Confidentialité des données médicales : avertissement de la CNIL pour insuffisance des contrôles d’accès

La CNIL rappelle que la protection des données médicales nominatives du PMSI repose sur des mesures de sécurité adaptées. En application de l’article L. 6113-11 du code de la santé publique, le médecin responsable du département d’information médicale et les personnels placés sous son autorité sont soumis au secret médical. L’article R. 710-5-6 du même code impose au directeur de l’établissement, avec le médecin responsable et après avis de la commission médicale d’établissement, de préserver la confidentialité des données, notamment par l’encadrement des autorisations d’accès et l’enregistrement des accès.

La Commission a relevé l’absence de hiérarchisation des accès, la faiblesse des règles relatives aux mots de passe, l’accès possible à l’intégralité des dossiers et l’absence de journalisation des connexions et modifications. Ces insuffisances permettaient à tout utilisateur autorisé d’altérer les données sans traçabilité.

La CNIL a également constaté l’absence de formalités préalables pour plusieurs applications hospitalières. Elle a demandé, sous trois mois, une demande d’avis relative au nouveau système, détaillant les accès, les mots de passe et la journalisation, ainsi que les demandes d’avis concernant les applications déjà déployées. Sur le fondement de l’article 21-4° de la loi n° 78-17 du 6 janvier 1978, elle a adressé un avertissement à l’établissement.

⬇️Télécharger la décision version officielle

Dans un établissement hospitalier, un mot de passe permettait d’accéder à l’ensemble des dossiers médicaux sans hiérarchisation des accès. Les connexions et modifications n’étaient pas journalisées, empêchant l’identification des utilisateurs. La direction a reconnu ces insuffisances et annoncé une nouvelle application. La CNIL a également relevé l’absence de formalités pour d’autres traitements et adressé un avertissement.

Un établissement hospitalier exploitait un traitement informatique destiné à fournir les données médicales nécessaires au programme de médicalisation des systèmes d’information. Le traitement était géré par le directeur informatique, qui pouvait accéder à l’application.

Une mission de contrôle a révélé l’absence de hiérarchisation des accès. La seule détention d’un mot de passe, attribué et géré sans règles prédéfinies, permettait de consulter l’intégralité des dossiers. Les connexions et les modifications n’étaient pas journalisées, de sorte que les utilisateurs pouvaient modifier les données sans identification.

La direction a reconnu l’insuffisance des mesures et annoncé une nouvelle application. D’autres applications hospitalières n’avaient pas fait l’objet des formalités préalables requises. La CNIL a demandé plusieurs régularisations et adressé un avertissement à l’établissement.

• Traiter ou conserver des données médicales nominatives
• Garantir la confidentialité conformément à l’article R. 710-5-6
• Encadrer l’étendue et l’attribution des autorisations d’accès
• Définir une politique de mots de passe sécurisée
• Journaliser les connexions et les modifications de données
• Accomplir les formalités préalables applicables aux applications informatiques

• Compte-rendu de la mission de vérification sur place
• Constat d’accès possible à l’intégralité des dossiers
• Absence de hiérarchisation des autorisations d’accès
• Absence de journalisation du système et de l’application
• Possibilité de modifier les données sans identifier l’auteur
• Reconnaissance par la direction de l’insuffisance des mesures

L’établissement doit renforcer la sécurité de ses traitements de données médicales et régulariser les applications déjà déployées. L’avertissement souligne que les lacunes d’accès, de mots de passe et de traçabilité peuvent entraîner une intervention de la CNIL.

• Avertissement administratif adressé à l’établissement
• Nouvelle demande d’avis à transmettre sous trois mois
• Demandes d’avis à déposer pour les applications existantes
• Hiérarchisation des accès à mettre en place
• Connexions et modifications à journaliser
• Mesures de sécurité physique et logique à améliorer

À faire

• Hiérarchiser les autorisations d’accès aux dossiers
• Formaliser l’attribution et la composition des mots de passe
• Journaliser les connexions et les modifications
• Décrire les mesures de sécurité dans la demande d’avis
• Régulariser les applications déjà mises en œuvre

À éviter

• Permettre un accès global avec un simple mot de passe
• Attribuer des mots de passe sans règles prédéfinies
• Autoriser des modifications non traçables
• Déployer une application sans formalité préalable
• Négliger les mesures de sécurité physique et logique

La confidentialité des données médicales nominatives

L’article L. 6113-11 du code de la santé publique soumet le médecin responsable du département d’information médicale et les personnels placés sous son autorité au secret médical. L’article R. 710-5-6 impose au directeur de l’établissement de prendre les dispositions utiles pour préserver la confidentialité, notamment concernant les autorisations d’accès et leur enregistrement.

Les mesures de sécurité et la traçabilité des accès

La CNIL a retenu l’absence de hiérarchisation des accès, l’insuffisance des règles d’attribution et de gestion des mots de passe, ainsi que l’absence de journalisation du système et de l’application. Ces lacunes permettaient la consultation intégrale et la modification non traçable des données.

L’avertissement fondé sur l’article 21-4°

Après avoir constaté ces insuffisances et l’absence de formalités préalables pour plusieurs applications, la CNIL a demandé des régularisations, notamment une demande d’avis au titre de l’article 15 de la loi du 6 janvier 1978. Elle a adressé un avertissement sur le fondement de l’article 21-4° de cette loi.

Article 21 de la loi n° 78-17 du 6 janvier 1978, Article L. 6113-11 du code de la santé publique, Article R. 710-5-6 du code de la santé publique, Article 15 de la loi n° 78-17 du 6 janvier 1978, Article 21-4° de la loi n° 78-17 du 6 janvier 1978