La semaine dernière, nous évoquions le cas des pharmacies qui demandent à leurs clients d’envoyer leurs ordonnances sur des messageries… Gmail ou Hotmail. Une pratique qui soulève des questions quant à la confidentialité des données (qui plus est de santé) se retrouvant sur des serveurs américains et donc soumises au Cloud Act.

• Quand des pharmacies demandent d’envoyer les ordonnances sur… Gmail ou Hotmail

Le retour des Google Groupes mal configurés

Mais il y a pire, bien pire sur les Google Groupes… On en parlait il y a deux ans : une mauvaise configuration peut laisser l’ensemble des conversations d’un groupe accessibles à tout le monde. Nous avions, par exemple, trouvé des listes de parents d’élèves avec leurs coordonnées, une convocation à un conseil de discipline d’une personne arrivée alcoolisée et très en retard sur son lieu de travail, etc. Autant de données sensibles qui devraient rester confidentielles.

• Google Groupes : attention à la visibilité des conversations

Aujourd’hui, les deux sujets, données de santé et Google Groupes, se rejoignent. Nous avons pu consulter un groupe de discussion mis en place par l'une des équipes d’une clinique du groupe de santé Clinifutur. Les conversations du groupe sont restées accessibles pendant 18 mois, alors qu'elles contenaient de nombreux échanges à caractère médical et des donnés de santé qui auraient dû rester confidentielles.

18 mois de conversations et de données médicales sur Internet

Aware2, lecteur de Next, nous a signalé ce groupe et nous avons dès le lendemain matin contacté la clinique, via leur formulaire de contact et avec un appel téléphonique dans la foulée. Face à la gravité de la situation, nous voulions être certain que notre message soit bien entendu afin que le nécessaire soit fait le plus vite possible.

Dans notre message, nous avons également donné des explications sur la manière de limiter rapidement les dégâts, en quelques clics via les paramètres de confidentialité du Groupe. En effet, une première action rapide à mettre en place devait être de limiter la visibilité du groupe (qui était alors visible par « tous les internautes »).

D’après nos constatations, l’accès à tous a été coupé le jour même à 12h12, soit trois heures après notre signalement. Nous nous sommes entretenus avec le service communication de la clinique dans l’après-midi. Il nous a remercié pour le signalement (remerciements que nous transmettons à Aware2) et nous a confirmé avoir fait le nécessaire pour couper les accès au plus vite.

La clinique nous indique qu'elle a contacté la CNIL et qu’elle va se conformer aux demandes et recommandations qui lui seront faites par la Commission. Elle affirme en outre que les patients mentionnés dans les publications de ce Google Groupe, dont les données personnelles ont donc été accessibles, seront contactés individuellement.

Pour fermer les vannes, il fallait trouver la personne dont le compte était à l’origine de la création du Google Groupe afin qu’il fasse les changements nécessaires. Avant d’être coupé, le Groupe comptait 775 conversations, la première remontait au 26 mai 2023 et la dernière le vendredi 13 au matin (6h58), soit 2 h avant notre signalement.

Shadow IT au rapport

Le tout premier message expliquait que ce groupe avait pour but de simplifier les « conversations internes », notamment vis-à-vis d’autres établissements du groupe de santé Clinifutur. On est en plein dans le cas du Shadow IT, ou informatique fantôme, avec ce qui semble être une bonne intention de départ, ou moins répondre à un besoin.

Ce sujet est d’ailleurs important pour la CNIL, qui recommande de l’intégrer dans les chartes informatiques des entreprises. Dans les choses à ne pas faire, la Commission indique en effet : « ne pas tenir compte des pratiques réelles des usagers, de leurs attentes et de leurs besoins en définissant les règles d’usage des moyens informatiques : l’informatique fantôme (ou « shadow IT » en anglais) révèle parfois des besoins essentiels non pourvus par l’organisme ou un dysfonctionnement structurel ».

La situation actuelle semble parfaitement coller à cette définition. La clinique nous affirme d’ailleurs prendre la cybersécurité au sérieux et disposer d’un Responsable Sécurité des Systèmes d'information (RSSI). Malgré tout, ce Google Groupe, hébergé et géré en dehors de ses infrastructures, est passé sous ses radars. Il était animé avec des échanges réguliers. Il devait donc répondre à un besoin, même si son créateur ne s'est visiblement pas posé la question de la confidentialité des échanges sur un tel outil.

