Sécurité des données : la CNIL met en demeure l’Assurance maladie

Sécurité des données : la CNIL met en demeure l’Assurance maladie

Des malades

Avatar de l'auteur
Marc Rees

Publié dans

Droit

27/02/2018 4 minutes
16

Sécurité des données : la CNIL met en demeure l’Assurance maladie

Décision rare de la Commission informatique et libertés : une mise en demeure adressée à l’Assurance maladie dans le traitement SNIIRAM. La délibération de l’autorité est cependant peu bavarde sur les défaillances dont souffre ce système introduit par une loi de 1998.

En 2016, la Cour des comptes s’était penchée sur la question des données personnelles gérées par l’Assurance maladie. Au fil de ce document d’une bonne centaine de pages, elle relevait qu’à ses yeux, le Système national d’information inter-régimes de l’assurance maladie (SNIIRAM) méritait « un renforcement en continu des mises à jour en conformité de sécurité ».

Un traitement crucial puisqu’utile notamment aux politiques de santé publique, mais également pour gérer la partie administrative des prestations de soin, outre le régime d’assurance maladie. Les quelques éléments égrainés ont suscité la curiosité de la CNIL.

Elle a décidé de lancer plusieurs contrôles dans ce système avalant et stockant des centaines de millions de données sensibles (actes médicaux, feuilles de soins, date des soins, des séjours hospitaliers, remboursements, etc.), au surplus accessibles à « de très nombreux organismes : les caisses gestionnaires des régimes d’assurance maladie, les agences régionales de santé, des ministères, l’institut national des données de santé, des organismes de recherche, etc. » rappelle l’autorité. 

De nombreux manquements

Après deux années d’enquêtes au sein de la Caisse nationale de l’assurance maladie des travailleurs salariés (CNAMTS) responsable de la gestion technique de ce traitement, et de centres de maintenance, la CNIL a dénoncé tout bonnement « de nombreux manquements à la sécurité des données à caractère personnel traitées dans le cadre du SNIIRAM ».

Elle épingle des insuffisances en termes de pseudonymisation, des procédures de sauvegarde, dans « l’accès aux données par les utilisateurs du SNIIRAM et par des prestataires », dans « la sécurité des postes de travail des utilisateurs du SNIIRAM, les extractions de données individuelles (…) ainsi que la mise à disposition d’extractions de données agrégées ».

Des annexes restées secrètes

La délibération reste toutefois très superficielle dans le niveau de détail. Elle fait référence à des annexes qu ont été volontairement gardées secrètes, sans doute parce que des brèches restent encore lourdement problématiques. Questionnée la CNIL nous explique que l’annexe n’est pas communicable en vertu de l’article L.311-5 du code des relations entre le public et l’administration selon lequel «… ne sont pas communicables les documents administratifs dont la consultation ou la communication porterait atteinte « à la sécurité des systèmes d'information des administrations ».

Pour l’autorité, ces défaillances traduisent en tout cas un manquement direct à l’article 34 de la loi de 1978. Un texte qui oblige tout responsable de traitement à sécuriser les données, et prévenir les risques afin notamment d' « empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès ».

La CNAMTS a désormais trois mois « pour garantir la sécurité et la confidentialité des données à caractère personnel traitées ». À l’issue de cette période, ou bien le dossier sera classé ou bien un rapporteur sera désigné pour préparer une future sanction (selon la période considérée par les brèches, jusqu’à 3 millions d’euros d’amende, sans oublier d’éventuelles sanctions pénales).

Données de santé et RGPD

Les données de santé sont celles faisant l’objet d’une attention particulière au sein du règlement général sur les protections de données personnelles (notre dossier) : analyse d’impact (article 35), registres des activités de traitement (article 30), etc. D’éventuelles fuites ou de défauts dès la conception même du système, peuvent ensuite engendrer des sanctions nettement plus lourdes (jusqu’à 10 millions d’euros pour les seuls articles précités).

Écrit par Marc Rees

Tiens, en parlant de ça :

Sommaire de l'article

Introduction

De nombreux manquements

Des annexes restées secrètes

Données de santé et RGPD

Commentaires (16)


L’horreur totale, on peut difficilement faire plus sensible, comme données…

 

C’est très décevant et j’espère que ça ira à des sanctions pénales en cas de manquement grave.

 

Je vois mal comment les amendes pourraient changer grand-chose, sachant qu’elles seront de toute façon réglées par les contribuables (et victimes…)

 








Groupetto a écrit :



L’horreur totale, on peut difficilement faire plus sensible, comme données…

 

C’est très décevant et j’espère que ça ira à des sanctions pénales en cas de manquement grave.

 

Je vois mal comment les amendes pourraient changer grand-chose, sachant qu’elles seront de toute façon réglées par les contribuables (et victimes…)

 





Surtout que s’il est mis en avant la RPGP, les textes qui imposent des obligations précises et sanctionnées (notamment pénalement) existent depuis des lustres et plus encore avec la Loi sur les données de santé de 2016…



Néanmoins et si certains manquements semblent grossiers, je note aussi (pour connaître des prestataires dans ce milieu) que des décrets d’application manquent sur certaines obligations techniques (plus exactement ce qui est attendue comme degré de sécurisation).



Pourquoi, je ne suis pas surpris?



On garde en circulation des cartes vitale 1 de 1997 qui servent à identifier les patients et les dépenses qui en découle. Lorsque cela été remonté le patch a été de créer une liste noir de carte vitale dans toutes les pharmaciens. En effet dans les médias, les chercheurs avait prouvé leur dire en allant dans des pharmacies.Et depuis la sécu ne pressent toujours pas pour retirer ces cartes vitale 1.

