"Nous avions l'obligation morale d'agir"
Medispring a déposé plainte à l'APD contre Helena. La plateforme permettait d'accéder à un DMG sans devoir vérifier son identité. Un pavé dans la mare largement commenté dans la presse la semaine dernière, notamment dans Le Soir. Depuis, les politiques et les syndicats médicaux ont réagi.
En 2019, Helena a obtenu la possibilité de diminuer le niveau de sécurité exigé pour qu'un patient puisse accéder à son dossier médical. Si bien qu'il est possible d'accéder à un dossier médical sans prouver son identité et sans lien thérapeutique avec un médecin. Les données de pension sont également concernées.
Face à ces risques de fuites de données, une plainte a été déposée à l'APD par Medispring. Cinq médecins et un patient se sont joints à la démarche.
Comment en est-on arrivé là?
"C'est une démarche qui peut paraître frontale, face à un concurrent direct de notre logiciel (Helena est un produit développé par HealthConnect, une filiaire de Corilus, ndlr) ", reconnaît David Frenay, gérant de Medispring. "Mais notre démarche est davantage liée à la vocation de la coopérative. Nous sommes plus qu'un simple fournisseur de logiciels. Nous désirons assurer l'indépendance informatique des médecins tout en veillant à la protection des données. C'est dans l'ADN de la coopérative, c'était une obligation d'agir."
L'action a démarré il y a quelques mois, lorsque la coopérative a commencé à recevoir de plus en plus de demandes pour créer des codes Helena, notamment à distance, pour des personnes sans carte d'identité. "Nous étions surpris que cette démarche était possible, nous nous sommes donc renseignés et nous avons découvert les délibérations du Comité de sécurité de l'information (CSI) qui ont permis d'accorder un accès moins sécurisé à Helena que les logiciels traditionnels avec eID, type Itsme."
Ces délibérations se basent sur un règlement européen d'identification, l'eIDAS. Une base solide, certes, mais qui a délibérément été rabotée pour permettre d'éviter de vérifier formellement l'identité de la personne qui crée un compte. "C'est une faille sécurité importante: cela permet, à distance et au travers d'un médecin inattentif ou dupé, de créer un code Helena pour quelqu'un en connaissant uniquement son nom, prénom et date de naissance. Nous avons fait le test avec une personne pleinement consentante. Avec le code Helena que nous avons reçu, nous avons pu accéder aux données de santé et de pension de cette personne."
Medispring a donc pris contact avec les organes compétents. Mais personne n'a réagi. "Nous avons donc déposé une plainte à l'APD", explique David Frenay. "Ce que l'on dénonce partiellement, ce sont ces délibérations du CSI qui ont permis d'abaisser ce niveau de sécurité pour accéder aux données de santé pour une société privée."
Quel intérêt?
De sources croisées, on remarque l'existence de pressions pour qu'Helena soit utilisée pour accéder à différentes données, pas seulement de santé, mais également de pension. Le Fédéral et la Flandre n'y ont pas trouvé à redire, tandis que le RSW et le RSB ont fait de la résistance, ne voulant pas abaisser le niveau de sécurité pour accéder aux données stockées.
Une question se pose: quel était l'intérêt de pousser Helena plutôt qu'Itsme ou un autre moyen d'identification? "Le discours tenu est que cela est plus pratique car tout le monde n'a pas de lecteur de carte d'identité, et n'a pas accès à Itsme ou autre. Les eurocrates et les diplomates sont dans ce cas. Pour eux, ce service est intéressant", répond le gérant de Medispring. "De là à miner la sécurité de l'accès des données aux soins de santé de l'ensemble des Belges, cela pose question. Et plus largement, il reste simple de se rendre chez un médecin généraliste - qui dispose d'un lecteur de carte - avec sa carte d'identité. L'identification est formelle. Tout le reste ne pose aucun problème."
Était-ce le rôle de Medispring de jouer au gendarme? "C'est ce qui m'interpelle, et qui m'inquiète en tant que citoyen. On a activé des leviers, on a communiqué certaines informations et tiré la sonnette d'alerte à plusieurs reprises." La coopérative n'a d'ailleurs rien à gagner dans ce combat pot de terre contre pot de fer. "On ne pouvait pas taire cette information, et il a fallu mouiller la chemise. Le but est que les données soient protégées et que Medispring comme Helena aient un système d'identification sûr et fiable et que l'on soit traité sur un même pied d'égalité. Exception faite du dossier actuel, le produit d'Helena est bon et contribue à améliorer la santé des Belges. Je ne peux que souhaiter qu'il y ait un système d'identification sans faille et je tiens à saluer leur réaction en toute transparence, ce qui n'est pas facile à faire en temps de crise. C'est un désaveu pour Frank Vandenbroucke qui avait réagi, disant que les données de santé étaient plus sécurisées que les autres données. J'ai d'ailleurs le sentiment que les entreprises privées ont, sur ce coup, été plus transparentes que l'État. Il est inquiétant que "l'aveu" vienne d'une firme privée et ne soit pas le résultat d'un contrôle par la sphère publique. Il n'y a pas eu de contrôle, ou à tout le moins, ceux-ci ont clairement échoué. "Difficile de le contredire, puisque rien n'a été fait depuis les délibérations du CSI autorisant l'utilisation du système d'identification d'Helena date de 2019.
L'indéboulonnable Frank Robben
Les mondes syndical et politique n'ont pas manqué de réagir à l'affaire Helena. Et c'est la personne de Frank Robben qui attire toute l'attention, ou presque. Pourtant, cela fait des années que la presse épingle les anomalies qui entourent la carrière de l'homme fort d'e-Health. Le jdM en parlait déjà en 2015. Depuis, rien a changé.
"Si les faits sont avérés, c'est tout simplement inadmissible. À ce stade, c'est à l'APD d'instruire la plainte et d'identifier l'ampleur du problème. Par ailleurs, j'ai demandé à mon administration de solliciter la Banque carrefour de sécurité sociale (BCSS) et e-Health en vue d'obtenir un rapport complet concernant les incidents qu'ils ont identifiés, leurs impacts et leur suivi", explique le secrétaire d'État Mathieu Michel, qui assume la tutelle du SPF Stratégie et Appui (SPF Bosa). "La Belgique n'est pas le Far West des données, mais parfois, on y croise quelques cow-boys. C'est notre responsabilité à tous ici et au gouvernement de les ramener dans le droit chemin", tonne Mathieu Michel, sans s'adresser clairement à Frank Robben.
Le GBO va droit au but concernant Frank Robben. "Ce sera à l'APD de se prononcer sur ce dossier. Mais l'APD aura-t-elle suffisamment de liberté que pour trancher de manière indépendante et impartiale? La question peut en effet se poser. Frank Robben, à la tête de la BCSS et de e-Health, est à l'origine du lobbying qui a permis l'acceptation d'une application développée par une firme privée et présentant un niveau de sécurité inférieur à celui offert par une connexion via eID ou Itsme. Et la plainte déposée par Medispring à l'APB (dont Frank Robben est membre externe) vise le CSI ... dont Frank Robben est administrateur général."