Vente de données de santé COVID-19 de la GGD

En janvier 2021, la GGD néerlandaise (Gemeentelijke Gezondheidsdienst — les services municipaux de santé chargés des tests COVID-19 et du traçage des contacts) a subi une importante violation de données d'origine interne. Des agents de centre d'appels disposant d'un accès légitime aux systèmes pandémiques nationaux ont volé les données personnelles de citoyens néerlandais et les ont vendues sur des messageries chiffrées, exposant l'une des bases de données les plus sensibles constituées pendant la pandémie.

Ce qui s'est passé

La GGD exploitait deux systèmes COVID-19 centraux : CoronIT, contenant les données personnelles de toute personne ayant réservé ou passé un test de dépistage, et HPzone Light, un système de traçage des sources et des contacts. Pour assurer le fonctionnement de l'opération nationale de dépistage, la GGD a recruté rapidement des milliers d'agents de centre d'appels — dont beaucoup ont obtenu un large accès à ces systèmes avec un contrôle limité et une surveillance faible.

En décembre 2020, des journalistes de RTL Nieuws ont découvert que des données personnelles provenant clairement des systèmes de la GGD étaient proposées à la vente sur Telegram, Snapchat et Wickr. Les vendeurs proposaient des fiches individuelles — noms, adresses, courriels, numéros de téléphone, dates de naissance et le BSN (Burgerservicenummer), l'équivalent néerlandais d'un numéro de sécurité sociale — pour environ 30 à 60 € par personne, des jeux de données en masse portant sur des milliers de citoyens étant vendus pour plusieurs milliers d'euros.

Impact

• Les champs exposés, en particulier le BSN, sont exactement ce qui est nécessaire pour l'usurpation d'identité et la fraude, rendant la violation particulièrement dangereuse malgré l'absence de « piratage » technique.
• La police néerlandaise a arrêté deux employés du centre d'appels de la GGD le 23 janvier 2021, suivis d'un troisième suspect quelques jours plus tard.
• Le scandale a déclenché un examen parlementaire d'urgence et a contraint la GGD à reconnaître que la fuite durait depuis des mois avant d'être détectée.
• La GGD a fait appel à Fox-IT pour analyser les journaux de CoronIT et surveiller ceux de GGD GHOR jusqu'à la mise en service d'une surveillance automatisée et continue à la fin mars 2021.

Pourquoi c'est important

L'affaire GGD est un cas d'école de menace interne et de défaillance de la gouvernance des accès. La violation n'a nécessité aucun logiciel malveillant ni aucune vulnérabilité logicielle — seulement un accès trop large, une journalisation insuffisante et l'absence de surveillance en temps réel au sein d'un effectif déployé en urgence. Elle a souligné que les systèmes de l'ère pandémique, construits et dotés en personnel sous une pression temporelle extrême, concentraient des données nationales très sensibles sans contrôles proportionnés. L'incident est devenu une référence dans les débats néerlandais sur la gouvernance des données de santé, les risques de confidentialité liés au BSN et la nécessité d'un accès au moindre privilège et d'une journalisation d'audit continue dans les systèmes publics critiques.