Heureusement que la sécurité des flux de données est faite par les CPS qui sont renouvelées très fréquement par l’ASIP Santé.


Système National d’Information Inter-Régimes de l’Assurance Maladie (SNIIRAM) is the new name of Système Automatisé pour les Fichiers Administratifs et le Répertoire des Individus (SAFARI). <img data-src=" />








Radithor a écrit :



Système National d’Information Inter-régimes de l’Assurance Maladie (SNIIRAM) is the new name of&nbsp;Système Automatisé pour les Fichiers Administratifs et le Répertoire des Individus (SAFARI).&nbsp;<img data-src=" />



<img data-src=" />



Soyons fou, le prochain a saisir du dossier: l’ANSSI


Les cartes Vitale 1 représentent encore 50% du parc, le coût est important pour le remplacement.&nbsp; Ou disons un remplacement massif autre que naturel (les cartes sont fabriqués en V2 avec photo, et des V1 sont détruites pour raisons de décès, vol, perte…)

Donc si on compense ce coût par de la réduction de fraude, c’est bien… et sinon c’est du gaspillage. Est-ce vraiment&nbsp; intéressant?

&nbsp;

Imaginez un truc: Votre grand mère est malade, vous allez à la pharmacie avec l’ordonnance et sa carte vitale avec photo: A votre avis, la pharmacienne donne t’elle les médicaments ou les refuse t’elle?. 9 fois sur 10 elle les onne, et donc la photo sur la carte V2 ne sert à rien. Le projet de généralisation accéléré vers la V2 est donc tombé.



Ce n’est pas là qu’il y a de la fraude à aller chercher au niveau Assurance Maladie, mais il y en a ailleurs.



Concernant le SNIIRAM, tout le monde à intérêt à avoir des dépositaire de données public garant de nos donnée, car sinon ce seront des acteurs du privé qui s’en chargeront, et les enjeux sont énorme (en très positif et très négatif).&nbsp;

Au delà de la fraude&nbsp; imaginez un cas comme le Médiator: L’anomalie de mortalité lié aux prescriptions aurait pu être détecté bien plus tôt avec un gisement Big Data et les algo adaptés. On pourrait détecter les associations de logement/traitement et cancers par exemple. etc…


Sérieusement, c’est combien le coût d’une carte Vitale V2 ???


Mon pharmacien me donne les médocs de ma mère même si je n’ai pas la carte vitale.<img data-src=" />


Selon l’assurance maladie, le coût serait de 2,20 € + 0,50 € pour la photo, soit un total de 2,70 € par carte Vitale 2. Mais dans ce coût ne sont pas intégrés les frais de gestion dans les accueils des caisses pour aider certains assurés à remplir les dossiers de demande de cette carte. Le coût de la carte Vitale 1 était lui de 3,66 € à son lancement en 1998.

https://fr.wikipedia.org/wiki/Carte_Vitale_2


OK, donc 2.70 à multiplier par 30 Millions de carte V1 restante = 80 Millions d’euros. Le R.O.I. n’est pas si évident à trouver avec “juste” la photo qui de toute façon ne sert à rien. Et cela c’est effectivement sans compter le temps éventuellement passé par des agents en CPAM.



Par contre, en prenant un peu de recul, il y a d’autre choses:

La carte CEAM qui est nécessaire lors d’un voyage à l’étranger, qui a le même coût, et qui expire tous les 2 ans (bonjour le gaspillage…), et qui en France n’a pas de puce.



D’autres pays en Europe l’ont déjà fait, il y a moyen de mutualiser:




  • Visuel de carte CEAM pour la partie maladie sur le verso

  • Puce de la carte Vitale

  • Visuel de carte d’identité sur le recto



    Là, on passerait de 3 cartes à une seule, ce sont des économies franches pour l’état.








eureux a écrit :



La carte CEAM qui est nécessaire lors d’un voyage à l’étranger, qui a le même coût, et qui expire tous les 2 ans (bonjour le gaspillage…), et qui en France n’a pas de puce.





La CEAM ce n’est pas pour partout à l’étranger, c’est limité à l’Europe.

L’avoir est un plus, mais rien ne dit que le professionnel de santé à l’étranger s’en servira.



La CEAM est maintenant (j’espère ne pas anticiper une future annonce si le sujet est encore dans les cartons) affichable directement sur son smartphone. Je pense qu’elle continue à être produite mais une piste pour être de laisser le choix à l’utilisateur (de ne l’avoir que version dématérialisée ou pas).



ça n’empèche pas qu’il fallait la refaire tous les ans et maintenant tous les 2 ans alors que ma carte vitale date du siècle dernier et est toujours valide

Donc oui c’est du gachis








JoePike a écrit :



ça n’empèche pas qu’il fallait la refaire tous les ans et maintenant tous les 2 ans alors que ma carte vitale date du siècle dernier et est toujours valide

Donc oui c’est du gachis



Oui est non la mienne est de l’ancienne génération et doit être en rade depuis 2008-9 facile, faut que je pense à la refaire un jour au passage.



J’ai signalé une vulnérabilité critique au Service de Sécurité Opérationnelle de la CNAMTS le 2 mars 2017 relative aux comptes des assurés ameli.fr. Je l’ai fait sous forme de responsible disclosure. Près d’un an jour pour jour après, la vulnérabilité existe, à ma connaissance, toujours et permet de se connecter à des comptes d’autres assurés sous certaines conditions (que je ne révélerai pas).

Je me suis engagé à ne pas jamais dévoiler cette vulnérabilité, je ne vais donc pas le faire maintenant, mais ça montre à quel point la sécurité est plutôt mal gérée au sein de l’organisme.