TYGlobe

Dans l'article précédent, nous avons présenté à travers des cas concrets que, du fait des caractéristiques inhérentes aux informations médicales, leur divulgation illégale cause un préjudice extrêmement grave. Les autorités judiciaires et d'application de la loi tant en Chine qu'à l'étranger attachent toutes une grande importance à ce type d'incidents de sécurité. La divulgation d'informations médicales par le personnel interne des établissements médicaux qui profite des facilités dont il dispose dans l'exercice de ses fonctions est devenue un risque typique pesant sur la sécurité des informations des établissements médicaux. Le présent article poursuit, à travers l'analyse de cas, l'étude des risques de sécurité susceptibles d'entraîner la divulgation d'informations médicales, ainsi que les modalités selon lesquelles les établissements médicaux doivent renforcer la gestion de la sécurité des informations afin de prévenir la divulgation de ces dernières.

III. Le manque de supervision des services d'externalisation entraîne la divulgation d'informations médicales

Affaire GMR Transcription des États-Unis

GMR est une société établie en Californie aux États-Unis, spécialisée dans la transcription audio en texte. Ses clients comprennent des universités, des entreprises réputées, des organismes gouvernementaux, des établissements médicaux, entre autres. GMR exerce l'ensemble de ses activités par voie en ligne. Les établissements médicaux confient par voie en ligne à GMR les fichiers audio enregistrés au cours des prestations de diagnostic et de traitement pour transcription en texte. Après réception de ces fichiers, GMR les délègue à une société de saisie de texte implantée en Inde pour traitement. Sans avoir mis en œuvre aucune mesure de sécurité de l'information, GMR stocke ces fichiers sur ses serveurs loués afin que la société indienne puisse les télécharger, et n'exerce aucun contrôle sur le stockage et la transmission de ces fichiers par ladite société indienne. Ces fichiers audio et texte contiennent les informations suivantes : nom et prénom, adresse, date de naissance, adresse électronique, numéro de téléphone, numéro d'assurance sociale, numéro de permis de conduire, renseignements fiscaux, antécédents médicaux, résultats d'examens médicaux, dossiers de soins psychiatriques, etc. Ils comportent en outre un grand nombre d'informations de diagnostic et de traitement relatives à des enfants.

Les actes susmentionnés de GMR ont été reconnus illégaux par la Commission fédérale du commerce des États-Unis. Cette dernière a adressé à GMR une ordonnance de sanction, dont le contenu prévoit notamment l'obligation d'établir un mécanisme de sécurité de l'information, de se soumettre régulièrement à une évaluation de la sécurité de l'information, etc.

Affaire d'atteinte aux informations à caractère personnel commise par un agent chargé de la sensibilisation auprès des femmes enceintes d'un hôpital de Taizhou, Province du Jiangsu

Entre 2019 et 2020, le prévenu M. Xu a obtenu des informations contenant le nom, l'âge, le nombre de grossesses et d'accouchements, la date présumée de l'accouchement, l'adresse, les coordonnées et autres données des femmes enceintes à l'occasion de l'assistance qu'il apportait à l'Hôpital populaire de la ville de Taizhou (dénomination partiellement masquée) et à l'Hôpital de médecine traditionnelle chinoise de la ville de Taizhou (dénomination partiellement masquée) dans la mise en œuvre des activités de sensibilisation prénatale à l'intention des femmes enceintes. M. Xu a fourni ces informations aux autres co-prévenus par le biais de l'envoi d'images desdites informations sur WeChat, afin que ces derniers invitent les femmes enceintes à participer aux activités de sensibilisation prénatale organisées par les hôpitaux ou aux activités de promotion de marques, le nombre total des informations concernées s'élevant à plus de 7 000. Après instruction de l'affaire, le tribunal a estimé que le prévenu M. Xu a violé les dispositions pertinentes des réglementations nationales de la Chine, en obtenant illégalement des informations personnelles de citoyens et en les fournissant à des tiers dans des circonstances particulièrement graves. Il a été condamné à une peine d'emprisonnement de trois ans assortie d'un sursis de trois ans, et à une amende de 10 000 yuans renminbi.

