t-elle été informée ? Une plainte a été déposée par l'établissement ; les obligations de notification à la CNIL et, le cas échéant, d'information des personnes concernées s'appliquent dans ce type de situation dès lors qu'un risque pour les droits et libertés des patients est identifié.
Mon mot de passe de compte patient est-il compromis ? Selon les informations communiquées, les mots de passe présents sur la plateforme visée étaient stockés sous forme chiffrée et ne feraient pas partie des données copiées.
Dois-je changer de médecin ou d'établissement ? Rien n'impose une telle décision ; elle relève uniquement de votre confort personnel si vous estimez avoir perdu confiance, mais elle n'est pas une conséquence nécessaire de cet incident.
Que dois-je faire si je reçois un SMS ou un email suspect à ce sujet ? Ne cliquez sur aucun lien, ne communiquez aucune information personnelle ou bancaire, et vérifiez l'information directement sur le site officiel de l'hôpital ou en contactant l'établissement par un canal connu.
Un établissement peut-il être tenu responsable d'un incident survenu chez un prestataire externe ? Oui : au regard du RGPD, le responsable de traitement reste tenu de ses obligations de sécurité et de notification même lorsque l'incident technique trouve son origine chez un sous-traitant.
Un incident de sécurité a touché une plateforme externe utilisée par le SMIT du CH de Perpignan pour gérer des dossiers de vaccination, exposant potentiellement des données d'identité et de santé, mais pas les mots de passe. L'établissement a déposé plainte et les patients touchés doivent rester attentifs aux communications officielles plutôt qu'à d'éventuels messages frauduleux profitant de l'actualité.
Si vous avez été suivi par le centre de vaccination du SMIT de Perpignan, conservez une trace des communications reçues de l'hôpital, restez vigilant face aux sollicitations non sollicitées se présentant comme émanant de l'établissement, et n'hésitez pas à contacter directement le service ou le délégué à la protection des données de l'hôpital en cas de doute.
« Une plateforme externe compromise expose autant les patients qu'une faille interne : la responsabilité de l'hôpital ne s'arrête pas à ses propres serveurs. » « Le meilleur chiffrement est celui que même votre prestataire ne peut pas lever. » « Une donnée de vaccination reste une donnée de santé : elle mérite le même niveau de vigilance qu'un dossier médical complet. »
Imaginez que vous confiez un double de vos clés à un gardien pour qu'il arrose vos plantes pendant vos vacances : si ce gardien se fait cambrioler, ce n'est pas votre serrure qui a cédé, mais vous n'échappez pas pour autant aux conséquences du vol. C'est exactement ce qui s'est passé ici : ce n'est pas la « maison » (le système de l'hôpital) qui a été forcée, mais le « gardien » (le prestataire technique) à qui certaines données avaient été confiées pour un usage précis.
Cet incident est une illustration typique du risque de la chaîne de sous-traitance : une plateforme tierce dédiée à un usage métier ponctuel (gestion de campagnes de vaccination) devient un point d'entrée unique vers des données de santé identifiantes, souvent avec une surface d'attaque moins surveillée qu'un système d'information hospitalier central. Pour les DSI et RSSI, les enjeux techniques immédiats sont la cartographie exhaustive des prestataires ayant accès à des données de santé (y compris les outils « métier » périphériques), la vérification systématique de leur conformité HDS lorsqu'ils hébergent des données identifiantes, et l'exigence contractuelle de clauses de notification rapide en cas d'incident chez le sous-traitant. À plus long terme, une architecture où le chiffrement est appliqué côté client, avant transmission au prestataire, réduit structurellement l'impact d'une compromission de ce type : même copiées, les données resteraient inexploitables sans les clés détenues exclusivement par le responsable de traitement.