Un identifiant à sept chiffres et sa date de naissance comme mot de passe: c’est ainsi qu’un auditeur de l’émission On en parle a pu consulter les résultats en ligne de tous ses examens médicaux des dix dernières années. Un accès à des données sensibles qui l’interroge sur de potentielles lacunes de sécurité. Mais que dit la loi?
Est-ce qu’un lien vers un site web, un identifiant à sept chiffres et sa date de naissance sont une combinaison assez sécurisée pour accéder à des données sensibles? Faudrait-il des mesures supplémentaires, par exemple une authentification à deux facteurs avec un code SMS, un e-mail ou une autre forme de vérification d’identité?
Un auditeur d’On en parle est arrivé ainsi sur une page contenant tout l’historique de ses analyses chez Unilabs depuis plus de dix ans. Il contacte le prestataire, qui lui répond que la combinaison de l’identifiant unique et de la date de naissance constituerait « un identifiant non devinable. » Le prestataire mentionne aussi d’autres mesures mises en œuvre pour garantir un certain niveau de sécurité: chiffrement des communications, hébergement sécurisé des données, surveillance des accès avec verrouillage si nécessaire et accès dans le temps limité.
Contacté également par l’émission à propos de la potentielle nécessité d’une authentification à plusieurs facteurs, Unilabs répond que son approche est « considérée comme conforme aux exigences légales. L’authentification multifactorielle est déployée pour certains services nécessitant un accès prolongé, à long terme ou longitudinal aux données médicales. Cependant, elle n’est pas systématiquement requise par la loi pour un accès ponctuel et temporaire aux examens d’imagerie. »
Selon le prestataire, le risque est évalué comme maîtrisé, et « sur demande explicite du patient, il est possible de désactiver définitivement l’accès en ligne aux examens. » Unilabs précise encore que ces préoccupations ont été transmises aux équipes concernées et seront prises en compte dans l’évaluation de leurs systèmes.
« Plus les données sont sensibles, plus les mesures de sécurité doivent être robustes »
On en parle a aussi interrogé le Préposé fédéral à la protection des données. Celui-ci répond que « d’une manière générale, plus les données traitées sont sensibles (comme des données de santé), plus les mesures de sécurité doivent être robustes, en vue de garantir la confidentialité, l’intégrité et la disponibilité de celles-ci. »
Le préposé précise également qu’il ne peut pas se prononcer sur le caractère adéquat des mesures de sécurité d’un système informatique concret sans l’avoir examiné, tout comme les circonstances.
Frédéric Erard, professeur de droit médical à l’Université de Lausanne, estime pour sa part que la pratique telle que décrite par l’auditeur semble insuffisante pour protéger des données médicales.
« La Loi fédérale sur la protection des données adopte une approche fondée sur les risques. Celui qui traite des données personnelles doit adopter des mesures appropriées par rapport aux risques et assurer que les personnes non autorisées ne pourront pas accéder à ces informations. De plus, la protection des données médicales est renforcée par l’obligation des professionnels de santé et de leurs auxiliaires à respecter le secret médical. Je n’ai pas examiné le système en question, mais un numéro attribué au patient avec la date de naissance comme mot de passe me semble a priori être une mesure insuffisante pour accéder à des informations d’imagerie médicale. Par exemple, un proche du patient n’aurait probablement aucune peine à y accéder. »
Sujet radio: Jérôme Zimmermann et Bastien von Wyss
Adaptation web: Myriam Semaani