Vol avec effraction à l’hôpital Saint-Joseph : des données médicales dans la nature
Le 26 décembre dernier, l'hôpital Saint-Joseph, l'un des établissements de soins les plus fréquentés de Marseille, a été victime d'un vol dans un "bureaux de soins". Parmi les objets dérobés, un ordinateur qui contenait une sauvegarde des dossiers médicaux de très nombreux patients.
(Photo : Hôpital Saint-Joseph)
Un piratage de données numériques au pied de biche ? C’est bien d’un cambriolage à l’ancienne dont a été victime l’hôpital Saint-Joseph (6e), le 26 décembre dernier. L’objet du larcin l’est moins : le ou les cambrioleurs sont repartis de Saint-Jo’ avec un ordinateur contenant les données médicales et personnelles de centaines, voire de milliers de patients.
Ce jour-là, un homme – la direction de Saint-Joseph évoque “un voleur” – réussit à s’introduire par effraction dans un bureau de soins et dérobe deux ordinateurs. Or, dans l’une des deux bécanes, se trouvait “la copie des dossiers des patients présents dans l’établissement”, comme l’a confirmé à Marsactu le service communication d’Audéam, l’association qui réunit Saint-Joseph et l’hôpital européen, les deux principaux hôpitaux privés de la ville. Cette sauvegarde couvrait plusieurs semaines de données.
Données personnelles et médicales envolées
En plus du vol, l’établissement de soins se retrouve à gérer une potentielle fuite de données sensibles. Car les données envolées ne sont pas légères. Selon nos informations, il s’agit des éléments relatifs à l’identité des personnes (nom, sexe, date de naissance, numéro de sécurité sociale, adresse et téléphone) mais aussi d’une partie des données médicales desdits patients.
On peut y trouver les motifs d’hospitalisation, les prescriptions, des observations médicales et paramédicales et les ordonnances de sortie. Une large part des informations sensibles couvertes par le secret médical a donc pris la tangente avec le disque dur. Avec le risque non négligeable que ces données sensibles puissent faire l’objet de tentative d’escroquerie ou d’hameçonnage, par la suite. Voire à une revente à des personnes malintentionnées.
Tous les patients concernés ont été prévenus, mais parfois avec un mois de délai.
Jointe par Marsactu, la direction de l’hôpital indique avoir aussitôt porté plainte pour ce vol et notamment fourni des images de vidéo surveillances. Elle a aussi alerté les autorités compétentes comme le prévoit le règlement général sur la protection des données (RGPD). Pour l’heure, ni l’agence régionale de santé, ni la CNIL, ni l’autorité nationale de sécurité des services informatiques n’ont été en mesure de nous confirmer une telle saisine. Comme le prévoit également le RGPD, la direction de Saint-Joseph a joint par courriel l’ensemble des personnes dont les données ont ainsi fuité en leur demandant de faire état de possible tentative d’escroquerie. Une information que certains patients ont reçue un mois après l’incident.
Pour l’heure, la direction de Saint-Joseph refuse de préciser le nombre de patients concernés, mais il s’agit des personnes venues à l’hôpital dans les semaines précédant le vol. Et ces données ne concernent pas un seul service, mais l’ensemble des services qu’offre l’un des hôpitaux les plus courus de Marseille. Comment des données aussi sensibles peuvent-elles fuiter de façon aussi archaïque ?
Copie de secours des dossiers patients
Comme dans la plupart des établissements de soins, les dossiers des patients ne sont pas conservés sur place dans un bon vieux classeur à soufflets, mais en grande partie dématérialisés et stockés dans des salles informatiques sécurisées. Une sauvegarde est également stockée à 30 kilomètres au moins de l’établissement. Les personnels de santé ont accès au dossier patient informatisé, via l’accès à un logiciel intranet. En règle générale, les ordinateurs sur lesquels les personnels ont accès à ce dossier sont donc de simples terminaux où l’on ouvre des sessions, protégées par des codes et mots de passe. Cette session se clôt si l’ordinateur est coupé du réseau. Mais certains “bureau de soins” contiennent bien plus que de simples terminaux.
En effet, l’établissement doit être en mesure de fonctionner et d’accéder aux dossiers des patients même en cas de panne informatique ou de coupure sur le réseau. En 2019, le rapport de certification délivré par la haute autorité de santé à l’hôpital Saint-Joseph décrivait ce système de secours :
“En cas de panne informatique, un poste de secours situé dans chaque service (avec code d’accès) permet de récupérer les données. La procédure en cas de panne et l’existence de ce poste de secours sont connues des personnels rencontrés dans les services. À partir de ce poste de secours, les professionnels peuvent éditer l’intégralité du dossier patient (notamment le plan d’administration des prescriptions et les plans de soins).”
