Clinical Diagnostics NMDL (Eurofins) : fuite dépistage cancer du col

En juillet 2025, le laboratoire néerlandais Clinical Diagnostics NMDL, situé à Rijswijk et filiale du groupe Eurofins Scientific, a été victime d’un vol de données. L’intrusion, attribuée au groupe de rançongiciel « Nova », s’est déroulée entre le 3 et le 6 juillet 2025 et a visé une partie des systèmes informatiques du laboratoire chargé d’analyser les frottis et auto-tests du programme néerlandais de dépistage du cancer du col de l’utérus (Bevolkingsonderzoek Nederland). Les données dérobées concernent des résidentes néerlandaises (UE) et comprennent noms, adresses, dates de naissance, numéros BSN (identifiant citoyen), résultats de tests, type d’examen et nom du médecin traitant.

L’ampleur a été revue à la hausse à plusieurs reprises. Le bilan initial communiqué début août 2025 faisait état de plus de 485 000 participantes touchées. Fin août, Bevolkingsonderzoek Nederland a annoncé environ 230 000 personnes supplémentaires concernées, portant le total à au moins 715 000 femmes ; le laboratoire n’a pas pu exclure un périmètre allant jusqu’à environ 941 000 participantes depuis 2017. L’observatoire retient une fourchette en raison de ces révisions successives.

L’incident a été notifié à l’Autoriteit Persoonsgegevens (autorité néerlandaise de protection des données) et a fait l’objet d’enquêtes de l’Inspectie Gezondheidszorg en Jeugd (IGJ) et du ministère public. Bevolkingsonderzoek Nederland a suspendu sa coopération avec le laboratoire et confié temporairement l’analyse des tests à un autre établissement, en précisant que les résultats de dépistage déjà rendus n’étaient pas affectés. Le délai de notification, intervenu environ un mois après la découverte, a été pointé comme un possible manquement aux obligations de signalement.

Selon des médias néerlandais (notamment RTL Nieuws, cité par Wikipédia NL), Eurofins aurait versé une somme importante, possiblement plusieurs millions d’euros, pour empêcher la publication des données ; cet élément n’est pas confirmé officiellement par le laboratoire et reste une allégation. Un volume limité de fiches (selon les sources, de quelques centaines à environ 53 500 enregistrements) aurait toutefois été brièvement publié sur le dark web avant retrait à la mi-août 2025 ; ce chiffre varie selon les sources et demande vérification.