L'externalisation de services est largement appliquée dans tous les secteurs d'activité. Toutefois, la négligence de la supervision et de la contrainte en matière de sécurité de l'information visant le personnel externalisé peut également entraîner des incidents graves de sécurité de l'information. Dans un cas survenu aux États-Unis, lorsque des établissements médicaux américains ont adressé à GMR Transcription une demande de transcription de fichiers audio en texte, ils n'ont absolument pas pris conscience des risques de fuite d'informations médicales, ont transmis sans la moindre précaution les enregistrements de consultation et de traitement contenant une grande quantité d'informations médicales à GMR par Internet sans chiffrement, et n'ont imposé aucune exigence ni contrainte en matière de sécurité au service de transcription de GMR. GMR n'a d'ailleurs pas «déçu» ces établissements médicaux : il a confié l'intégralité des fichiers à une société indienne pour transcription. Cette société indienne, dont la gestion de la sécurité est tout aussi «exemplaire», stockait les enregistrements audio médicaux et les documents textuels sur un serveur FTP, et transmettait les résultats de ses travaux à GMR par Internet sans chiffrement. Dans le cadre de ces opérations marquées par une «perte de contrôle sur l'ensemble du processus», la Commission fédérale du commerce des États-Unis (FTC) a constaté au cours de son enquête que le serveur FTP de cette société indienne accessible sur Internet pouvait être retrouvé via les moteurs de recherche grand public, que des milliers de documents médicaux envoyés par GMR à cette dernière pouvaient être consultés très facilement dans les répertoires du serveur, et que ces documents étaient entièrement accessibles au public. Outre les informations personnelles, ces documents contenaient également des informations hautement sensibles : informations sur les consultations et traitements des enfants, dossiers de troubles mentaux, dossiers de traitement pour alcoolisme, dossiers de traitement pour toxicomanie, dossiers d'avortement, etc. Il ressort de ce qui précède que si un établissement médical néglige la supervision et la contrainte visant le personnel des services externalisés, le préjudice qui en résulte n'est absolument pas moins grave que celui causé par le personnel interne de l'établissement médical. Par conséquent, cette question mérite également une attention particulière.

IV. Insuffisance des mesures de sécurité du système et manque de rigueur dans la gestion des comptes

Affaire de fuite des informations personnelles des patients de l'Hôpital Stomatologique de Zhengzhou

En juin 2018, le prévenu MA Moumou exerçait la fonction de directeur du département marketing de la succursale de la route Jingsan, district de Jinshui, de l'Hôpital dentaire Weimei de Zhengzhou, chargé de l'expansion du marché. Cet hôpital collecte et conserve les informations de base des patients, notamment le nom, le numéro de téléphone, le sexe, les dossiers de consultation, les dossiers de conseil, les dossiers médicaux électroniques et les dossiers de traitement, par le biais du système de logiciel d'assistance médicale «E Kanya». En juillet 2019, le prévenu MA Moumou a démissionné de l'Hôpital dentaire Weimei de Zhengzhou. En mars 2020, MA Moumou a été embauché par l'Hôpital dentaire Lesasha de Zhengzhou. Par la suite, dans les locaux de cet hôpital ou à son domicile, le prévenu MA Moumou a utilisé les identifiants et mots de passe qui lui appartenaient ou à d'anciens employés de l'Hôpital dentaire Weimei pour se connecter sans autorisation au système «E Kanya» de l'établissement susmentionné, puis a appelé les patients en utilisant leurs informations personnelles conservées dans le système pour les inviter à se rendre à l'Hôpital dentaire Lesasha de Zhengzhou pour des consultations, des traitements, etc. Selon les statistiques, MA Moumou a obtenu illégalement un total de 1 258 pièces d'informations personnelles. Le tribunal a reconnu MA Moumou coupable du délit d'atteinte aux informations personnelles des citoyens, et l'a condamné à une peine d'emprisonnement à durée déterminée d'un an ainsi qu'à une amende de 12 000 yuans RMB.

