Je suis concerné par une violation de données personnelles

En fait je pensais comme toi.

Sauf qu'en fait, le préjudice est lié de façon MANIFESTE à une défaillance d'un médecin de cet hôpital qui s'est fait usuper une session.

Donc je suis pas certain que ça rentre dans le cadre de l'obligation de moyen justement.


Mais moi non plus je suis pas juriste

Essaie de contacter la CNIL pour reporter une fuite de donnée au niveau de l'Hopital et donc un manquement au niveau du RGPD.

Sur le compte ameli il me semble que t'as le détail des remboursements et des opérations de ta carte vitale, ça peut être une solution pour vérifier qu'il se passe rien

Non je me soucis pas que maintenant de ma vie privée.

C'est la première fois que je suis officielement notifié d'une violation de mes données personnelles.

Seulement comme tu l'as dis toi même, fournir des infos erronnées à un hôpital c'est pas le top.

Je suis en quelque sorte poussé à prendre un risque, parce qu'ils sont incapables de réellement garantir la confidentialité des données qu'ils stockent.

L'obligation de moyen va dépendre de la sécurité qu'ils ont mis en place.

Si il n'a pas lock sa session c'est une erreur de sa part mais je ne sais pas si ça peut être poursuivi.

De la part de l'hôpital éventuellement un défaut de formation mais ça semble léger.

Si il s'est fait voler son mot de passe par contre ça peut être plus grave car cela voudrait dire que l'hôpital n'a probablement pas mis en place de MFA, et donc ne respecte même pas le niveau de sécurité minimal recommandé par l'ANSSI , ce qui semble être un manquement grave étant donné la sensibilité des données médicales

Ils ont déjà notifié tous les organismes et déposé une plainte.

Ils pourront peut-être te donner des conseils. Ça ne coûte rien de les contacter via leur site web et ce sera plus pertinent que de demander des conseils à des 0 touts comme nous

Oui, j'ai la trace des actes médicaux dessus.

Il y a une double authentification sur les appareils qui ne s'y sont jamais connectés.

Je me fais pas de soucis de ce côté.

C'est plus par rapport à de la fraude/usurpation d'identité.

Si ces infos se vendent, c'est pas sans raison.

C'est déjà arrivé qu'il y est 10 millions de personnes concernées avec le piratage de pôle emploi

Ils sont "étrangement" évasifs sur les causes précises du vol de session.

Ils parlent d'une "usurpation d'identité" qui aurait permis au hacker de se connecter à une des applications de l'hopital. Donc ça donne pas vraiment d'indice sur la façon dont a procédé le hacker.

Et quand on se veut transparent on donne plus de détails, donc je pense qu'ils sont en tort..

Je parie le mec qui a rentré ses info dans un mail phishing+ pas de MFA

Si c'est ça, la responsabilité de l'hôpital est évidente et sérieuse

Oui, après c'est tout récent et il y a une enquête en cours.

Ces affaires-là au final il y a pas beaucoup d'usurpation d'identité/fraude par la suite, en tout cas j'ai jamais entendu parler de ça pour celles-ci. J'imagine que c'est des données qu'ils revendent à ceux qui font de l'étude sur des listes de données innombrables dans des buts commerciaux ou ptet à d'autres gouvernements

Si tu es motivé tu peux te rapprocher d'un avocat.

Si ce que devine est correct ils ne respectent pas les recommandations minimales de l'ANSSI, ça peut se comprendre pour une micro entreprise mais pas pour un établissement médical manipulant les données sensibles d'un nombre important de personnes.

 https://cyber.gouv.fr/sit[...]ne_informatique_anssi.pdf

Aller au tribunal administratif ça coute cher :oepelo:

Il a peut être de la thune ou une possibilité d'avoir des aides juridiques, je connais pas sa situation

Il faudrait se renseigner pour savoir si ça a déjà été fait avec les innombrables failles des services publics

C'est là où justement un juriste pourrait l'éclairer sur la jurisprudence

Franchement j'ai trop de choses à faire pour m'occuper de ça et j'ai pas les moyens de financer.

Par contre je vais me tenir au courant des suites.

Pour l'instant ils disent pas que les données ont fuité, le hacker demande une rançon mais on sait rien de plus.

Généralement, dans cette situation la politique est de ne jamais rien payer au hacker.

Mais comme c'est un hôpital privé (j'ai oublié de le mentionner), ils ont peut-être plus de liberté sur les décisions internes.

Ou au contraire..

Mais même en payant ils n'ont aucune garanti que les données ne soient pas revendues dans tous les cas.

C'est pour ça que les recommandations sont généralement de ne pas payer