Averhealth/Avertest: incident relatif aux données de messagerie (2025-2026)

Averhealth a détecté une activité inhabituelle le 20 janvier et a sécurisé l’environnement; le fait que la période examinée s’étende jusqu’au 21 janvier ne doit pas conduire à supposer que l’accès s’est poursuivi.

HHS OCR fait état de 9 909 personnes concernées. Ce chiffre correspond au nombre de personnes visées par une notification réglementaire, et non à un nombre d’e-mails ou de lignes d’un jeu de données local, ni à la preuve que chaque champ était présent pour chaque personne. Le 6 mai, l’organisation a établi que des fichiers avaient pu être consultés ou obtenus, et elle a envoyé des notifications aux alentours du 2 juillet; aucune donnée personnelle ou de santé n’est importée localement.

Les champs, qui varient selon les personnes, portent sur les noms, les dates de naissance, les permis de conduire, les signatures électroniques, les numéros de sécurité sociale (SSNs), le statut de mineur, les données de compte patient, les informations cliniques ou diagnostiques, les numéros de police d’assurance, les frais médicaux, les dates de prestation, les antécédents, les prestataires de soins, les numéros de dossier, les traitements ou les procédures, ainsi que les affections mentales ou physiques. Les cartes et les comptes bancaires sont exclus.

La notification ne permet d’établir ni l’identité d’une personne, ni son statut de patient ou de client d’Averhealth ou d’Avertest, ni la réalisation de tests de dépistage de la consommation de substances, ni un suivi judiciaire, ni la participation à un programme de traitement, ni un statut de mineur, ni un diagnostic, ni un résultat de test, ni une relation avec un prestataire de soins, ni la présence conjointe de champs, ni un usage abusif. Le courrier adressé à la personne concernée fait foi quant au périmètre individuel.