TYGlobe

Où sont stockées les informations générées lors de nos consultations médicales, examens de laboratoire, examens cliniques et diagnostics médicaux délivrés dans les hôpitaux ? Combien de temps sont-elles conservées ? Peuvent-elles être utilisées par des tiers à notre insu ? Existe-t-il un risque de fuite de ces informations ? Dans plusieurs affaires judiciaires relatives à la fuite d'informations personnelles survenues dans des établissements de santé, nous constatons que ces problèmes ne doivent en aucun cas être négligés. Le présent article cite des affaires typiques tant en Chine qu'à l'étranger, analyse les points faibles existants en matière de sécurité de l'information au sein des établissements de santé et expose les stratégies de réponse correspondantes.

I. La haute sensibilité des informations médicales entraîne la gravité des conséquences de leur fuite.

Affaire de fuite d'informations médicales de LabMD des États-Unis

Le défendeur dans la présente affaire est un établissement de tests médicaux situé dans l'État de Géorgie des États-Unis, qui fournit des services de tests de laboratoire aux hôpitaux de toutes les régions des États-Unis. Les informations collectées par le défendeur comprennent non seulement les informations personnelles de base courantes, les numéros de sécurité sociale, les numéros de carte bancaire, etc., mais également un grand nombre d'informations médicales très sensibles, telles que les informations sur les tests de laboratoire, les codes de test, les résultats de test, les informations de diagnostic, l'historique des soins médicaux, etc. Selon les statistiques, le défendeur a obtenu et conservé les informations susmentionnées d'environ 750 000 personnes physiques dans le cadre de ses activités.

En 2008, un état financier mensuel appartenant au défendeur a été découvert sur un site web P2P (peer-to-peer). Ce document compte au total 1 718 pages et contient des informations telles que les noms, dates de naissance, numéros de sécurité sociale à neuf chiffres, codes d'identification CPT destinés aux tests de laboratoire, etc. d'environ 9 500 personnes physiques. En octobre 2012, lors de la perquisition au domicile d'un suspect poursuivi pour vol d'informations personnelles des citoyens, la police de Sacramento des États-Unis a découvert 40 documents intitulés «états journaliers» et 9 copies de chèques, impliquant environ 682 personnes. La police, soupçonnant que ces documents ont été divulgués par le défendeur LabMD, a informé de la situation la Commission fédérale du commerce des États-Unis (FTC). Cette dernière a lancé une enquête contre LabMD et a rendu une ordonnance de sanction de supervision à l'encontre du défendeur LabMD en juillet 2016.

La présente affaire a suscité un important retentissement social aux États-Unis. Les informations médicales des citoyens américains ont été divulguées publiquement sur Internet à leur entière insu. Selon les statistiques officielles, les victimes sont réparties dans de nombreux États du pays. L'un des points contentieux majeurs de l'affaire porte sur la question de savoir si la fuite d'informations médicales constitue un dommage substantiel (substantial injury), qui est l'élément clé permettant de juger de l'illégalité du comportement du défendeur. Au cours de la phase de décision initiale de l'affaire, le Juge de droit administratif (ALJ) a adopté une position négative à ce sujet, estimant que la fuite de ces informations n'avait pas causé de dommage objectif substantiel aux victimes, mais seulement des dommages subjectifs et moraux. À la phase de décision finale, la Commission fédérale du commerce a annulé la décision rendue par l'ALJ et a constaté que la fuite d'informations constituait «un dommage substantiel ou un dommage substantiel hautement probable». La Commission estime que les documents de 1 718 pages contiennent les codes d'examens de laboratoire des patients, qui concernent des informations personnelles hautement sensibles relatives au SIDA, à l'herpès, au cancer de la prostate, au taux de testostérone, etc. Ces documents ont été partagés sur le réseau peer-to-peer (P2P) par le personnel de LabMD pendant 11 mois, période au cours de laquelle toute personne pouvait les télécharger via un logiciel P2P. La fuite de ces informations est susceptible d'entraîner l'usurpation d'identité des patients et l'usurpation de leurs dossiers médicaux, de provoquer des erreurs de diagnostic et de mettre en danger leur santé et leur sécurité. Ce risque, qu'il se matérialise ou non, cause des dommages extrêmement graves une fois survenu, de sorte qu'il constitue déjà un «risque de dommage substantiel hautement probable». En outre, les informations médicales relèvent pour une large part de la vie privée des personnes, leur divulgation causera d'énormes préjudices psychologiques aux patients, ce qui constitue en soi un acte délictuel grave.

