Fuite de données médicales pour un Groupe hospitalier privé de l’Artois

Fuite de données – Je vous parle, malheureusement, très souvent de fuites de données concernant le monde médical. Dans le Nord de la France, un groupe hospitalier privé de l’Artois vient de découvrir que des dossiers médicaux étaient accessibles sur la toile.

Fuite de données pour un groupe de santé du Nord de la France

La sauvegarde de données, et la fuite d’information, voilà deux sérieux problèmes. Trop d’utilisateurs d’informatique prennent cette sauvegarde par dessus la jambe. Trop d’entreprises ne savent pas qu’elles sont victime d’une fuite ! Je vous montre très souvent ces sociétés qui laissent trainer leurs données, celles de leurs clients, de leurs patients. Pas qu’ils soient idiots, mais ils font confiance aveuglement au matériel, logiciel, qu’ils ont acquis. Rien de plus dangereux qu’un internaute, un professionnel, se sentant en sécurité car il a acheté la solution informatique qu’on lui a tendu comme miraculeuse.

Le Groupe hospitalier privé de l’Artois vient d’en faire les frais. Un généalogiste a mis la main, sans le vouloir, sur des informations privées et sensibles. Comme le relate la Voix du Nord : l’identité des patients, les résultats de prises de sang, des comptes-rendus d’échographies ou de scanners, des informations personnelles sur les traitements médicaux, les allergies, les penchants occasionnels pour l’alcool. Des documents, au format PDF. La direction de l’établissement a expliqué que l’erreur était due à un oubli. Une sécurité n’avait pas été remise. « Notre prestataire a procédé à une intervention mardi. Il avait levé les pare-feu… et oublié de les refermer ! C’est une réparation immédiate et à distance, tout est rentré dans l’ordre. » relate la Voix du Nord.

Bref, pas de chiffrement ; un espace web pris pour un espace de stockage ; un « ‘simple » outil servant de serrure et un manque d’éducation évident sur la législation et la protection des données. Pour rappel, la Loi Informatique et Liberté (CNIL 1978) indique que tout responsable de traitement informatique de données personnelles doit adopter des mesures de sécurité physiques (sécurité des locaux), logiques (sécurité des systèmes d’information) et adaptées à la nature des données et aux risques présentés par le traitement. Ne pas protéger correctement des informations à caractère personnel, et sensibles (imprudence ou négligence) est puni de 3 ans d’emprisonnement et de 100 000 € d’amende (art. 226-22 du code pénal). Le non-respect de l’obligation de sécurité est sanctionné de 5 ans d’emprisonnement et de 300 000 € d’amende. (art. 226-17 du code pénal).