L'Agence régionale de santé (ARS) Auvergne-Rhône-Alpes a rendu public mercredi 8 juillet un incident de sécurité majeur ayant affecté la plateforme de collecte des autorisations parentales destinées aux campagnes de vaccination scolaire. Cette brèche, signalée aux centres de vaccination et à l'ARS dès le 22 juin, a permis à un tiers non autorisé d'accéder à des informations personnelles sensibles. L'ARS a confirmé que la vulnérabilité technique à l'origine de cette compromission a depuis été résolue.
La plateforme concernée est spécifiquement utilisée pour recueillir les consentements des représentants légaux dans le cadre des programmes de vaccination en milieu scolaire, ciblant notamment les papillomavirus humains (HPV) et les infections invasives à méningocoque ACWY (MenACWY). Les investigations menées par l'ARS indiquent que l'incident touche la prestation technique assurée par le sous-traitant Syadem. Un acteur malveillant aurait réussi à pénétrer le système d'hébergement des données et à en obtenir une copie.
Les informations qui auraient pu être exposées sont diverses et concernent à la fois les élèves et leurs représentants légaux. Pour les élèves, il s'agit notamment du nom, prénom, date de naissance, sexe, code postal et commune de résidence, nom du collège fréquenté, ainsi que des données relatives à leur statut vaccinal. Quant aux représentants légaux, les données potentiellement compromises incluent leur nom, prénom, numéro de téléphone portable, adresse électronique, signature, numéro de Sécurité sociale et leur régime d'affiliation.
À l'heure actuelle, l'identification précise de toutes les personnes directement affectées par cette fuite n'est pas réalisable. Cependant, par principe de précaution, l'ARS considère que l'intégralité des élèves ayant participé aux campagnes de vaccination en collège, ainsi que leurs représentants légaux, pourrait être impactée. Suite à la découverte de l'incident, des dispositions de sécurisation immédiates ont été activées par le prestataire afin de contenir la brèche et de prévenir tout nouvel accès non autorisé.
Face à la gravité de la situation, l'ARS a notifié la Commission nationale de l'informatique et des libertés (Cnil), conformément aux régulations en vigueur sur la protection des données personnelles. Parallèlement, une plainte a été déposée auprès des autorités compétentes, marquant la volonté de faire toute la lumière sur cet acte de malveillance et d'en poursuivre les auteurs. Cet incident souligne l'importance cruciale de la sécurité des systèmes d'information, en particulier lorsqu'ils traitent des données aussi sensibles que celles relatives à la santé des mineurs.