Viamedis et Almerys, opérateurs majeurs du tiers payant pour de nombreuses complémentaires santé, ont récemment subi une attaque informatique. La CNIL a été alertée de cette situation fin janvier et a ouvert une enquête sur cette violation de données qui concerne plus de 33 millions de personnes.

Données concernées :

Les informations compromises incluent l’état civil, la date de naissance, le numéro de sécurité sociale, le nom de l’assureur santé, ainsi que les détails des garanties du contrat souscrit. Cependant, les données sensibles telles que les informations bancaires, les données médicales, les remboursements santé, les coordonnées postales, les numéros de téléphone, et les courriels ne semblent pas avoir été touchées.

Cet évènement n’est malheureusement pas un incident isolé. Pour en savoir plus, découvrez notre article : La CAF victime d’une cyberattaque : 600 000 personnes concernées.

Notification et informations des personnes concernées 

L’ensemble des complémentaires santé opérant avec les deux opérateurs touchés par la cyberattaque sont tenus d’informer directement toutes les personnes concernées individuellement, conformément aux dispositions prévues par le RGPD.

Recommandations et ouverture d’un processus de plainte en ligne 

Au regard des données récoltées, il est fort probable qu’une campagne d’hameçonnage (phishing) soit prochainement lancée. La CNIL fait alors quelques recommandations : 

Bien que les données de contact ne soient pas touchées, la CNIL souligne que les informations compromises pourraient être associées à d’autres données issues de fuites antérieures.

Une lettre plainte électronique a également été mise en place au regard de l’ampleur de la violation de données : https://www.cybermalveillance.gouv.fr/medias/2024/02/BL2C_lettre_plainte_fuites_Mutuelles.pdf

Cet article pourrait également vous intéresser : RGPD et entreprise : pourquoi vous devez sensibiliser vos équipes au RGPD ?

Ouverture d’une investigation de la CNIL

Face à l’ampleur de cette violation, la présidente de la CNIL a initié des investigations approfondies pour évaluer la pertinence des mesures de sécurité en place avant et après l’incident, conformément aux obligations du RGPD. La commission s’engage à prendre des mesures rapides pour assurer la protection des données personnelles des citoyens.