# Affaire de la fuite de données de santé de laboratoires français

L'affaire de la fuite de données de santé de laboratoire français, ou affaire Dedalus, est une affaire de fuite de données liée à la sécurité informatique et à la protection des données de santé en France, révélée en février 2021. Elle est à l'origine d'une amende record de 1,5 million d'euros à la société Dedalus pour "manquement de sécurité ayant amené à une fuite de donnée", infligée en avril 2022.

## Résumé de l'affaire

En février 2021, une enquête menée par quatre journalistes du service CheckNews du quotidien Libération révèle une affaire de fuite de données présentée comme « le plus grand piratage de données en France ». L'affaire est en effet d'une ampleur inédite, tant en raison de la nature des données en circulation (données relatives à la santé des personnes), que par le nombre de patients concernés (500 000 patients) et par le fait que la base de données est disponible gratuitement sur le dark web. Un second volet de l'enquête révèle que les autorités étaient au courant de l'existence de cette fuite depuis novembre 2020, interrogeant sur l'inertie des pouvoirs publics.

## Chronologie

La base de données a été évoquée pour la première fois le 14 février par le site Zataz, qui note que ces données sont partagées gratuitement et concerneraient des assurances ou des laboratoires français. L'enquête du journal Libération, publiée le 23 février, permet d'identifier la véritable nature de la base de données, et son origine: il s'agit de données médico-administratives renseignées sur un logiciel de laboratoires de biologie médicale nommé Mega Bus, entre 2015 et 2020. Le journal révèle le fichier a été constitué à la suite de la migration de données depuis un logiciel obsolète de l'éditeur informatique Dedalus.
À la suite de ces révélations, la CNIL indique dans un communiqué avoir ouvert une enquête, et le parquet se saisit de l’affaire. Cédric O déclare sur France 2 que « s’il y a eu des négligences sur la protection des dossiers des patients ou leur information, les responsables pourraient être lourdement sanctionnés. »
Dans un second volet de l'enquête, paru le 27 février, Libération révèle plusieurs éléments nouveaux : les autorités étaient au courant de la fuite depuis plusieurs mois. En effet, selon le journal, un échantillon de la base de données était en libre accès dès novembre 2020 et l'ANSSI, au courant, a notifié un laboratoire du groupe Biogroup de la présence de données en ligne. Celui-ci aurait alors prévenu la CNIL. Toujours selon Libération, en décembre, une enquête de l'Agence du numérique en santé du ministère de la Santé avait déjà conclu que la fuite était liée à l'enregistrement d'un fichier sur un serveur non sécurisé lors d'une migration depuis le logiciel Mega Bus de l'éditeur Dedalus. Ni l'ANSSI, ni Dedalus n'ont prévenu d'autres laboratoires de ce problème pourtant identifié.

## Ampleur de la fuite

Selon Libération, à partir des codes postaux figurant dans les adresses des médecins présents dans la liste, « le Morbihan est le département plus concerné : sur l’ensemble des codes postaux de médecins prescripteurs, 36% commencent par 56. Viennent ensuite le Loiret (22%) et l’Eure (plus de 20%). Suivent, assez loin derrière, les Côtes-d’Armor (6%), l’Ille-et-Vilaine (près de 6 %) et enfin le Loir-et-Cher (plus de 3%). »

## Réactions à la suite des révélations

De nombreux médias font écho à cette information : le Monde, le Figaro, Ouest-France, TF1, France 2, France 5, BFM TV, l'Agence France-Presse, France Info, France Inter, ou encore France Culture$^,$. De très nombreuses personnes présentes dans la base, dont certaines personnalités comme Hervé Morin, se déclarent choquées de découvrir leurs données privées si mal protégées. Des centaines de victimes ont porté plainte$^,$ sans suite à la date du mois d'avril 2022. Elles reçoivent toujours "une multitude de messages mal intentionnés" : "propositions de formations véreuses, fausses convocations de la gendarmerie pour des méfaits fictifs ou encore des mutuelles peu scrupuleuses, les exemples sont nombreux. Plusieurs membres du groupe témoignent avoir été piratés, d’autres évoquent même des usurpations d’identité." L’encadrement très complexe de ces procédures "rend leur aboutissement difficile".

## Enquête des pouvoirs publics et amende record

Le 15 avril 2022, la CNIL a annoncé une amende de 1,5 million d'euros à l'encontre de la société Dedalus Biologie. Il s'agit de l'amende la plus importante en France pour « manquement de sécurité ayant amené à une fuite de données ».
Le rapport indique que la société a eu de nombreux manquements RPGD et la lourdeur de l'amende a pris un compte que la société avait déjà eu des alertes, de l'ANSSI d'une part et d'un ancien employé de Dedalus Biologie d'autre part.