Podcast #44 : La confidentialité dans le secteur médico-social

Bonjour et bienvenue dans IN MY DATA, le podcast qui décrypte avec vous l'actualité du RGPD.

Je suis Geneviève Saquet, juriste et DPO chez FCN data (ex Blockproof) et aujourd'hui, on se retrouve pour le premier épisode de notre nouvelle saison. Je suis accompagnée de Tom et de Brandon qui sont également DPO chez nous.

Aujourd'hui, on va parler de confidentialité puisque notre but premier en tant que DPO, surtout spécialisé dans le médico-social, c'est de protéger la confidentialité des données des usagers des établissements qui sont nos clients. Et c'est encore plus important quand il est question de données de santé.

Respecter la confidentialité, c'est aussi anticiper des incidents de sécurité et des violations de données. Il est vrai qu'on le voit beaucoup dans l'actualité de nos jours. On a énormément de structures de tout type, que ce soit des banques, des associations ou même des organismes du médico-social qui sont touchés par des violations de données (fuites de données ou des incidents de cybersécurité) qui vont venir impacter ces données-là et notamment venir impacter sur la disponibilité et l'intégrité.

Dans cet épisode, nous allons nous intéresser à la confidentialité. Un concept est au cœur de cette thématique : la minimisation des données. Ce principe consiste à limiter les données collectées au strict nécessaire.

Au quotidien, cela concerne notamment les informations relatives aux personnes que nous accompagnons, comme les dossiers médicaux ou les documents administratifs. Ce principe s'applique également aux données du personnel, qu'il s'agisse des soignants ou des équipes administratives.

Nous manipulons de nombreux documents contenant des données personnelles : cartes nationales d'identité, attestations de sécurité sociale, dossiers administratifs, etc. Le principe de minimisation des données consiste à ne collecter que les informations strictement nécessaires. Autrement dit, si une donnée n'est pas utile, elle ne doit pas être demandée.

Avant toute collecte, il est essentiel de se poser une question simple : pourquoi collectons-nous cette donnée ? Chaque traitement doit répondre à une finalité précise et clairement définie.

Prenons un exemple : demander le permis de conduire d'un salarié alors que l'établissement ne dispose ni de véhicule de service, ni de véhicule de fonction, et que le salarié n'a pas à utiliser son véhicule personnel dans le cadre de ses missions. Dans ce cas, la collecte de cette information n'a aucune justification. Si l'on n'est pas en mesure d'expliquer pourquoi une donnée est collectée, c'est qu'elle ne devrait probablement pas l'être.

Ce principe est encore plus important lorsqu'il s'agit de données de santé. Le RGPD les considère comme des données sensibles, ce qui implique un niveau de protection renforcé. Leur collecte et leur traitement nécessitent donc une vigilance particulière et des précautions supplémentaires.

Par exemple, un établissement de santé souhaite commander un équipement spécifiquement adapté à la pathologie d'une personne accompagnée auprès d'un prestataire spécialisé. Dans cette situation, il n'est pas nécessaire de communiquer l'identité de la personne, ni de préciser sa pathologie. Seules les informations strictement indispensables à la commande doivent être transmises, conformément au principe de minimisation des données.

L'objectif est de garantir la vie privée des personnes que nous accompagnons, le prestataire n’a pas besoin de savoir quelle pathologie la personne que nous accompagnos a et bien sûr, nous n’avons pas besoin d’obtenir son nom et prénom. La question à se poser est : est-ce qu'il est nécessaire de donner cette information-là à une personne externe à l'établissement par exemple. Souvent, la réponse va être non. C’est ce qu’on appelle le respect du principe de minimisation.

Le principe de minimisation est véritablement au cœur du RGPD. C'est d'ailleurs un sujet que j'aborde systématiquement lors de mes actions de sensibilisation auprès des salariés.

Mais si l'on souhaite aller un peu plus loin, est-ce que la CNIL s'est, elle aussi, clairement positionnée sur ce sujet ?

Est-ce qu'il y a des actualités ou des prises de position récentes de la CNIL sur les questions de minimisation des données et de confidentialité ?

Oui, tout à fait. La CNIL publie régulièrement des recommandations et des analyses sur ces sujets.

Ces dernières années, les fraudes à l'Assurance Maladie se sont multipliées. À titre d'exemple, près de 316 millions d'euros de fraudes avaient été détectés en 2022, soit environ 1% des prestations servies. A t-on vraiment besoin de garder la copie exacte de la carte vitale dans nos serveurs par exemple ?

Non, généralement, il suffit d'avoir l'attestation parce qu'il y a le même nombre, le même concentré d'information dessus. On évite donc certains problèmes, notamment quand il y a des accès, des intrusions sur le système d'information.

