Vos données médicales en libre accès sur Internet ?
Rapports médicaux de patients ou d’élèves : le site spécialisé Actusoins révèle que des informations confidentielles circulent sur le Web.
Michèle est Cannoise. (1) Elle souffre malheureusement d’un lymphome malin. C’est ce qu’indique son rapport de microbiopsie du sein émanant d’un cabinet de radiologie cannois. Inquiète, et on le serait à moins, Michèle a évoqué ses craintes avec un médecin, sur un forum privé de la Ligue contre le cancer. Sous un pseudo, elle y a publié le rapport, sans précaution. Ce document dit tout de sa santé, de son intimité, jusqu’au nom de son médecin, de son cabinet de radiologie, sa date de naissance. Ce document, ultra-confidentiel, s’est pourtant retrouvé en libre accès sur le Net, comme des milliers d’autres. C’est le site professionnel Actusoins qui l’a révélé. Dans le cas de Michèle, la faute revient à la Ligue contre le cancer qui avait stocké ces fichiers sans aucune précaution.
Dans un serveur ouvert
« Ils se trouvaient dans un répertoire commun à tous les documents de l’association, au milieu des flyers, des comptes rendus d’assemblées générales », commente Thomas Duvernoy, directeur de la publication d’actusoins, dont les équipes ont mené l’enquête. Tous ces documents se sont retrouvés indexés par Google. « Il suffisait de quelques mots-clés dans le moteur de recherche pour les retrouver. » Par imprudence, les données étaient stockées dans un serveur ouvert. Le cabinet de radiologie cannois n’est en rien responsable. Selon Actusoins, la Ligue contre la Cancer, interrogée sur ces faits, a renvoyé la balle dans le camp de l’utilisateur, mais a depuis changé les conditions générales (CGU) de son forum.
Une fuite de données de santé inquiétante qui ne se limite pas à la Ligue contre le cancer, loin de là.
« À aucun moment nous ne sommes entrés dans le système d’information d’un établissement de santé. Tout était disponible sur Google. Cette enquête a duré plusieurs mois », précise Thomas Duvernoy.
Indexés sur Google
L’académie d’aix-marseille a également mal protégé un document touchant une école primaire. Il révélait la leucémie de Lucien M. ou l’asthme de Manon D., « dans un document parfaitement indexé par Google, permettant à n’importe qui d’accéder à ces informations en cherchant les noms et prénoms de ces enfants ».
Les journalistes du site ont également mis la main sur des documents de l’hôpital de Millau, ou d’un centre pour adultes handicapés du Béarn.
Selon Thomas Duvernoy, le Règlement général sur la protection des données (RGPD), sensé protégé la vie privée, n’a rien changé. «Il est considéré par certains comme une petite couche esthétique qu’on a ajoutée aux sites. Il y a des pop-up partout pour accepter les cookies mais, derrière, on retrouve les mêmes erreurs, le même amateurisme. » Pour Actusoins, il s’agit bel et bien d’un problème structurel dans la gestion des données médicales auquel est confronté le secteur de la santé. Que faire si vos données ont été exposées ? Déposer plainte au pénal, intenter une action en réparation du préjudice subi, contacter directement l’organisme qui détient les données ou encore saisir la CNIL d’une plainte, détaille la Commission nationale de l’informatique et des libertés, interrogée par le site d’information médicale. 1. Son prénom a été modifié pour protéger son anonymat.