Dossiers médicaux, patients récusés, prothèses mammaires…

Mais que trouvait-on exactement dans les conversations ? Nous pouvons répondre à cette question maintenant que les accès ont été fermés par la clinique. Nous avons évidemment anonymisé l’ensemble des conversations et des documents, de manière forte : nous ne laissons volontairement aucune indication sur les noms, les dates, les pathologies… mais les informations que nous cachons derrière des blocs blancs ou des *** étaient bien présentes.

Dans les conversations, on retrouvait des dossiers médicaux de patients avec la liste de leurs traitements et leurs antécédents, les interventions à venir, des correspondances avec d’autres médecins, des comptes rendus d’examens, etc.

Pour d’autres patients, on apprenait qu’ils avaient été récusés, parfois avec le motif : « Après discussion avec les collègues, nous avons décidé de récuser l'enfant *** *** Je me charge de prévenir les parents et *** *** ». « Nous avons vu en consultation Mme *** *** pour prothèse ***. Le bilan a retrouvé un déficit en *** qui la contre-indique pour une prise en charge ***. Je vais l’appeler aujourd’hui pour lui faire part de notre décision ».

Discussion autour d’un « manquement grave »

Une des conversations tournait aussi autour d’un mail reçu par la clinique suite à « manquement médical grave patient *** *** », selon le médecin d’un patient : « Bonjour, je vous remercie de transmettre ce mail au médecin *** ayant pris en charge ce patient. […] Il m'apprend ce jour que ce traitement, qu'il ne faut absolument pas arrêter en raison d'un risque d'effets rebonds et ***, l'a été en contexte périopératoire. Hormis le fait que cette attitude cavalière aurait pu engager le pronostic vital du patient, cette attitude n'est absolument pas confraternelle ».

En plus du message, les réponses étaient également accessibles. Voici par exemple le retour d’un personnel de la clinique : « Bonjour les secrétaires, j'ai revu avec le docteur ***, il y a eu une grosse incompréhension qui a été debrièfé. Bonne soirée ».

« Placement à la naissance »

Dans le Google Groupe, les sujets abordés étaient de nature très diverse, avec des implications aussi bien médicales que sociales. Il y avait ainsi le cas d’une patiente « à risque en maternité », dont le compagnon avait fait de la prison ; un couple « pouvant être violent » :

« Je vous informe d'une situation qui pourrait être pas facile à gérer en maternité avec placement à la naissance. Mme *** *** **/**/**** déséquilibré et non suivi, refus d’hospitalisation par DG, avec *** enfants placés ou adoptés.

Le nouveau-né devra être hospitalisé *** pour éviter tout risque de fugue avec le nouveau-né (motif médical à évoquer pour l'hospitalisation ***) en attendant le placement. Les parents pourront voir le nouveau-né toujours en présence d'un professionnel. L'équipe pourra être renforcée si nécessaire ».

Autour de ce cas, des discussions internes sur les moyens et la circulation des informations étaient également accessibles à n’importe qui : « Je suis particulièrement interloqué par le processus d'information et de réunions administratives concernant cette patiente. Tout d'abord, je suis consterné par la façon dont nous avons été informés. C'est une situation à risque de violences pour les soignants et la conduite à tenir proposée est plutôt légère ».

« Le code est le suivant pour récupérer les clés : **** »

Autre sujet dans les conversations : « la clé du coffre des stups de la pharmacie de la mater. On doit la mettre ou exactement ? J’imagine que posée devant le dit coffre, c’est pas très certif…. ». Cette certification (nous allons y revenir) était visiblement un enjeu important et les clés un vrai problème.

Pour celles des chambres de garde, une solution a été trouvée, mais tout le monde sur Internet avait accès au code : « suite à la perte répétitive des clés de la chambre de garde nous avons installé un boitier à code pour récupérer les clés ! Ce sera votre Airbnb (...). Le code est le suivant pour récupérer les clés : **** ».