La CNIL, elle, s'est vraiment positionnée contre la carte vitale biométrique, la fusion entre la carte Vitale et la carte d'identité. Je pense que ça, ça rejoint aussi ce principe de minimisation. On voit donc que le respect des principes de minimisation des données et de confidentialité est essentiel.

Cela fait d'ailleurs écho au projet SAFARI, qui visait à interconnecter plusieurs fichiers administratifs. La vive réaction qu'il a suscitée dans les années 1970 a marqué un tournant et a conduit à l'adoption des premières règles françaises en matière de protection des données personnelles, avant que ce cadre ne soit renforcé à l'échelle européenne.

La protection de la vie privée est donc un sujet historiquement important en France. Pourtant, avec le développement des usages numériques et la mondialisation, on entend parfois l'argument : « Je n'ai rien à cacher. » Cette perception peut conduire à banaliser la collecte de données personnelles et à affaiblir la culture de leur protection.

Dans le même temps, les incidents de sécurité et les violations de données se multiplient. Ils rappellent que toute donnée collectée représente une responsabilité et, potentiellement, un risque si elle est compromise.

Cela nous amène à une question importante : pourquoi chercher à collecter moins de données ? Autrement dit, en appliquant le principe de minimisation, peut-on aussi réduire les risques en cas d'incident ? Existe-t-il des exemples ou des événements qui illustrent concrètement les bénéfices de cette approche ?

Oui, tout à fait. Le principe de minimisation est étroitement lié à celui de la confidentialité. En ne collectant que les données strictement nécessaires, on réduit naturellement les conséquences potentielles en cas d'incident de sécurité.

En effet, si une atteinte à la confidentialité survient, le nombre de données concernées est limité. L'impact sur les personnes concernées est donc potentiellement moins important. Autrement dit, appliquer le principe de minimisation permet de réduire les risques et d'atténuer les conséquences d'une éventuelle compromission des données.

En pratique, le principe est simple : moins un organisme détient de données, moins il risque d'en perdre en cas d'accident ou d'incident de sécurité.

C'est précisément ce que l'on observe lors des violations de données. Celles-ci peuvent être provoquées par une cyberattaque, mais aussi par une erreur humaine ou un incident interne. Dans tous les cas, les conséquences sont d'autant plus importantes que le volume de données concernées est élevé.

L'actualité illustre régulièrement cette réalité. De grandes organisations, qu'il s'agisse d'enseignes de distribution, d'entreprises ou d'établissements financiers, sont parfois victimes de cyberattaques entraînant des fuites de données personnelles. Les informations compromises peuvent concerner l'identité des personnes, leurs coordonnées ou encore leurs données financières. Même si ces dernières ne sont pas considérées comme des données sensibles au sens du RGPD, elles restent particulièrement personnelles et leur divulgation peut avoir des conséquences importantes pour les personnes concernées.

Lorsqu'une violation de données survient, les conséquences peuvent être importantes. L'organisme perd alors le contrôle sur les informations concernées : il ne sait plus précisément où elles se trouvent, qui peut y accéder ni comment elles seront utilisées. Un cyberattaquant peut ainsi consulter, copier, modifier, supprimer ou divulguer ces données. Dès lors que des informations personnelles sont accessibles à des personnes non autorisées, on parle de violation de données.

Un exemple marquant est celui de Cegedim, éditeur de logiciels largement utilisé dans le secteur de la santé et du médico-social. À la suite d'un incident de cybersécurité, les données de nombreux professionnels de santé et de leurs patients ont été exposées. Plus de 1 500 praticiens ont été concernés et les informations de plusieurs millions de patients ont potentiellement été compromises à l'échelle nationale.

Cette affaire illustre l'importance du principe de minimisation. Lorsque des données sont stockées dans des logiciels métiers, notamment dans des comptes rendus ou des champs de saisie libre, il peut être tentant d'enregistrer davantage d'informations que nécessaire.

Pourtant, chaque donnée supplémentaire augmente les conséquences potentielles en cas d'incident.

L'enjeu est donc de s'interroger systématiquement sur la pertinence des informations collectées et conservées. Les professionnels de santé ne sont pas toujours familiarisés avec l'ensemble des exigences du RGPD, mais l'application du principe de minimisation contribue directement à mieux protéger les personnes concernées. En limitant les données enregistrées au strict nécessaire, on réduit mécaniquement le volume d'informations susceptibles d'être exposées en cas de violation de données. 

