Une fuite de données signalée sur la plateforme des autorisations parentales pour la vaccination scolaire en Auvergne-Rhône-Alpes

L'Agence régionale de santé (ARS) Auvergne-Rhône-Alpes a officialisé ce mercredi 8 juillet une compromission de données personnelles concernant la plateforme dédiée aux autorisations parentales pour les campagnes de vaccination scolaire. Cet incident de sécurité, qui a permis à un tiers non autorisé d'accéder à des informations sensibles, affecte les dispositifs de collecte relatifs aux vaccinations contre les papillomavirus humains (HPV) et les infections invasives à méningocoque ACWY (MenACWY) menées en milieu scolaire.

Cet événement a été porté à la connaissance des centres de vaccination ainsi que de l'ARS dès le 22 juin dernier. Selon les précisions de l'Agence, la vulnérabilité technique a depuis été corrigée par le prestataire en charge, mettant fin à l'accès non légitime. Les investigations menées à ce stade indiquent que la faille concerne spécifiquement la prestation technique de recueil des autorisations parentales, assurée par le sous-traitant Syadem. Une partie non autorisée a ainsi pu pénétrer la plateforme d'hébergement et potentiellement copier des données.

Les informations privées potentiellement exposées sont variées et concernent à la fois les élèves et leurs représentants légaux. Pour les élèves, il s'agit de leurs nom, prénom, date de naissance, sexe, code postal de résidence, commune, nom de l'établissement scolaire (collège) et données vaccinales. Concernant les représentants légaux, les éléments compromis pourraient inclure leurs nom, prénom, numéro de téléphone portable, adresse électronique, signature, numéro de Sécurité sociale et régime d'affiliation.

À l'heure actuelle, les autorités compétentes n'ont pas pu identifier précisément les individus impactés par cette intrusion. Toutefois, par une mesure de précaution, l'ARS a décidé de considérer que l'ensemble des élèves ayant participé aux campagnes de vaccination en collège, ainsi que leurs tuteurs légaux, pourrait être concerné par cette fuite. Le prestataire a rapidement mis en place des dispositifs de sécurisation pour maîtriser la situation et prévenir toute nouvelle tentative d'accès illégitime.

Face à la gravité de l'incident, plusieurs actions ont été entreprises. La Commission Nationale de l'Informatique et des Libertés (CNIL), garante de la protection des données personnelles, a été dûment notifiée de la situation. Parallèlement, une plainte officielle a été déposée auprès des autorités judiciaires compétentes, marquant la détermination à élucider les circonstances de cette faille et à identifier les responsables. L'enquête se poursuit afin d'éclaircir l'étendue exacte de cette compromission.