Visite de l’HAS pour certification de la clinique

Mais de quelle certification parle-t-on ? Celle de la Haute Autorité de Santé (HAS) qui venait rendre une visite pour évaluer le « niveau de qualité et de la sécurité des soins ». Les notes de service aussi étaient accessibles via ce Google Groupe. Dans un .pptx intitulé « COMMISSION MÉDICALE D'ÉTABLISSEMENT ET CONSEIL DE BLOC » on pouvait même lire le détail du calendrier de visite de la HAS.

Ce document Google Slides était encore accessible après la fermeture du Google Groupe, mais il a été rendu privé après un signalement de notre part. La clinique devait d’ailleurs faire un tour général des autorisations de partage des documents… et nous en avons profité pour soulever la question de l’hébergement de données personnelles et de santé chez Google.

Comptes rendus, commentaires, modèle d'ordonnance…

Dans les conversations, on trouvait aussi des échanges surprenants : « Salut, est ce que mesdames les secrétaires, vous pouvez nous envoyer en format word un model d'ordonnance vierge avec les noms a jour svp ? », avec le .docx dans les réponses bien évidemment.

Des discussions plus classiques entre personnels soignants et les secrétaires étaient aussi accessibles à tout le monde, simplement en étant de passage sur le Google Groupe : En voici quelques exemples.

« Je vous fais part du CR cardio reçu hier soir concernant monsieur *** *** né le **/**/****. Dossier qui était à staffer ». « Veuillez trouver ci-joint le dossier a staffer de Mme *** *** née le **/**/****. Madame aura rdv avec le Dr *** *** au *** le **/**/**** ». Ce dernier dossier est accompagné d’une remarque : « Purée c’est terrible tous ces antécédents a cet âge… mais je suis d’avis favorable pour le faire a la clinique », etc.

Administratif, relation avec les patients… tout y passe

Des personnels de la clinique discutaient aussi des réponses à apporter aux commentaires des patients : « Bonjour, Nous avons reçu ci-dessous, un avis négatif sur la fiche Google Mybusiness de la clinique *** concernant ***. Avez-vous des informations concernant cet événement indésirable, et que souhaitez-vous lui répondre ? Pour rappel le commentaire est public, la réponse également, sur la fiche Google de la Clinique *** ».

Il y a également des dossiers administratifs avec, par exemple, le cas d’un « forfait non coté hier pour une patiente ». Ce à quoi un médecin répond « C'est bon, c'est codé. Merci *** une nouvelle fois de ta vigilance ». On trouve également des échanges sur l’organisation des vacances de fin d’année, avec les absences des différents médecins, etc.

« "Couloir" des chirurgiens » et secret médical

L’une des dernières conversations concerne les conditions de travail et le « "Couloir" des chirurgiens ». « Je viens vers vous concernant le bureau des chirurgiens au bloc. Actuellement il s'agit plutôt du "couloir des chirurgiens". Visiblement, comme beaucoup de chirurgiens l'ont fait cette semaine, j'ai signalé les problèmes à *** **** ce matin. Certains relèvent du détail, mais d'autres ne peuvent pas être pris à la légère ».

Et dans la liste des griefs, le premier point concerne justement la confidentialité : « pas de respect du secret médical, puisqu'il s'agit réellement d'1 couloir, avec passage de personnel, et de patients, dans une zone où des ordinateurs avec des dossiers patients papier ou informatisés sont ouverts. Je ne suis pas certain que cela s'inscrive bien dans la démarche de certification actuelle de la clinique ».

La cybersécurité est l’affaire de tous

Ce dernier exemple montre le problème du Shadow IT. Ce médecin semble parfaitement être conscient des enjeux autour du secret médical, mais ne devait certainement pas se douter que sa conversation était accessible à tout le monde sur Internet. La clinique, à n’en pas douter, va faire passer le message en interne pour que cela ne se reproduise pas. Un message de prévention qu’il serait bon de rappeller plus largement dans toutes les entreprises !

Mais cet exemple est l’occasion de rappeler ces enjeux à tout un chacun : posez-vous la question des outils utilisés. Sont-ils les bons ? Sont-ils suffisamment sécurisés ? Répondent-ils aux exigences en termes de sécurité, de confidentialité et le cas échéant de souveraineté ? On mesure la sécurité d’un ensemble à son maillon le plus simple. Cette expression prend tout son sens ici.