France Travail, Parcoursup, des hôpitaux… Les violations des données s'enchaînent en France ces dernières années. Après le piratage du site des impôts cet été, l'Association de gestion du fonds pour l'insertion des personnes handicapées (Agefiph) viendrait à son tour d'être touchée. Le piratage a été revendiqué par le pseudonyme Syrv4x qui affirme avoir diffusé gratuitement les informations sur un forum. L'Agefiph n'a, à ce stade, pas communiqué publiquement sur le sujet.
Près de 4 000 personnes
La base de données se composerait de 3 736 lignes contenant des informations personnelles détenues par l'organisme chargé de favoriser l'insertion et le maintien dans l'emploi des personnes handicapées dans le secteur privé. Ce chiffre ne permet pas de déterminer le nombre exact de personnes concernées, certaines lignes pouvant correspondre à une même personne.
Des données sensibles
La base contiendrait des noms, dates de naissance, adresses, e-mails et numéros de téléphone, mais aussi des informations relatives à la nature du handicap, le statut professionnel, la reconnaissance de la qualité de travailleur handicapé (RQTH), etc. Certaines données concernant la santé sont donc classées « sensibles » au sens du Règlement général sur la protection des données (RGPD). Au même titre que des données génétiques, sur la vie ou l'orientation sexuelle ou encore les opinions politiques, il est interdit de recueillir et d'utiliser ces informations, sauf dans certains cas précis. Parmi les exceptions, on trouve notamment la justification « par un intérêt public », « un but médical » ou si la personne a donné son consentement « écrit, clair et explicite ».
Des risques de phishing
Si de telles données sont considérées comme sensibles, c'est que leur fuite comporte des risques particuliers. Si le type de handicap est associé à un nom et des coordonnées, cela peut faciliter des campagnes de phishing très ciblées, mais aussi exposer les personnes à des discriminations ou profilages. Cette affaire s'ajoute donc à la longue liste de fuites de données récentes en France. En cas de violation présentant un « risque élevé pour les droits et libertés des personnes concernées », l'organisme responsable doit les informer dans les meilleurs délais d'après le RGPD.
© Getty Images Signature
0
0