Tribune : Les établissements de santé français sous-estiment le risque de fuite de données

Les assurances sur les cyber-risques peinent à décoller en France, malgré des besoins identifiés par les professionnels. Alexandra Gavarone, directrice du développement de Beazley en France, revient sur ce phénomène dans cette tribune.

Le 7 octobre dernier, la CNIL rendait publique sa mise en demeure prononcée 12 jours avant, à l'encontre du Centre hospitalier de Saint-Malo, pour avoir permis à l'un de ses prestataires d'accéder aux dossiers médicaux de 950 patients, au mépris du Code de la santé publique. En début d'année, l'hôpital Foch de Suresnes et le Pôle de santé du Plateau des villes de Clamart et Meudon faisaient face à la fuite sur Internet de données médicales, liées à leurs patients.

Pour chacun de ces 3 exemples, l'erreur humaine a été à l'origine de la fuite, comme elle l'est dans 36% des cas de perte de données, généralement causée par une mauvaise manipulation ou par la perte d'un périphérique amovible, une clé usb par exemple. En matière de cyber-fuite, le risque d'erreur humaine reste très important et ce, malgré tous les pare-feux, procédures et protections informatiques, dont l'entreprise peut se doter en prévention.

Pour autant, les établissements de santé français ne semblent pas avoir pris la mesure des risques de cyber-fuites ! Sur les 2.700 établissements de santé que compte la France, toute catégorie confondue, rares sont ceux qui ont pris les précautions nécessaires, en cas de perte de données sensibles, selon nos remontées-terrain. Et pourtant, l'établissement de santé, garant de la protection des données personnelles de ses patients et du secret médical s'expose, en cas de diffusion d'informations couvertes par le secret médical à de lourdes sanctions pénales et financières, auxquelles s'ajoutent des sanctions disciplinaires pour les médecins. Sans parler, bien sûr, des conséquences directes pour la réputation de l'établissement, à l'heure de la viralité des informations.

Les actes de piratage et d'attaques malveillantes représentent 56% des cas de pertes de données aux Etats-Unis

Les cas de fuites de dossiers médicaux relayés par voix de presse ces dernières années montrent la fragilité du système. Quid demain d'une cyber-attaque ciblée ? Les actes de piratage et d'attaques malveillantes représentent 56% des cas de pertes de données aux Etats-Unis, où les procédures d'enregistrement centralisées sont mieux développées qu'en France. Bien qu'à ce jour, la CNIL n'ait pas été saisie de cas de piratage ou d'intrusion dans le domaine de la santé, le risque de chantage numérique, déjà constaté aux Etats-Unis, est pourtant bien présent. Un hacker malintentionné n'aurait aucun mal à s'introduire dans les systèmes informatiques d'un établissement de santé et monnayer les milliers de dossiers personnels trouvés.

Quant on sait les difficultés financières dans lesquelles se trouvent nos établissements de santé, en particulier les hôpitaux, peuvent-ils encore croire qu'ils auraient les ressources budgétaires pour gérer les poursuites judiciaires découlant d'une large propagation des données de leurs patients ?

Parce qu'ils représentent une cible particulièrement sensible, les établissements de santé ne peuvent plus se cacher aujourd'hui derrière une réglementation européenne, encore en chantier en matière de notification des pertes de données personnelles. Ils doivent pouvoir se doter, dès à présent, des mesures de gestion de crise adaptées pour réagir instantanément, en cas de perte de données et protéger leurs patients. Le préjudice personnel pour le patient, associé aux enjeux financiers et de réputation pour l'établissement sont bien trop importants, pour continuer de prendre le risque à la légère. Aux Etats-Unis, 21 millions de patients ont été impactés par une violation de données depuis 2009...

Alexandra Gavarone