Dans la présente affaire, l'hôpital dentaire de Taizhou n'a pas annulé les comptes des employés en temps utile après leur départ, ce qui constitue un cas fréquent de fuite d'informations causée par des problèmes de sécurité du système informatique. Dans l'affaire de fuite d'informations médicales de l'entreprise américaine LabMD mentionnée ci-dessus, le manquement de cet établissement médical américain en matière de sécurité du système est également très représentatif. La Commission fédérale du commerce des États-Unis (FTC) a révélé à l'issue de son enquête que pendant la période allant de 2005 à 2010, LabMD n'avait pas mis en place de surveillance des fichiers ni de système de détection d'intrusion, et n'avait pas effectué de surveillance des informations entrant et sortant par le pare-feu ; il n'existait pas de gestion des mots de passe de connexion, et les mots de passe de connexion des ordinateurs d'au moins six employés avaient été définis depuis longtemps sur «labmd» ; les logiciels et les systèmes n'étaient jamais mis à jour, et aucune mesure de protection n'était prise contre les vulnérabilités connues d'intrusion illégale. En ce qui concerne la gestion des droits d'accès des employés aux systèmes ou aux équipements informatiques, les pratiques de LabMD sont encore plus ahurissantes : son logiciel de laboratoire LabSoft était initialement équipé d'une fonction de paramétrage des droits d'accès, mais LabMD l'a désactivée pour faciliter le travail, de sorte que même les étudiants effectuant un travail à temps partiel de courte durée pouvaient accéder facilement aux informations médicales des patients et aux informations sensibles connexes. Les représentants commerciaux de LabMD pouvaient utiliser les comptes des médecins pour se connecter au logiciel LabSoft et consulter les informations personnelles sensibles concernées. Jusqu'à l'automne 2009, le personnel administratif et le personnel commercial du défendeur disposaient tous des droits d'administrateur sur leurs ordinateurs, et pouvaient modifier les droits d'accès des ordinateurs de manière très arbitraire. La FTC estime que la conséquence la plus directe de la série de manquements de LabMD en matière de sécurité des systèmes est qu'un logiciel de partage pair à pair (P2P) dénommé Limewire a fonctionné pendant trois ans (2005-2008) sur l'ordinateur de son personnel comptable, et a partagé automatiquement les informations médicales stockées sur cet ordinateur sur le réseau.

V. Recommandations concernant la réalisation des travaux de sécurité de l'information par les établissements médicaux

1. Appréhender dynamiquement la «raisonnabilité» des mesures de sécurité de l'information en fonction des situations concrètes.

### Article 1226 du Code civil de la République populaire de Chine Les établissements médicaux et leur personnel médical doivent tenir confidentielles la vie privée et les données à caractère personnel des patients. Celui qui divulgue la vie privée et les données à caractère personnel d’un patient, ou qui publie ses dossiers médicaux sans le consentement de ce dernier, doit assumer la responsabilité délictuelle civile. Alors que la loi a prévu des dispositions spécifiques sur le devoir de confidentialité des établissements médicaux et de leur personnel médical, et que la sécurité de l’information semble difficile à prévenir dans de nombreuses affaires, la question de la prévention de la divulgation illicite des informations médicales cause inévitablement de l’anxiété aux professionnels du secteur. De fait, il n’existe pas de solution parfaite et définitive en matière de sécurité de l’information, que ce soit dans le domaine médical ou dans d’autres domaines. La Commission fédérale du commerce des États-Unis a fait la déclaration suivante sur la sécurité de l’information : la Commission n’exige jamais et il n’existe en réalité pas de soi-disant solution de sécurité parfaite ; les mesures de sécurité raisonnables constituent un processus d’ajustement dynamique constant en fonction de l’évolution de la situation. Le critère central d’évaluation du travail relatif à la sécurité de l’information est la «raisonnabilité» (reasonableness), laquelle se définit par le fait qu’une entreprise met en place des mesures de protection adaptées en fonction du volume, du degré de sensibilité et d’autres caractéristiques des données dont elle dispose. Lorsque vous réfléchissez aux travaux de sécurité de l’information de votre entité, de votre entreprise ou de votre département, vous pouvez aborder le sujet sous les angles suivants :

Les entreprises doivent savoir clairement quels types d'informations des consommateurs elles détiennent, et quels employés et quels tiers peuvent avoir accès à ces informations ; les informations collectées et conservées par les entreprises doivent se limiter au champ des finalités opérationnelles légales, sans collecte excessive d'informations, afin de réduire les risques liés à la sécurité de l'information. Elles doivent adopter des mesures de protection de la sécurité de l'information sur la base de l'évaluation des risques de sécurité, en particulier dans les domaines clés suivants : sécurité physique, sécurité électronique, formation du personnel, surveillance du personnel externalisé ; procéder à l'élimination régulière des données inutiles ; et élaborer des plans d'urgence pour les incidents de sécurité de l'information. Il convient de souligner que les exigences susmentionnées doivent être mises en œuvre de manière régulière et répétée en fonction de l'état de développement des entreprises, et ajustées dynamiquement, afin de garantir que les mesures de sécurité de l'information actuellement appliquées par les entreprises conservent en permanence leur «caractère raisonnable».

