Une fuite de données médicales a frappé la filiale américaine d’un groupe international d’appareils auditifs, qui avise maintenant sa clientèle. Selon The Record (Recorded Future News), dans un article du 9 novembre 2026, l’atteinte remonte au début de l’année.
L’essentiel
- Selon The Record, une entreprise d’appareils auditifs avise sa clientèle américaine d’une fuite de renseignements médicaux.
- L’incident est survenu aux États-Unis, pas au Canada, mais ce scénario guette toute PME détenant des données de santé.
- Au Québec, la Loi 25 impose de consigner les incidents de confidentialité dans un registre et, selon la gravité, d’aviser la Commission d’accès à l’information ainsi que les personnes touchées.
Ce que l’on sait de l’incident
Selon The Record (Recorded Future News), dans un article du 9 novembre 2026, la division américaine d’un groupe international d’appareils auditifs avise ses clients d’une atteinte survenue au début de l’année. L’incident s’est produit aux États-Unis. Les renseignements touchés comprennent des informations médicales, et la dépêche évoque des milliers de personnes.
Le secteur est celui des appareils auditifs et de l’audioprothèse, un métier de service de proximité, proche de celui d’une clinique ou d’un commerce spécialisé d’ici. La source ne précise ni la cause de l’atteinte, ni le détail des renseignements touchés, ni si des résidents canadiens figurent parmi les personnes avisées. Nous nous en tenons donc à ce qui est établi.
Un scénario de prévention mérite d’être gardé en tête. Un accès légitime au système qui contient les dossiers clients tombe entre de mauvaises mains, par exemple après un courriel d’hameçonnage ou un mot de passe réutilisé. Les données sont ensuite copiées sans bruit, et le constat peut venir des semaines ou des mois plus tard. Rien n’indique que l’incident rapporté se soit déroulé ainsi.
Une fuite de données médicales se paie en confiance, pas seulement en frais informatiques
Un renseignement de santé ne se remplace pas comme une carte de crédit. Quand il circule, le client se demande d’abord s’il peut encore confier son dossier à l’entreprise. C’est cette hésitation, répétée sur des centaines de clients, qui pèse le plus lourd sur le chiffre d’affaires.
Beaucoup de PME québécoises recueillent des renseignements médicaux sans s’en rendre compte: un formulaire d’admission, une note de suivi, une recommandation médicale versée au dossier d’une vente. Un cabinet de soins, un distributeur d’équipement, un employeur qui gère des réclamations d’assurance collective sont tous concernés.
Nous le rappelons sans détour: il n’existe pas de protection absolue, et aucun prestataire ne peut garantir un risque zéro. L’objectif réaliste est de réduire fortement l’exposition, en sachant où sont les données sensibles et en limitant le nombre de personnes qui peuvent y accéder.
Les vérifications à faire cette semaine
Ces vérifications se font côté direction, avec l’appui de votre prestataire informatique. Le temps qu’elles demandent varie selon la taille de l’entreprise et le nombre de systèmes en jeu. Elles servent à répondre à une question très concrète: si vos dossiers clients sortaient demain, sauriez-vous lesquels, pour combien de personnes, et qui avertir?
Dressez la liste des endroits où votre entreprise conserve les dossiers de santé ou d’assurance, y compris les boîtes de courriel et les chiffriers. Demandez à votre prestataire informatique qui détient un accès à ces dossiers, puis retirez les comptes d’anciens employés ou d’anciens fournisseurs. Activez la validation en deux étapes sur les courriels et les logiciels de gestion de la clientèle, en commençant par la comptabilité et la direction. Ouvrez un registre des incidents de confidentialité conforme à la Loi 25, et désignez la personne responsable de la protection des renseignements personnels.
FAQ
La Loi 25 s’applique-t-elle si je note des renseignements de santé sur mes clients?
Oui, dès que votre entreprise exerce au Québec et détient de tels renseignements. La loi vous demande de désigner un responsable de la protection des renseignements personnels et de tenir le registre des incidents de confidentialité. Lorsqu’un incident présente un risque de préjudice sérieux, l’obligation d’aviser vise la Commission d’accès à l’information et aussi les personnes touchées. La sensibilité des données pèse dans cette évaluation, mais elle ne suffit pas à elle seule à conclure que le seuil est atteint: l’appréciation se fait au cas par cas.
Un incident survenu aux États-Unis me concerne-t-il vraiment?
Le lieu change le cadre juridique, pas le mécanisme. Le cas rapporté par The Record s’est produit aux États-Unis, et les obligations québécoises ne s’y appliquent pas. En revanche, un commerce de Trois-Rivières ou une clinique de Laval conserve le même type de dossiers, dans des logiciels souvent identiques. Le scénario vaut donc ici aussi, avec cette différence que la Loi 25 encadre votre réaction.
Mon entreprise est petite, suis-je trop discret pour intéresser un attaquant?
Non, et c’est une idée coûteuse. Le Centre canadien pour la cybersécurité souligne que toutes les organisations canadiennes sont exposées, quelle que soit leur taille. Une petite structure dispose souvent de moins de surveillance, ce qui peut la rendre intéressante à bas effort pour qui cherche des dossiers monnayables.
Sources
- The Record (Recorded Future News) · presse, 9 novembre 2026
- Commission d’accès à l’information du Québec · obligations, registre des incidents et notification
- Centre canadien pour la cybersécurité : contrôles de cybersécurité de base pour les petites et moyennes organisations · liste de contrôles de référence
Source : The Record (Recorded Future News) · https://therecord.media/amplifon-hearing-aid-company-data-breach
Article préparé par la veille de RISS Canada à partir des sources publiques citées ci-dessus, avec l’aide d’outils d’intelligence artificielle, puis contrôlé selon notre charte éditoriale.
