Les faits se passent en France, où la Cnil – la Commission nationale de l'informatique et des libertés – vient d’infliger des amendes de 3.000 et 6.000 € à des médecins indépendants pour avoir insuffisamment protégé des données patients. Mais le scénario est tout à fait plausible en Belgique aussi, estime Jean-Marc Van Gyseghem, directeur de recherche et spécialiste en protection des données à l’UNamur.
A la faveur d’un contrôle en ligne, la Cnil a constaté que des milliers de scanners, IRM, radios et autres images hébergées sur des serveurs appartenant à deux médecins « libéraux » [nos indépendants, ndlr] étaient librement accessibles via le web, non systématiquement chiffrées, et assorties des nom, prénom, date de naissance et de consultation des patients.
Les praticiens incriminés ont admis « un mauvais choix de configuration de leur box internet et un mauvais paramétrage de leur logiciel d’imagerie médicale », relate la Cnil. Elle les a sanctionnés, sans dévoiler leur identité, pour deux entorses au RGPD : manquement à l’obligation de sécurité des données mais aussi à l’obligation de lui notifier les violations de données.
Aux yeux du RGPD, les données de santé sont d’office des données sensibles, imposant des garanties accrues en termes de préservation de leur confidentialité, commente Me Jean-Marc Van Gyseghem, juriste spécialisé. Les médecins français épinglés semblent avoir été trop confiants dans les réglages de leur système informatique interne. « A chacun son métier. Un médecin n’est pas informaticien. Il faut admettre avoir besoin d’experts. Il ne faut pas sous-estimer non plus l’évolution de la technique et celle des risques : il y a transformation perpétuelle de la menace. La sécurité des données personnelles, cela suppose des vérifications systématiques et des mises à jour, pour ne pas ouvrir de brèche dans le secret professionnel. » La Cnil ne dit pas autre chose dans sa décision de la mi-décembre, dont elle a souhaité assurer la publicité « pour alerter les professionnels de la santé sur leurs obligations ». Elle leur glisse d’ailleurs « de s’entourer de prestataires compétents ».
Bien que cette décision n’ait pas à sa connaissance d'équivalent au niveau de l'APD, l’Autorité belge de protection des données, Jean-Marc Van Gyseghem estime « tout à fait possible qu’on rencontre un jour le même genre de situation en Belgique ». On aurait tort de croire que l’APD ne s’attaque qu’à des gros poissons de type Gafam, explique notre interlocuteur. « Des titulaires de professions libérales, par exemple, ne sont pas à l’abri de ses contrôles. » Et de citer une récente amende administrative à l‘encontre d’un huissier de justice pour manquement à son obligation d’information [15.000 euros] ou la sanction d’un bourgmestre pour usage abusif de données personnelles en vue de sa campagne de réélection [5.000 euros]. « L’APD peut poursuivre de sa propre initiative ou intervenir sur plainte. »
