L
e 7 octobre dernier, la CNIL rendait
publique sa mise en demeure pro-
noncée 12 jours avant, à l’encontre
du Centre hospitalier de Saint-Malo,
pour avoir permis à l’un de ses presta-
taires d’accéder aux dossiers médicaux
de 950 patients, au mépris du Code de
la santé publique.
En début d’année, l’hôpital Foch de
Suresnes et le Pôle de santé du Pla-
teau des villes de Clamart et Meudon
faisaient face à la fuite sur Internet de
données médicales, liées à leurs pa-
tients.
Pour chacun de ces 3 exemples, l’er-
reur humaine a été à l’origine de la
fuite, comme elle l’est dans 36% des cas de perte de don-
nées(1), généralement causée par une mauvaise manipu-
lation ou par la perte d’un périphérique amovible, une clé
usb par exemple.
En matière de cyber-fuite, le risque d’erreur humaine
reste très important et ce, malgré tous les pare-feux, pro-
cédures et protections informatiques, dont l’entreprise
peut se doter en prévention.
Pour autant, les établissements de santé français ne
semblent pas avoir pris la mesure des risques de cy-
ber-fuites !
Sur les 2700 établissements de santé que compte la
France, toute catégorie confondue, rares sont ceux, qui
ont pris les précautions nécessaires, en cas de perte de
données sensibles, selon nos remontées-terrain. Et pour-
tant, l’établissement de santé, garant de la protection des
données personnelles de ses patients (2) et du secret
médical(3) s’expose, en cas de diffusion d’informations
couvertes par le secret médical à de lourdes sanctions pé-
nales et financières, auxquelles s’ajoutent des sanctions
disciplinaires pour les médecins(4).
Sans parler, bien sûr, des conséquences directes pour la
réputation de l’établissement, à l’heure de la viralité des
informations.
Les cas de fuites de dossiers médicaux relayés par voix
de presse ces dernières années montrent la fragilité du
système.
Quid demain d’une cyber-attaque ciblée ?
Les actes de piratage et d’attaques malveillantes repré-
sentent 56% des cas de pertes de données aux Etats-
Unis(5), où les procédures d’enregistrement centralisées
sont mieux développées qu’en France.
Bien qu’à ce jour, la CNIL n’ait pas été saisie de cas de pira-
tage ou d’intrusion dans le domaine de la santé, le risque
de chantage numérique, déjà constaté aux Etats-Unis, est
pourtant bien présent.
Un hacker malintentionné n’aurait aucun mal à s’intro-
duire dans les systèmes informatiques d’un établissement
de santé et monnayer les milliers de dossiers personnels
trouvés.
Quant on sait les difficultés financières dans lesquelles
se trouvent nos établissements de santé, en particulier
les hôpitaux, peuvent-ils encore croire qu’ils auraient
RiskAssur-hebdo
- Le magazine professionnel des Risques et des Assurances
Abonnement gratuit sur
page 28 - Numéro 342 du 24 janvier 2014
Avis d’expert
Les établissements de santé français sous-estiment
le risque de fuite de données
par Alexandra Gavarone
