Le numérique s’installe de plus en plus dans nos vies (ok boomer), parfois au mépris de certaines règles élémentaires. Une partie du grand public en a pris conscience de manière brutale, en mars 2020 avec le confinement et la continuité pédagogique à distance.

• Fermeture des écoles, collèges, lycées et universités… le jour d’après
• L’autre versant des classes virtuelles : « piratages », intrusions, insultes et menaces

Éducation nationale, santé : même combat ?

Contrairement à ce qui avait été annoncé par Jean-Michel Blanquer, alors ministre de l’Éducation nationale et de la Jeunesse, tout n’était pas « prêt ». Chacun faisait ce qu’il pouvait, notamment au niveau des classes virtuelles. Rapidement, une solution a émergée… la plateforme américaine Discord, avec les questions que cela soulève sur la gestion des données personnelles et du RGPD, le tout avec des mineurs. On peut aussi parler des groupes de parents et/ou de profs sur WhatsApp, etc.

C’était simple, efficace et les solutions américaines tenaient la charge avec une excellente disponibilité, contrairement aux solutions françaises. Un autre exemple flagrant pour le grand public est ce qu’il se passe dans des pharmacies depuis des années et qui continue encore à se répandre : demander d’envoyer des ordonnances par mail, et plus particulièrement Gmail ou Hotmail. Sur les réseaux sociaux, les retours sont nombreux, et nous y avons été confrontés à plusieurs reprises, dans différentes villes.

Merci de nous envoyer vos documents sur… Gmail

Un panneau à l’entrée des pharmacies demande aux clients d’envoyer les documents électroniques (mutuelles et/ou ordonnance) par email à une adresse en @gmail.com, la messagerie de Google. Il y a également des Hotmail/Outlook (Microsoft) et certainement bien d’autres.

Comme toutes sociétés américaines, Microsoft et Google sont soumises au Cloud Act états-uniens, avec la possibilité pour les autorités d‘accéder aux données, sans informer le grand public. Niveau confidentialité, d’autant plus pour des données de santé, on a vu mieux…

• Cloud Act : l’accès aux données extraterritoriales « clarifié » aux États-Unis, mais critiqué

Si vous aussi vous avez des clients qui vous demandent « est-ce que vous êtes HDS ? » et que derrière dans toutes les pharmacies tu vois ça…. pic.twitter.com/r2j6bCWupM

— Julien OHAYON (@JulienOHAYON) December 1, 2024

Presque 10 ans que la CNIL met en garde

La question avait pourtant été abordée par la CNIL dés 2015 : « La messagerie électronique et le fax, même s’ils apportent un gain de temps, ne constituent pas a priori un moyen de communication sûr pour transmettre des données médicales nominatives ». Et, si vous utilisez une messagerie, « vous devez impérativement recourir à une messagerie sécurisée intégrant un module de chiffrement des données ».

Dans la partie Sécurité de son référentiel sur le monde médical de 2020, une des mesures de la CNIL concerne la manière de « Sécuriser les échanges avec d'autres professionnels de santé et avec les patients ». Il est demandé de chiffrer les données « avant leur envoi sur une messagerie électronique standard » et de « choisir une messagerie hébergeant les données dans un pays ou auprès d’un prestataire garantissant la protection des données conformément aux règles européennes ».

En juillet de cette année, l’ordre des pharmaciens publiait un billet de blog où il rappelait que « garantir le secret professionnel, la protection des données patients et le respect du cadre légal dans ses échanges avec les autres professionnels de santé est l’objectif recherché » avec les messageries sécurisées de santé (MSSanté ou Mailiz).

Mon espace santé permet d’envoyer des ordonnances

Bref, les pharmacies sont au courant, mais certaines continuent cette pratique alors qu’il existe des alternatives. Depuis plus d’un an, il est même possible de passer par Mon espace santé. Il permet « l’envoi d’une ordonnance par les patients à leur pharmacie via messagerie ». « Cette messagerie respecte ainsi un haut niveau d’exigences en matière de protection et de confidentialité des données de santé, et permet d’éviter le recours à des messageries moins sécurisées », explique l’Assurance Maladie.

Il est aussi possible de passer par Doctolib pour partager des documents des ordonnances avec son pharmacien. La plateforme met en avant la sûreté pour votre pharmacien (puisque l’ordonnance a été délivrée par un soignant vérifié utilisateur de Doctolib) et la protection des données : « vous, le soignant prescripteur et le pharmacien êtes les seuls à avoir accès au document ». Avec Gmail, c’est une autre histoire…

Il existe d’autres solutions que Gmail pour des emails gratuits. Les fournisseurs d’accès à Internet évidemment, mais en cas de changement l’adresse est perdue. D’autres services européens misent sur la confidentialité : Proton et Infomaniak par exemple, mais vous pouvez aussi avoir votre adresse email avec un nom de domaine personnalisé. Il y a même un tuto sur Next !

• ik.me d’Infomaniak : un email gratuit « à vie », sans publicité mais avec quelques limitations
• Comment créer un nom de domaine personnalisé et votre propre adresse email

Données de santé sur des services américains : un long combat

Cette affaire en rappelle évidemment une autre sur les données de santé : plusieurs acteurs français sont en train de se battre contre l’hébergement des données de santé d’EMC2 chez Microsoft. Au cœur de la bataille, la question du Health Data Hub, dont la CNIL a autorisé au début de l’année – faute de mieux – l’hébergement chez le géant américain. « Une décision en droit », qu’elle « était obligée de prendre », nous expliquait Philippe Latombe qui annonçait se battre contre.

• « Ça va être sanglant » : la CNIL autorise les données de santé chez Microsoft

L’affaire est rapidement remontée au Conseil d’État, qui a, lui aussi, validé l’entrepôt de données de santé dans Azure. Clerver Cloud et d’autres ont alors saisi récemment la Cour européenne des droits de l’Homme, rappelant que les données de santé du Health Data Hub s’exposent ainsi « à de possibles interceptions par les services de renseignement américain en vertu de l’application extraterritoriale du droit du renseignement américain ».

• Health Data Hub : Clever Cloud et d’autres acteurs saisissent le Conseil d’État
• Données de santé : Clever Cloud et d’autres sociétés saisissent la CEDH