Incident numérique au cabinet : protéger les données et organiser la reprise

Le logiciel ne répond plus alors que les patients arrivent, ou une alerte signale un accès inconnu. Dans ce moment, quelques questions permettent de retrouver un ordre d’action : que voit-on, qui peut aider et quelles activités peuvent continuer ? Nous allons suivre ce raisonnement pour limiter les conséquences et préparer une reprise vérifiée.

Le présent guide traite l’organisation de la réponse. Les obligations de notification lorsqu’il y a une violation de données sont détaillées dans un article distinct.

Décrire ce que vous voyez

Notez l’heure, le service touché et le message affiché, sans interpréter trop vite. Distinguez les faits : un seul appareil est-il concerné ? Le prestataire annonce-t-il une panne ? Des fichiers ont-ils disparu ? Des messages sont-ils partis à votre insu ?

Une connexion coupée ne prouve pas une intrusion. Inversement, un logiciel qui fonctionne encore ne prouve pas qu’un compte est intact. Une courte description factuelle aide votre interlocuteur technique à agir.

Dans un scénario fictif, le praticien constate que l’ordinateur de l’accueil affiche une demande de rançon. Il note le texte et l’heure, puis contacte son prestataire depuis un autre appareil de confiance. Il ne cherche pas à « tester » chaque dossier sur l’ordinateur suspect.

Limiter les effets selon l’incident

En cas de rançongiciel, un logiciel malveillant qui bloque l’accès aux fichiers ou au système pour réclamer un paiement, Cybermalveillance.gouv.fr recommande d’isoler les équipements concernés du réseau. Débranchez leur connexion réseau ou coupez leur Wi-Fi ; ne les reconnectez pas pour vérifier si tout est revenu.

Évitez d’effacer ou de réinstaller un appareil suspect : des preuves peuvent disparaître. Pour l’extinction, demandez un avis immédiat : préserver la mémoire aide l’enquête, mais un chiffrement malveillant encore en cours peut justifier une extinction conservatoire. Ne branchez pas votre disque de sauvegarde sur l’appareil. L’assistance détermine les gestes adaptés.

Pour un compte probablement compromis, faites bloquer l’accès et révoquer les sessions par le service concerné. Changez le mot de passe depuis un appareil de confiance. Vérifiez aussi les moyens de récupération du compte ; changer le mot de passe ne supprime pas toujours une session ou une règle de transfert frauduleuse.

Joindre une aide fiable

Les premiers gestes ont limité les effets visibles. Une aide compétente doit maintenant confirmer le problème et guider les opérations techniques nécessaires. Contactez le support avec un numéro ou une adresse déjà connus, pas ceux indiqués dans une alerte suspecte. Précisez ce qui est touché et demandez les actions immédiates recommandées. Le site Cybermalveillance.gouv.fr permet de chercher une assistance adaptée.

Déterminez qui coordonne les échanges, même dans un petit cabinet. Un interlocuteur rassemble les réponses du logiciel, de l’informaticien et, si pertinent, de l’assureur. Consignez les heures et les actions pour éviter des consignes contradictoires.

Conservez les messages suspects et les éléments disponibles dans un espace protégé. Ne diffusez pas largement des captures où figurent des noms de patients. Préserver une preuve ne doit pas créer une nouvelle exposition.

Si une attaque est établie, préparez aussi le dépôt de plainte et contactez l’assureur concerné. Pour l’indemnisation assurantielle des pertes et dommages visés, l’article L.12-10-1 exige une plainte au plus tard 72 heures après connaissance de l’atteinte, pour les personnes morales et les personnes physiques dans leur activité professionnelle. Ce délai est distinct de celui de la notification CNIL.

Décider ce qui peut continuer

La CNIL distingue la continuité et la reprise : la première permet de poursuivre certaines tâches malgré l’incident, la seconde remet le système arrêté en service.

Utilisez seulement le minimum d’information nécessaire et une méthode protégée prévue à l’avance. Un compte personnel ou une messagerie improvisée n’est pas une solution neutre pour transférer tous les dossiers.

Si une consultation ne peut pas être menée dans des conditions suffisantes, organisez un report et informez le patient de manière utile. Inutile d’affirmer qu’aucune donnée n’a été touchée tant que l’analyse ne l’établit pas.

Reprendre après vérification

Continuer certaines tâches ne signifie pas que l’incident est terminé. La reprise complète demande une vérification du service et des informations retrouvées. Le retour d’un écran de connexion ne suffit pas. Faites confirmer que la cause est traitée, que les accès sont sûrs et que les données nécessaires sont disponibles. Après une restauration, vérifiez les pièces jointes et les notes récentes, puis réintégrez avec méthode ce qui a été enregistré pendant l’interruption.

Examinez en parallèle si des données personnelles ont été perdues, altérées, divulguées ou rendues inaccessibles à la suite d’un incident de sécurité. Les suites RGPD dépendent de cette qualification et du risque pour les personnes.

Sources consultées le 3 octobre 2026. Ces repères d’organisation doivent accompagner une assistance technique adaptée à l’incident.