Hors collection - Écosystème numérique : défis juridiques et sociétaux - 42

42
ÉCOSYSTÈME NUMÉRIQUE : DÉFIS JURIDIQUES ET SOCIÉTAUX
alors plainte pour la violation de leurs données personnelles et médicales. Cet afflux massif de plainte
est parfois encouragé par la réaction des hôpitaux eux-mêmes, à l'image de celui de Corbeil-Essonne
avisant par courrier 700 000 patients de la potentielle divulgation de leurs données (avant même la
publication).
Exemple
Le tribunal de Paris a condamné, le 25 novembre 2022, deux hommes, qui étaient accusés d'avoir cyberattaqué
l'ARS Île-de-France en 2016, à près de 20 000 € de dommages et intérêts et à huit mois d'emprisonnement, dont
quatre mois ferme pour l'un d'entre eux. Les deux condamnés étaient gérants d'une société informatique prestataire
de l'ARS. Le contrat liant l'agence et l'entreprise n'avait pas été renouvelé, poussant les auteurs du piratage à
déclencher une panne informatique comme forme de vengeance.
B. Les réponses juridiques et stratégiques
Face aux nombreuses cyberattaques qui ont visé les établissements de santé en 2022 et plus largement
toute la chaîne médicale, le législateur a réagi en intégrant dans le Code pénal une nouvelle circonstance
a aggravante de mise en danger d'autrui appliquée aux STAD.
Le nouvel article 323-4-2 du Code pénal dispose ainsi que « lorsque les infractions prévues aux articles
323-1 à 323-3-1 ont pour effet d'exposer autrui à un risque immédiat de mort ou de blessures de
nature à entraîner une mutilation ou une infirmité permanente ou de faire obstacle aux secours
destinés à faire échapper une personne à un péril imminent ou à combattre un sinistre présentant un
danger pour la sécurité des personnes, la peine est portée à dix ans d'emprisonnement et à 300 000 €
d'amende. »
En effet, l'interruption d'activité peut avoir des conséquences particulièrement importantes sur les
prises en charge et la continuité des soins (transfert de patients, arrêt des systèmes monitoring, etc.)
et/ou sur leur accès aux numéros d'urgence (arrêt des systèmes de numéros d'urgences, etc.). La restauration
des systèmes d'information peut durer plusieurs mois, obligeant parfois à une reconstruction
complète. Ainsi, certains services de l'hôpital de Dax ont mis plus de deux mois à récupérer l'accès à
une messagerie électronique.
L'introduction de cette nouvelle circonstance aggravante va certainement augmenter le nombre de
plaintes déposées par les patients et donc nécessiter des moyens supplémentaires pour la section J3 du
parquet de Paris compétent en la matière. De plus en plus, les groupes criminels pratiquent, en plus du
chiffrement contre rançon, une double extorsion en exfiltrant les données de santé des patients et en
menaçant de les révéler s'il n'y a pas payement.
La publication des dossiers médicaux entraîne une multiplication du nombre de victimes, les patients
déposant plainte pour la violation de leurs données personnelles et médicales. Cet afflux massif de
plainte est parfois encouragé par la réaction des hôpitaux eux-mêmes, à l'image de celui de CorbeilEssonne
avisant par courrier 700 000 patients de la potentielle divulgation de leurs données (avant
même la publication).
Face à la multiplication de ces ransomwares, le gouvernement a fixé un important programme de
préparation des établissements de santé afin de faire face au mieux aux cyberattaques.
Hors collection - Écosystème numérique : défis juridiques et sociétaux

Table des matières de la publication Hors collection - Écosystème numérique : défis juridiques et sociétaux