2. Gestion par niveaux et par catégories des domaines clés et des personnels ciblés

On peut également constater d'après les affaires précédentes que certaines activités spécifiques présentent un risque élevé de fuite d'informations, telles que les informations sur les femmes enceintes et parturientes, les informations dentaires, etc. mentionnées dans lesdites affaires. En conséquence, nous suggérons que les établissements médicaux procèdent au tri des informations médicales détenues par leur propre unité et leurs services, les classent en fonction du niveau de risque de fuite et du degré de sensibilité des informations, et adoptent des mesures de gestion «raisonnables» correspondantes. Par exemple, les informations sur la santé reproductive et la maternité ainsi que les informations de diagnostic et de traitement dentaires, qui sont les plus exposées aux risques de fuite, doivent faire l'objet d'une attention prioritaire. Le personnel ayant accès à ce type d'informations doit être limité à un cercle aussi restreint que possible, et les personnes dont la corrélation avec les activités concernées est faible et dont la nécessité d'accès n'est pas justifiée ne se voient accorder aucun droit d'accès aux informations. Nous avons également constaté dans les affaires que des fuites massives d'informations se sont produites du fait que le personnel disposait du droit de consulter l'intégralité des informations. Il est donc recommandé d'attribuer des droits de consultation différenciés en fonction de l'identité et des fonctions de chaque agent. Par exemple, la granularité des informations accessibles peut être définie en fonction de la nécessité professionnelle : les médecins, qui ont besoin de réaliser des actes de diagnostic et de traitement, disposent de la granularité d'informations la plus fine et la plus complète ; les infirmiers, pharmaciens et diététiciens, dont les fonctions professionnelles sont différentes, doivent accéder à des informations de degré de détail adapté à leurs missions. Le paramétrage des droits peut également être établi selon le principe de corrélation : par exemple, un médecin ne peut consulter que les informations médicales des patients qu'il a lui-même pris en charge, et non celles des patients pris en charge par d'autres médecins. Il est en outre possible de limiter la dimension temporelle de consultation en fonction du cycle de diagnostic et de traitement de l'activité médicale concernée, etc.

3. Établir les mesures et les systèmes de gestion de la sécurité de l'information

On peut facilement constater à travers plusieurs cas étudiés dans le présent article que certains établissements médicaux ne disposent pas d'un système raisonnable de sécurité de l'information. Après l'affaire de fuite d'informations des femmes enceintes et parturientes survenue à Nanning, Région autonome Zhuang du Guangxi, l'organe de poursuites publiques chargé de l'affaire a adressé des recommandations procuratoriales aux établissements médicaux, leur demandant d'améliorer les mesures et le système de gestion de la sécurité de l'information. Après deux affaires de fuite d'informations d'établissements médicaux aux États-Unis, la Commission fédérale du commerce (FTC) a souligné dans son ordonnance de sanction prononcée à l'encontre des entreprises impliquées l'obligation de mettre en place un système de sécurité de l'information. Les exigences relatives à ce «système de sécurité» reflètent également le principe de «raisonnabilité» : le système de sécurité de l'information doit être raisonnablement conçu pour protéger la sécurité, la vie privée et l'intégrité des informations personnelles collectées par le défendeur. Ce système doit comporter des mesures de protection aux niveaux administratif, technique et de la protection physique, et être adapté à la taille et à la complexité structurelle du défendeur, à la nature et à l'échelle de ses activités, ainsi qu'au degré de sensibilité des données à gérer. Le présent article propose que les établissements médicaux prennent en compte les capacités des aspects suivants lors de la mise en place du système de sécurité de l'information :

Capacité de détection des risques de sécurité de l'information internes et externes, qui comprend : la formation des employés à la sensibilisation à la sécurité de l'information et la gestion du personnel ; l'élaboration de mesures relatives au traitement, au stockage, à la transmission et à l'élimination des informations ; les mesures de prévention, de détection et de traitement des intrusions dans les systèmes informatiques, des attaques informatiques ou des pannes des systèmes informatiques, etc.

Capacité de test des risques, y compris : réalisation d'évaluations périodiques des risques, vérification périodique de l'efficacité des mesures de traitement, etc.

Élaborer des procédures raisonnables afin d'améliorer la capacité de sélection des prestataires de services externalisés, y compris la vérification de la capacité desdits prestataires à gérer les informations qu'ils obtiennent auprès des établissements médicaux, la contrainte des prestataires de services externalisés par voie contractuelle, etc.

Capacité à ajuster dynamiquement le système de sécurité de l'information en fonction des résultats des tests de risques, des ajustements des activités opérationnelles propres aux établissements médicaux ou de l'évolution de l'environnement.