La Charité confirme une fuite de données après une attaque du serveur
Des données de contact d'employés, d'étudiants et de personnes externes ont été dérobées. Selon la clinique, les soins se poursuivent sans perturbation.
Lors d'une cyberattaque contre un serveur web de la Charité de Berlin, des données de contact personnelles ont fui. Sont concernés des employés, des étudiants et des personnes externes qui s'étaient adressées à la médecine universitaire via le formulaire de contact, par exemple pour obtenir un rendez-vous. La clinique a confirmé l'incident le 30 octobre. Selon elle, les soins aux patients n'ont pas été et ne sont pas affectés.
La Charité a annoncé qu'elle informerait individuellement toutes les personnes concernées. Elle a analysé la cause, renforcé ses mesures de protection et entretient des échanges étroits avec les autorités de surveillance et d'enquête. Qui se trouve derrière l'attaque et comment l'accès a techniquement réussi n'apparaît pas dans cette communication publique.
Un formulaire de contact peut contenir plus qu'une adresse
L'expression «données de contact» sonne comme un dommage limité. Dans un hôpital, le motif de la prise de contact est toutefois lui aussi pertinent. Selon le rapport de Medinside du 2 novembre, des personnes pouvaient décrire des problèmes médicaux dans le champ libre du formulaire. La communication succincte de la Charité ne détaille pas si de tels contenus ont effectivement fui, ni lesquels.
Le média spécialisé cite, en se référant au «Deutsches Ärzteblatt», environ 140 000 personnes concernées au total: quelque 46 000 employés et étudiants, 1 500 contacts pour les listes de presse et de newsletters ainsi que 90 000 utilisateurs du formulaire de contact. La Charité elle-même ne donne aucun chiffre total dans sa déclaration publiée. L'ordre de grandeur arrondi issu du rapport média doit donc être distingué d'une liste complète et vérifiable publiquement.
Un fonctionnement des soins sans perturbation répond en outre à une autre question que la protection des données personnelles. La clinique peut continuer à soigner ses patientes et ses patients alors qu'une fuite de données met néanmoins les personnes concernées en danger. La déclaration sur l'activité ne vaut donc pas feu vert pour la confidentialité des informations dérobées.
La faille PHP signalée auparavant est un autre dossier
La Charité distingue explicitement l'attaque d'une faille de sécurité PHP. En raison de cette faille, elle avait déjà mis son site web hors ligne à titre préventif la semaine précédente. La clinique déclare qu'il n'existe aucun lien avec la fuite de données désormais confirmée.
La précédente mise hors service ne constitue donc pas une explication établie de la récente attaque. De même, la communication publique ne permet pas de conclure à des systèmes cliniques chiffrés ni à des appareils médicaux hors service. Ce qui est confirmé, c'est une attaque contre le serveur web qui héberge aussi le site internet.
Pour un hôpital, il s'agit de tâches distinctes: garantir l'activité de soins, déterminer l'ampleur des données écoulées et informer les personnes concernées. Les mesures techniques qui ont suffi dans le cas précis ne peuvent pas encore être évaluées à partir d'une communication générale sur des protections renforcées.
En Suisse, deux voies d'annonce différentes coexistent
Les institutions suisses soumises à l'obligation d'annoncer pour les infrastructures critiques doivent signaler les cyberattaques pertinentes à l'Office fédéral de la cybersécurité (OFCS) dans les 24 heures suivant leur découverte. La règle s'applique depuis le 1er avril 2025. Si des indications manquent lors de la première annonce, elles peuvent être complétées dans les 14 jours.
Un arrêt d'exploitation n'est pas indispensable pour que l'obligation d'annoncer s'applique. L'OFCS mentionne explicitement aussi les attaques qui font fuir ou manipulent des informations, ainsi que l'extorsion, la menace ou la contrainte. Une fuite de données peut donc être pertinente alors que les soins continuent. Le fait qu'une institution donnée tombe sous cette obligation dépend de la loi sur la sécurité de l'information et des exceptions de l'ordonnance sur la cybersécurité.
À côté de cela, il y a l'annonce relevant du droit de la protection des données. Selon le droit fédéral, les responsables doivent annoncer une violation de la sécurité des données le plus rapidement possible au Préposé fédéral à la protection des données et à la transparence (PFPDT) lorsqu'un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées est probable. Une annonce à l'OFCS ne remplace pas cet examen.
L'autorité de surveillance compétente en matière de protection des données n'est pas partout la même pour les hôpitaux. Le PFPDT précise que le droit fédéral s'applique aux dossiers médicaux des cliniques privées, mais que le droit cantonal de la protection des données s'applique à ceux des hôpitaux titulaires d'un mandat de prestations cantonal. Une adresse d'annonce unique pour tous les hôpitaux suisses serait donc trompeuse.
Les personnes concernées ont besoin d'une information concrète
Pour les personnes dont les données ont fui, ce qui compte avant tout, c'est de savoir quelles informations sont concernées et quelles mesures de protection deviennent nécessaires. Dans le champ d'application du droit fédéral de la protection des données, les responsables doivent les informer lorsque cela est nécessaire à leur protection ou que l'autorité de surveillance l'exige. La Charité a annoncé une notification individuelle. Celle-ci doit désormais concrétiser, pour chaque personne concernée, les indications générales sur l'incident du serveur web.
Sources
- Charité: communication sur l'attaque du serveur web, 30 octobre 2026
- OFCS: obligation d'annoncer pour les infrastructures critiques
- OFCS: quelles attaques doivent être annoncées
- OFCS: champ d'application de l'obligation d'annoncer
- PFPDT: annonce des violations de la sécurité des données
- PFPDT: questions de protection des données sur les dossiers médicaux et les hôpitaux
- Medinside: fuite de données à la Charité, 2 novembre 2026
- Image de titre: Vysotsky, retouche Lear 21, Charité 2022, Wikimedia Commons
- Licence de l'image de titre: CC BY-SA 4.0
- Image de l'article: Derrick Coetzee, serveurs au NERSC, Wikimedia Commons
- Licence de l'image de l'article: CC0 1.0