Un autre exemple concerne l'exercice des droits prévus par le RGPD, notamment le droit d'accès. Lorsqu'une personne en fait la demande, l'établissement ou le professionnel de santé doit être en mesure de lui communiquer l'ensemble des données personnelles qui la concernent. 

Cela implique de retrouver toutes les informations la concernant, qu'elles figurent dans des dossiers, des comptes rendus ou tout autre document contenant des données à caractère personnel.

Si des données ont été collectées au-delà de ce qui était nécessaire, cette recherche et cette transmission deviennent plus longues et plus complexes. Le non-respect du principe de minimisation peut donc entraîner une charge de travail supplémentaire, une perte de temps et une baisse de productivité pour les équipes. 

Enfin, lorsqu'on évoque une violation de données, on pense souvent immédiatement à une cyberattaque. Pourtant, les cyberattaques ne sont qu'une des causes possibles. Une violation de données peut également résulter d'une erreur humaine, d'un envoi à un mauvais destinataire, de la perte d'un équipement ou encore d'une mauvaise configuration d'un système d'information. Dans tous les cas, limiter les données collectées permet de réduire les conséquences potentielles de ce type d'incident. 

Lorsqu'on parle de confidentialité, il est également important de s'intéresser aux risques d'origine interne. Les cyberattaques sont souvent très médiatisées, mais elles ne constituent pas la principale cause des violations de données. Une part importante de ces incidents résulte d'erreurs humaines : un e-mail envoyé au mauvais destinataire, un document partagé par erreur ou encore une mauvaise manipulation. 

Dans ce type de situation, une personne non autorisée peut accéder à des informations auxquelles elle ne devrait pas avoir accès. Il s'agit alors d'une violation de données, puisque des données personnelles sont consultées, voire utilisées, sans autorisation. 

Les conséquences peuvent être importantes. Les informations divulguée, comme un nom, un prénom, une adresse, un numéro de téléphone ou des coordonnées bancaires, peuvent être exploitées à des fins frauduleuses, par exemple dans le cadre d'une usurpation d'identité ou d'une tentative d'escroquerie. L'impact dépasse alors la simple perte de confidentialité et peut avoir des répercussions financières ou administratives pour la personne concernée.

C'est pourquoi le respect des principes de confidentialité et de minimisation des données est essentiel. En limitant les informations collectées et en maîtrisant leur accès ainsi que leur diffusion, on réduit les risques et les conséquences d'une éventuelle violation de données. 

Cela nous ramène à l'exemple de l'incident ayant touché Cegedim. Les comptes rendus médicaux faisaient partie des données concernées. Cet exemple rappelle qu'à chaque fois qu'un professionnel renseigne des commentaires dans un logiciel de soins ou dans le dossier d'une personne accompagnée, il est utile de se poser une question simple : l'information que je m'apprête à enregistrer est-elle réellement nécessaire à l'accompagnement de cette personne ? Si la réponse est non, il est préférable de ne pas l'inscrire. C'est une application concrète du principe de minimisation des données. 

 Lorsque l'on renseigne des informations dans un dossier, il est utile de se poser quelques questions avant de valider son commentaire : ce que j'écris est-il réellement utile à l'accompagnement de la personne ? Est-ce que je reste factuel et objectif ? Est-ce que cette information est nécessaire à la prise en charge ? 

 Ces questions permettent de s'assurer que l'on respecte le principe de minimisation des données et que l'on n'enregistre pas d'informations sans lien avec la finalité du dossier.

 L'incident ayant touché Cegedim a d'ailleurs rappelé l'importance de cette vigilance. Parmi les données compromises figuraient des notes et des commentaires saisis dans les dossiers de certains patients. Dans certains cas, ces commentaires contenaient des informations qui n'étaient pas pertinentes au regard de l'accompagnement ou de la prise en charge. 

 On pouvait, par exemple, trouver des mentions telles que : « Sa fille porte le voile » ou « Sa mère va à l'église ». Ces informations révèlent des données particulièrement sensibles, notamment des convictions religieuses, sans qu'elles présentent d'utilité pour l'accompagnement de la personne. Leur présence dans le dossier illustre un non-respect du principe de minimisation des données : elles n'auraient pas dû être collectées ni conservées. 

 En réalité, c'est bien là l'essentiel : chaque information enregistrée doit avoir une utilité. Si elle n'a aucun lien avec l'accompagnement de la personne ou avec la finalité du traitement, elle n'a pas sa place dans le dossier. 

La question à se poser est donc toujours la même : est-ce que ce que je m'apprête à écrire est réellement utile à l'accompagnement de la personne ? À elle seule, cette réflexion permet déjà d'éviter de nombreuses erreurs et de mieux respecter le principe de minimisation des données. 