“La procédure de continuité d’activité est obligatoire dans tous les hôpitaux”, précise la direction de Saint-Joseph. En revanche, elle ne précise pas le niveau de protection auquel sont soumis les ordinateurs dérobés, en sus du “code d’accès” évoqué par le rapport de certification. Dans son mail aux patients concernés, la directrice générale, Sophie Dostert évoque “un accès protégé“, sans plus de précision.
Confidentialité non garantie
Malgré tout, il n’est pas possible de garantir totalement que [ces données] ne pourront pas être extraits puis partagés entre des personnes malveillantes.
Elle prévient néanmoins ces patients : “Malgré tout, il n’est pas possible de garantir totalement que ceux-ci ne pourront pas être extraits puis partagés entre des personnes malveillantes”. En effet, puisque le poste de secours doit être accessible à tout moment, le code qui bloque son accès est connu de plusieurs personnes. On imagine toutes sortes de possibilités, jusqu’au Post-it collé sur le disque dur…
Dans son rapport de 2019 sur l’établissement, la haute autorité de santé ne constatait pas de légèreté dans la gestion du dossier patient informatisé, mais évoquait des améliorations en cours. La direction de Saint-Joseph : “Cet évènement ne modifie pas les plans d’actions relatifs à l’amélioration continue de la sécurité informatique et de la protection des données, en cours dans l’hôpital”. Récemment, l’hôpital a communiqué à ses salariés un rappel des modalités de changement de mots de passe pour accéder au système d’information de l’hôpital.
Commentaires
L’abonnement au journal vous permet de rejoindre la communauté Marsactu : créez votre blog, commentez, échanger avec les autres lecteurs. Découvrez nos offres ou connectez-vous si vous êtes déjà abonné.
Vous avez un compte ?
Mot de passe oublié ?Ajouter un compte Facebook ?
Nouveau sur Marsactu ?
S'inscrire
Marsactu, ôtez-moi d’un doute. Si j’ai bien lu le papier, l’hôpital a été victime du vol matériel d’un ordinateur de sauvegarde de données très confidentielles. Cette sauvegarde parallèle est destinée à être utilisée exclusivement en cas de panne de l’internet. En cas de panne concomitante de l’intranet, cette sauvegarde permettrait également de consulter le dossier des clients en attente du rétablissement du réseau interne, ce qui peut être effectué par un clavier et un écran reliés directement à l’ordinateur-sauvegarde, celui-ci restant physiquement sous clé. Il ne s’agit donc pas simplement d’une fuite de données consécutive à un crackage de mot de passe via un réseau informatique. Je suis ahuri de constater qu’une grande société, très récemment restructurée et modernisée, conservant des informations si importantes sur ses “clients”, ait pu laisser des sauvegardes si sensibles à portée de main, de la main de quelqu’un connaissant sacrément bien le système de sauvegarde. On est loin des simples modalités de changement de mot de passe mentionnées en fin d’article.
Se connecter pour écrire un commentaire.
Bonjour monsieur, effectivement votre résumé de l’affaire est fidèle aux faits. Pour l’heure, rien n’indique que l’auteur du vol ait pleinement conscience de la valeur des informations contenues dans cet ordinateur. Même si la coïncidence laisse planer un sérieux doute. La mention de ce message sur la protection des mots de passe envoyé aux salariés est également à mettre sur le compte de la coïncidence. Elle venait souligner le caractère un peu dérisoire de la protection de ces données.
Se connecter pour écrire un commentaire.
Ça me fait penser à une anecdote :
Il y a quelques mois de cela, suite à une erreur de nom sur mon ordonnance faites le matin, je suis retourné à l’hôpital européen après avoir en vain essayé de joindre quelqu’un au téléphone.
Je suis arrivé à 15h45 un vendredi. Je suis entré sans difficulté car cela ferme à 16 h et que je n’avais pas de fièvre (contrôle effectué par un vigile au moyen d’un thermomètre à infrarouge à l’entrée) mais tous les bureaux des consultations du rez de chaussé était vides. J’ai fait le tour d’une dizaine de bureaux en ouvrant les portes (après avoir frappé plusieurs fois) puis je suis ressortis 15 minutes plus tard n’ayant absolument rencontré personne. Tout était ouvert.
J’avais le masque sur la figure et, habillé d’un KWay quelconque, je pense que je n’étais pas identifiable sur les éventuelles caméras de surveillance.
J’ai indiqué à mon épouse que j’aurais pu repartir avec trois ordinateurs portables que j’ai aperçu dans les bureaux en plus de tous un matériel médical qui, d’ailleurs, ne m’aurait été d’aucune utilité.
J’ai pensé que la sécurité était un peu défaillante, ces presque moments de week-end !
Se connecter pour écrire un commentaire.