Close
  • Français
  • English

Cybersécurité et santé, état des lieux [Par Hugo Lemarchand, CEIS]

Les problématiques liées à la cybersécurité sont omniprésentes et n’épargnent pas le secteur de la santé, en pleine expansion. Le secteur de la santé connait en effet une forte croissance d’activité liée notamment à la recherche d’une espérance de vie de plus en plus longue. En France, celle-ci a augmenté de 4 ans en l’espace d’une quinzaine d’années pour atteindre un peu plus de 81 ans en 2011[35]. Mais l’augmentation de la durée de vie a un coût : les dépenses de santé par habitant sont passées de 1600€ par an en 1995 à plus de 3000€ pour l’année 2011[36]. Cette croissance d’activité du domaine de la santé a eu pour effet d’augmenter de manière significative le marché des équipements et des solutions propres à ce domaine.

Mi-juin dernier, la FDA (Food and Drug Administration, les autorités sanitaires américaines) mettait en garde les acteurs du secteur médical contre les cyberattaques qui peuvent toucher les appareils médicaux reliés à Internet et, plus largement, les hôpitaux[37]. Précédemment, une patiente retrouvait ses données médicales à caractère personnel en libre accès sur le Web. Ainsi, les avancées sur le plan technologique, comme les pacemakers connectés, ou la dématérialisation des données médicales, avec l’exemple du DMP (Dossier Médical Personnel), contribuent à faire de ce domaine une cible idéale pour les hackers.

La protection des données à caractère personnel dans le domaine de la santé

Alors que l’opinion publique découvre le programme de surveillance PRISM, les données à caractère personnel n’ont jamais été autant au cœur du débat. Que ce soit l’Union européenne, qui souhaite poser un cadre réglementaire au niveau européen pour en réglementer l’usage[1], ou les fournisseurs de services cloud qui surfent sur la vague du cloud souverain[2], tous les acteurs d’internet sont mobilisés autour de cette problématique. Le secteur médical n’échappe pas à la règle, d’autant plus que les données issues de ce secteur[3] ont un caractère sensibles et son protégées par le secret professionnel[4]. La tendance à la dématérialisation a conduit à la création de nouveaux outils tels que le dossier pharmaceutique (DP) ou le dossier médical personnel (DMP).

.

Le DMP et le dossier pharmaceutique, des processus dématérialisés et vulnérables

Le DMP a été instauré dans le but d’améliorer la coordination et la continuité des soins tout en assurant une traçabilité de l’information, l’historique médical étant la condition d’une meilleure prise en charge du patient. Cet outil permet également la transmission des informations entre professionnels de santé[5]. L’accès aux informations qu’il contient (antécédents, allergies, médicaments délivrés, résultats d’examens, etc.) se doit donc d’être sécurisé.

Mais plusieurs actualités ont révélé des failles dans sa mise en œuvre : en mars dernier, une patiente a découvert des données médicales confidentielles à son sujet librement consultables et même modifiables[6]. Enregistrées lors de son hospitalisation, le stockage de ces données avait été confié à un sous-traitant. Mais ce cas n’est pas propre à la France : des journalistes québécois ont démontré la facilité d’accès aux dossiers médicaux des patients de plusieurs hôpitaux de Montréal en janvier 2013, accédant ainsi à des informations telles que la séropositivité des patients ou le détail de leurs traitements[7]. Ces affaires s’inscrivent dans le débat sur la confidentialité et la sécurité du DMP et posent de  nombreuses questions, dont celle de leur exploitation par des établissements bancaires et d’assurances par exemple.

Le dossier pharmaceutique concerne pour sa part aujourd’hui 26 millions de français. La quasi-totalité des pharmacies (97%) utilise ce système qui a pour objectif de d’améliorer l’utilisation des médicaments puisqu’il contient la totalité de ceux qui ont été délivrés pendant les quatre derniers mois[8]. Jusqu’à lors réservé aux officines, son utilisation va être étendue aux médecins hospitaliers.

La question de l’hébergement de données médicales

Afin de protéger ces informations, la France, s’est dotée en 2002 d’une réglementation spécifique[9] qui prévoit l’agrément des hébergeurs des données médicales, lorsqu’elles sont hébergées par un organisme distinct du professionnel ou de l’établissement de santé qui soigne le malade[10].

L’hébergeur est la personne, physique ou morale, chez laquelle les professionnels ou les établissements de santé déposent des données de santé à caractère personnel, recueillies ou produites à l’occasion des activités de prévention, de diagnostic ou de soins[11].

Une fois l’agrément obtenu, l’hébergeur se doit de répondre de la conformité de l’opération globale d’hébergement au regard des exigences de la loi, notamment en ce qui concernent la localisation des données de santé, qui devront être, sauf exceptions, stockées dans l’Union européenne[12]. D’autres exigences sont mentionnées par les textes : le consentement préalable du patient, le secret professionnel et l’obligation de sécurité (chiffrement, authentification et gestion des accès, traçabilité, redondance…), l’obligation pour l’hébergeur de conclure un contrat avec l’établissement de santé fournissant les données. L’agrément n’est d’ailleurs pas définitif : il est délivré pour une période 3 ans et porte sur une prestation bien définie[13].

En outre, l’Union européenne a lancé un projet intitulé epSOS (Smart Open Services for européen patients) dans le but de développer des normes et des standards européens qui assureront l’interopérabilité des systèmes dans le domaine de l’e-santé[14].

Les enjeux que représentent les données médicales, notamment en matière de responsabilité, ont fait émerger un nouveau marché pour les assureurs. Certains assureurs proposent par exemple aux établissements de santé une offre de couverture en cas de pertes de données[15].

Self Traking et réseaux sociaux, quelles problématiques ?

Figure 1[16], l’«  Instagram des médecins », est  utilisé par ces derniers pour échanger des photos sur des cas cliniques et récolter des avis de collègues[17]. Cette évolution soulève de nombreuses questions quant à la maîtrise des données échangées. Quid du statut de l’hébergeur de ces données ? Quid de l’anonymisation des photographies échangées ? Les réflexions sur la pertinence de l’anonymisation portées par la CNIL au sujet du nom et des pseudonymes peuvent être transposées : l’anonymisation est-elle réversible ou non ? Subsiste-t-il des éléments partiellement identifiants ? Qu’en est-il du risque de ré-identification du patient dont la photo a été diffusée, sans son consentement ?[18]

Une autre tendance est celle du « self quantified »[19], Self Tracking ou « quantification de soi ». Cette pratique consiste à mesurer, grâce à des objets connectés ou connectables, des données personnelles de santé au quotidien : calories consommées, nutrition, poids, pas réalisés, itinéraires parcourus, tension, qualité de sommeil…). Partant de la bonne volonté d’améliorer son bien-être, le self quantified pose de nombreux problèmes relatifs à la sécurité des données, souvent échangées sur des réseaux sociaux privés ou publics. La CNIL a pu préciser l’importance de rester vigilant sur la diffusion de certaines informations : « Une donnée peut sembler anodine pour un utilisateur au moment où il la partage, mais receler beaucoup d’informations pour un spécialiste qui pourrait y avoir accès par la suite. A titre d’exemple, une fois interprété, le rapport  poids/tour de taille peut être utilisé à l’appui d’une évaluation  du risque cardio-vasculaire… »[20] Ces prestataires ne sont toutefois pas qualifiés d’hébergeurs de données de santé, le régime ne s’appliquant qu’aux sociétés conservant des données de santé à caractère personnel reçues d’un établissement de santé ou d’un médecin[21].

Pages: 1 2