 Mais cette question, aussi importante soit-elle, ne suffit pas à elle seule. 

 Concrètement, quels sont les bons réflexes à adopter au quotidien pour renforcer la confidentialité des données ? Quels gestes simples permettent de limiter les risques de violation de données et de mieux protéger les informations que nous traitons, que ce soit dans une structure médico-sociale, une association ou une entreprise ?

L'objectif est le même dans tous les contextes : faire en sorte que les données personnelles restent accessibles uniquement aux personnes autorisées et qu'elles ne soient ni divulguées par erreur, ni compromises à la suite d'un incident de sécurité ou d'une cyberattaque. 

Quand vous avez besoin de transmettre, envoyer des données, notamment à des personnes externes à l'établissement, ce qui peut être intéressant, c'est de protéger cet envoi-là, de garantir la confidentialité de ces documents, car ils peuvent contenir des données personnelles ou la pièce jointe peut contenir des données personnelles. 

Pour sécuriser le transfert de documents contenant des données personnelles, il est recommandé d'utiliser des outils de partage sécurisés. 

Par exemple, des solutions comme Smash, un service français de transfert de fichiers, permettent de partager des documents de manière plus sécurisée. Selon les options de sécurité utilisées, il est notamment possible de protéger l'accès aux fichiers par un mot de passe, afin que seules les personnes autorisées puissent les consulter.  

Un autre point de vigilance concerne la communication par e-mail ou par messagerie électronique, même lorsqu'il ne s'agit pas directement d'envoyer des données personnelles. 

Lorsque vous sollicitez plusieurs personnes par e-mail, par exemple pour leur demander de transmettre un document contenant des données personnelles, comme une copie de leur carte nationale d'identité, il est important de prêter une attention particulière aux destinataires du message. 

En effet, l'utilisation de la copie carbone (Cc) ou de la copie carbone invisible (Cci) n'a pas les mêmes conséquences en matière de confidentialité. Si les destinataires sont placés en copie carbone (Cc), chacun peut voir l'adresse électronique des autres destinataires. En revanche, la copie carbone invisible (Cci) permet de masquer ces adresses et de préserver leur confidentialité. 

Au-delà des mesures techniques, il existe de nombreux gestes simples qui contribuent à protéger les données personnelles au quotidien. Ce sont parfois de petits détails, faciles à oublier, mais qui peuvent faire toute la différence. 

 Les erreurs d'inattention ou de précipitation peuvent arriver à tout le monde. Pourtant, leurs conséquences peuvent être importantes : divulgation de données à des personnes non autorisées, perte d'informations ou atteinte à la confidentialité des données personnelles. 

Il est également essentiel d'adopter de bonnes pratiques en matière de sécurité informatique. Cela commence par l'utilisation de mots de passe robustes, uniques pour chaque service ou application. C'est une recommandation que l'on ne rappellera jamais assez : réutiliser le même mot de passe sur plusieurs outils augmente considérablement les risques en cas de compromission. 

Autre réflexe indispensable : toujours verrouiller sa session lorsque l'on s'éloigne de son poste de travail, même pour quelques instants. Ce geste simple permet d'éviter qu'une personne non autorisée puisse accéder aux données ou aux applications de l'organisation. 

En effet, lorsque l'on parle de confidentialité, on pense souvent aux échanges de données avec l'extérieur. Pourtant, la protection des données commence aussi par son propre poste de travail. 

Garantir la confidentialité des données auxquelles on a accès au quotidien est essentiel. Un simple oubli, comme laisser sa session ouverte en quittant son bureau, peut permettre à une personne non autorisée d'accéder à des informations confidentielles et entraîner une violation de données. 

Exactement, ce sont les meilleurs conseils qu'on puisse vous donner.

A-t-on quelque chose à rajouter sur le sujet de la confidentialité ou bien est ce qu'on a fait le tour ? 

On peut également ajouter un point plus général. Entre les recommandations sur les mots de passe, le verrouillage de la session, la vigilance face au phishing, la navigation sur Internet ou encore la protection du matériel informatique, il peut parfois sembler difficile d'intégrer toutes ces bonnes pratiques au quotidien. 

Que ce soit dans la vie professionnelle ou personnelle, ces règles peuvent paraître nombreuses et contraignantes. Pourtant, elles ne doivent pas être perçues comme des obligations isolées, mais comme un ensemble de réflexes qui s'acquièrent progressivement. 

Je pense que nous pouvons conclure cet épisode consacré à la confidentialité des données. 

Merci beaucoup à Tom et Brandon pour leur participation et nous vous donnons rendez-vous très bientôt pour un nouvel épisode de In My Data.