Les établissements de santé français sous-estiment le risque de fuite de données

 Le 7 octobre dernier, la CNIL rendait publique sa mise en demeure prononcée 12 jours avant, à l’encontre du Centre hospitalier de Saint-Malo, pour avoir permis à l’un de ses prestataires d’accéder aux dossiers médicaux de 950 patients, au mépris du Code de la santé publique. En début d’année, l'hôpital Foch de Suresnes et le Pôle de santé du Plateau des villes de Clamart et Meudon faisaient face à la fuite sur Internet de données médicales, liées à leurs patients. 

Pour chacun de ces 3 exemples, l’erreur humaine a été à l’origine de la fuite, comme elle l’est dans 36% des cas de perte de donnéesⁱ, généralement causée par une mauvaise manipulation ou par la perte d’un périphérique amovible, une clé usb par exemple. En matière de cyber-fuite, le risque d’erreur humaine reste très important et ce, malgré tous les pare-feux, procédures et protections informatiques, dont l’entreprise peut se doter en prévention. 

Pour autant, les établissements de santé français ne semblent pas avoir pris la mesure des risques de cyber-fuites ! Sur les 2700 établissements de santé que compte la France, toute catégorie confondue, rares sont ceux, qui ont pris les précautions nécessaires, en cas de perte de données sensibles, selon nos remontées-terrain. Et pourtant, l’établissement de santé, garant de la protection des données personnelles de ses patientsⁱⁱ et du secret médicalⁱⁱⁱ s’expose, en cas de diffusion d’informations couvertes par le secret médical à de lourdes sanctions pénales et financières, auxquelles s’ajoutent des sanctions disciplinaires pour les médecins^iv. Sans parler, bien sûr, des conséquences directes pour la réputation de l’établissement, à l’heure de la viralité des informations. 

Les cas de fuites de dossiers médicaux relayés par voix de presse ces dernières années montrent la fragilité du système. Quid demain d’une cyber-attaque ciblée ? Les actes de piratage et d’attaques malveillantes représentent 56% des cas de pertes de données aux Etats-Unis^v, où les procédures d’enregistrement centralisées sont mieux développées qu'en France. Bien qu’à ce jour, la CNIL n'ait pas été saisie de cas de piratage ou d'intrusion dans le domaine de la santé, le risque de chantage numérique, déjà constaté aux Etats-Unis, est pourtant bien présent. Un hacker malintentionné n’aurait aucun mal à s’introduire dans les systèmes informatiques d’un établissement de santé et monnayer les milliers de dossiers personnels trouvés. 

Quant on sait les difficultés financières dans lesquelles se trouvent nos établissements de santé, en particulier les hôpitaux, peuvent-ils encore croire qu’ils auraient les ressources budgétaires pour gérer les poursuites judiciaires découlant d’une large propagation des données de leurs patients ? 

Parce qu’ils représentent une cible particulièrement sensible, les établissements de santé ne peuvent plus se cacher aujourd’hui derrière une réglementation européenne, encore en chantier en matière de notification des pertes de données personnelles. Ils doivent pouvoir se doter, dès à présent, des mesures de gestion de crise adaptées pour réagir instantanément, en cas de perte de données et protéger leurs patients. 

Le préjudice personnel pour le patient, associé aux enjeux financiers et de réputation pour l’établissement sont bien trop importants, pour continuer de prendre le risque à la légère. Aux Etats-Unis, 21 millions de patients ont été impactés par une violation de données depuis 2009… 

A propos de Beazley en France : 

Beazley est un groupe international d’assurances spécialisées, opérant en Europe, aux Etats-Unis, en Asie et en Australie. La société mère, Beazley plc, cotée à la Bourse de Londres, gère cinq syndicats du Lloyd’s et a souscrit, en 2012, $1,896 million de primes brutes. Présent en France depuis plus de 10 ans, Beazley propose une large gamme de produits RC Professionnelles, Responsabilité des Dirigeants, Responsabilité Médicale et Cyber Criminalité, conçus pour s'ajuster sur mesure aux besoins pointus de leurs clients et aux particularités de leur activité. 

www.pertededonnees.com

i Privacy Rights Clearinghouse, 18 oct 2012 

ii Arts. L.1112-1 et R. 1112-7 du Code de Santé Publique 

iii Art. 4 du Code de déontologie 

iv Art. 226-13 du Code pénal 

v Privacy Rights Clearinghouse, 18 oct 2012