Un incident informatique entraîne la divulgation par erreur du statut infecté de patients au CoVid-19

L’affaire débute lorsqu’un individu de nationalité française reçoit par erreur un courrier électronique qui à la base ne lui était pas destiné.

Le courrier en question contenait des informations sensibles concernant d’autres personnes. Interrogé sur la question, l’assurance maladie a assuré que cet incident est totalement isolé et sans précédent. L’Agence a mentionné le fait qu’elle développe constamment les outils informatiques pour s’assurer que ce genre de choses n’arrivent pas. Cependant, l’incident a mi en évidence une défaillance notoire du processus de sécurisation des transactions électroniques. Surtout ce qui concerne le suivi et la protection des identités des personnes touchées par le covid-19.

Cet article va aussi vous intéresser : Un outil pour lutter contre les failles de sécurité affectant les robots industriels

On se rappelle que le 14 septembre dernier, un citoyen Français du nom de Antoine signalait une fuite de données assez surprenante. Il reçoit un courrier électronique dans un espace sécurisé un document PDF. Ces documents contenaient les informations de 3 personnes atteintes du CoVid-19.

Le plus embarrassant dans cette histoire, c’est que les documents qu’il reçoit contiennent des informations très détaillé de l’identité des personnes. On parle notamment d’informations telles que les noms et prénoms, des adresses géographiques, des numéros de sécurité sociale. Avec la mention que ces personnes étaient touchées par le covid-19. La question qui se pose légitimement dans ce contexte de savoir qu’est-ce qui est arrivé et comment ces données ont pu atterrir dans l’espace sécurisé de l’individu.

« Le courrier, reçu après avoir été déclaré positif à Covid-19, contient le prénom, le nom, l’adresse et le numéro de sécurité sociale de l’assuré. Antoine en a reçu trois qui ne lui étaient pas destinés » précise le média ligne Numerama. 5 minutes après avoir été prévenu de l’incident, l’institution a automatiquement réagi. L’assurance maladie a signifié avoir même lancé une enquête en interne pour découvrir d’où venait le problème. Elle réagit juste le lendemain à travers un courriel qui note ceci : « L’incident n’est pas dû à une faille de la sécurité informatique du compte Amélie ou du système informatique de l’Assurance Maladie, mais à une manipulation inappropriée d’un agent lors du chargement du courrier destiné à l’assuré. Il ne s’agit en aucun cas d’un problème généralisé ou fréquent. ».  Elle ajoute par la suite qu’elle allait contacter les 3 personnes dont les données ont été divulguée par erreur. Que si elle a tardé avant de les informer du problème, c’est que l’erreur n’aurait pas été vite aperçue. : « Votre signalement nous conduit naturellement à mettre en œuvre l’ensemble des obligations prévues par le Règlement général sur la protection des données dans l’intérêt de la protection des droits des personnes concernées. ». La notification aux personnes victimes des fuites de données est il faut le noter, une exigence prévue par le règlement général des données personnelles européen. Il a aussi exigé de le prévoir auprès de la CNIL

L’erreur puise sa source certainement dans le fait que Antoine, le citoyen qui a reçu les informations, avait aussi passer un test en laboratoire dans le but de connaître son statut face au CoVid-19. Ce dernier ayant été beaucoup en contact avec des personnes testées positives au CoVid-19. Évidemment son test j’ai aussi positif. Alors il reçoit un appel de la part de la brigade CoVid-19, une section de l’Assurance maladie, dans le but est de conseiller sur la conduite à tenir ainsi que de savoir les personnes avec qui il a pu être en contact, les personnes qui l’a côtoyé pendant les 5 jours qui ont précédé son test. 2 jours plus tard dans un courrier de rappel de respect des mesures barrière, l’Assurance maladie commet l’erreur de joindre à ce dernier courrier d’autres documents n’appartenant pas au citoyen. « Vu la sensibilité des données qui sont manipulées, la simple éventualité que l’erreur d’une seule personne puisse aboutir à ce genre d’incident ne devrait pas exister. Ici, un opérateur a probablement oublié d’ouvrir un fichier PDF différent pour chaque courrier, et les a à tort regroupés, sans s’en rendre compte. Cela signifierait que ce processus d’envoi d’email n’est pas automatisé, alors que le document est le même pour tous — il pourrait donc s’agir d’une procédure technique assez simple à mettre en place pour limiter les risques d’une erreur humaine » décrit Numérama.

Cette affaire sera notamment anecdotique. Si elle est grave parce que des données aussi sensibles ont pu être transmises à des individus autres que les véritables titulaires, il n’en demeure pas moins que l’impact a été assez moindre et facilement gérable. Le plus important est de trouver moyen d’éviter que cela n’arrive à nouveau. Pour cela l’assurance maladie assure : « L’éventualité d’un tel incident a déjà été identifiée. Pour y remédier, une solution technique est en cours de développement afin que ce type d’anomalie ne se reproduise plus. ».

Accédez maintenant à un nombre illimité de mot de passe :