Cette affaire illustre pleinement la haute sensibilité des informations médicales et leur importance dans les travaux relatifs à la sécurité de l'information. Conformément à la *Loi sur la protection des informations personnelles* de la Chine, les informations biométriques et les informations de santé médicale des personnes physiques appartiennent aux «informations personnelles sensibles». Comme le prévoit la loi, ces informations sont des informations personnelles qui, en cas de fuite ou d'utilisation illégale, sont susceptibles de porter atteinte à la dignité des personnes physiques ou de mettre en danger leur sécurité physique et leur sécurité des biens ; le traitement des informations personnelles sensibles doit obtenir le consentement séparé de la personne concernée. Compte tenu de leur haute sensibilité, les informations médicales sont également incluses dans le champ de protection prioritaire par les autorités judiciaires. L'*Interprétation sur plusieurs questions relatives à l'application de la loi dans le traitement des affaires pénales d'atteinte aux informations personnelles des citoyens* fixe le seuil d'incrimination le plus bas pour les informations personnelles sensibles incluant les informations médicales : 50 pièces d'informations suffisent pour constituer un délit, tandis que le seuil d'incrimination est fixé à 500 pièces pour les informations sensibles générales et à 5 000 pièces pour les autres informations. Lors de la conférence de presse organisée pour la publication de ladite interprétation, le responsable des services compétents a indiqué que les délits d'atteinte aux informations personnelles des citoyens sont devenus les délits en amont de tous les autres types de délits : que ce soit le chantage et l'extorsion, la fraude par télécommunication ou autres délits, la plupart d'entre eux prennent l'acquisition illégale d'informations personnelles comme précondition. Les informations personnelles sensibles des citoyens telles que les informations de trace de déplacement, le contenu des communications, les informations de crédit, les informations sur les biens, les informations d'hébergement et les informations de transaction concernent la sécurité physique et la sécurité des biens. Une fois acquises, vendues ou fournies illégalement, elles sont très susceptibles d'entraîner la commission de délits connexes tels que l'enlèvement, la fraude, le chantage et l'extorsion, et présentent une nocivité sociale plus grave. Du point de vue des organes de la sécurité publique, la répression des délits d'atteinte aux informations personnelles des citoyens constitue l'une des mesures les plus importantes pour la gouvernance de la cybercriminalité.

II. «Agissements malveillants de personnes internes» : fuites d'informations «précises» résultant d'une collusion entre personnes internes et externes

Affaire n° 1 de fuite d'informations relatives aux femmes enceintes et parturientes survenue à Nanning, Guangxi

L'accusé Nong Mou est assistant médical au Centre de services de santé du district de Qingxiu, ville de Nanning. Il travaille dans ce centre depuis mars 2016 en qualité de médecin conseiller en santé des femmes, chargé des missions de conseil sanitaire et d'examen médical pour les femmes en période post-partum. L'accusé Yang Mou a fondé un établissement de rééducation post-partum dans la ville de Nanning, Région autonome Zhuang du Guangxi. Afin d'obtenir des ressources, il a pris contact avec cinq accusés dont Nong Mou pour recueillir des informations sur les parturientes et leur a versé des rémunérations à cet effet. Depuis décembre 2017, Nong Mou s'est connecté au système interne «Guifu'er» du centre avec son propre nom d'utilisateur et son mot de passe, a recherché les données des parturientes, les a photographiées et les a envoyées à l'accusé Yang Mou via WeChat. Le contenu de ces informations comprenait le nom, le numéro de téléphone, l'adresse, les examens prénataux, le mode et le lieu d'accouchement des parturientes, ainsi que le sexe et la date de naissance des nouveau-nés, pour une moyenne de 200 informations envoyées par mois. La Cour a établi que Nong Mou a fourni illégalement 1 304 informations personnelles de citoyens et a obtenu un bénéfice illégal de 24 000 yuans. Son acte entre dans la catégorie des cas prévus par la loi de «fourniture à des tiers d'informations sanitaires et physiologiques de citoyens obtenues dans l'exercice de ses fonctions, avec des circonstances graves», et constitue le délit d'atteinte aux informations personnelles des citoyens. Nong Mou a été condamné à une peine d'emprisonnement à durée déterminée d'un an et six mois, ainsi qu'à une amende de 30 000 yuans.

Affaire n° 2 de fuite d'informations des femmes enceintes et parturientes à Nanning, Guangxi

WU Jiamou et WU Yimou exploitaient un centre de massage et de soins de santé dans le district de Jiangnan, ville de Nanning, région autonome Zhuang du Guangxi, qui proposait principalement des services aux femmes en post-partum. Afin d'élargir sa clientèle, WU Jiamou a proposé à WEI Mou, infirmière principale du service d'obstétrique d'un hôpital de Nanning, de lui fournir les informations des femmes en post-partum, et lui a promis une rémunération de 50 yuans ou 60 yuans par nouveau client acquis, ainsi qu'une commission supplémentaire de 10% si le client effectuait des consommations ultérieures après avoir souscrit à une carte de membre. De 2018 à juin 2020, sous prétexte de besoin de données pour la rédaction d'une thèse, WEI Mou trompait des collègues disposant des droits d'accès pour se connecter au système «Poste d'infirmière» de l'hôpital afin de consulter les informations des femmes en post-partum, puis prenait des photos de ces informations et se les envoyait ; ou bien il consultait directement les informations des femmes en post-partum enregistrées dans le système «Guifu'er» (système de santé pour les femmes et les enfants du Guangxi) de l'hôpital via l'ordinateur de bureau du service et prenait les photos correspondantes. Il envoyait de temps en temps les photos des informations susmentionnées des femmes en post-partum à WU Jiamou via WeChat. WU Jiamou et WU Yimou utilisaient ensuite ces informations pour ordonner à leurs employés de contacter les femmes en post-partum par téléphone dans le but d'acquérir de nouveaux clients.

Selon l'enquête, Wei Mou a vendu à Wu Moujia et Wu Mouyi plus de 500 éléments d'informations physiologiques et de santé de parturientes, incluant leurs noms, adresses de domicile, numéros de téléphone, dates d'accouchement, modes d'accouchement, entre autres. Le parquet populaire a estimé que Wei Mou, ayant vendu à des tiers les informations obtenues dans l'exercice de ses fonctions, devait se voir infliger une peine aggravée conformément à la loi. Le 16 décembre 2020, le Tribunal populaire du district de Jiangnan a reconnu Wei Mou, Wu Moujia et Wu Mouyi coupables du délit d'atteinte aux informations personnelles des citoyens, et les a condamnés respectivement à des peines d'emprisonnement d'une durée allant de six mois à dix mois assortie d'un sursis de deux ans, ainsi qu'à des amendes.

«Les agissements des personnels internes malintentionnés» constituent désormais la cause principale des délits portant atteinte aux informations personnelles. Lors de la conférence de presse sur *l'Interprétation sur plusieurs questions concernant l'application de la loi dans le traitement des affaires pénales d'atteinte aux informations personnelles des citoyens*, organisée conjointement par la Cour populaire suprême, le Parquet populaire suprême et le Ministère de la Sécurité publique, les responsables des départements concernés ont indiqué qu'un grand nombre d'affaires de fuite d'informations personnelles des citoyens sont commises par des personnels internes, et que la trace de la participation de ces personnels internes malintentionnés se retrouve également dans de nombreuses affaires de transaction d'informations personnelles des citoyens. Dans de nombreuses affaires de transaction d'informations personnelles des citoyens résolues par les organes de sécurité publique, des fuites d'informations imputables à des personnels internes sont constatées. À l'heure actuelle, les préjudices les plus graves sont principalement causés par des personnels de divers secteurs tels que la banque, l'éducation, l'administration de l'industrie et du commerce, les télécommunications, la livraison express, les valeurs mobilières et le commerce électronique. En matière de lutte contre la délinquance, la frappe à la source constitue la mission la plus importante des organes de sécurité publique. Afin de renforcer concrètement l'intensité de la répression de ce type d'agissements, l'interprétation judiciaire susmentionnée prévoit une répression aggravée des actes de fuite d'informations commis par des personnels internes : pour les personnes qui entrent dans le cas de figure de «vente ou fourniture à autrui d'informations personnelles des citoyens obtenues dans l'exercice de leurs fonctions ou dans le cadre de la prestation de services», les critères quantitatifs et financiers de reconnaissance des «circonstances graves» sont réduits de moitié. Conformément à cette interprétation, si un agent d'établissement médical fournit des informations médicales en tirant parti des facilités liées à ses fonctions, le critère d'incrimination relèvera de la double norme «informations sensibles + sujet spécial», et la fourniture de 25 éléments d'informations suffira pour constituer un délit. Après la survenue de l'affaire de fuite d'informations médicales de la ville de Nanning, le Parquet populaire de l'arrondissement de Jiangnan de Nanning, au regard des problèmes de l'établissement médical concerné tels que la mauvaise gestion des informations personnelles des citoyens, le manque de contrainte disciplinaire envers les employés et l'insuffisance de l'éducation juridique, a émis une suggestion procureuriale pour inciter l'établissement médical concerné à procéder à une vérification rétrospective de sa gestion de la sécurité des informations, à améliorer les mesures et le système de gestion de la sécurité des informations des patients, et à prévenir la fuite d'informations personnelles des citoyens à la source.

Auteur du présent article : LI Chao