Début août 2018, le gouvernement fédéral australien avait décidé d’améliorer les mesures de protection du dossier médical partagé My Health Record (MyHR), en assurant aux citoyens que leurs données personnelles étaient et resteraient tout à fait privées. Le ministre de la Santé, Greg Hunt, a déposé le 22 août 2018 le projet de loi 2018 portant modification de MyHR pour « renforcer son cadre de protection de la vie privée déjà solide » après le lancement d’une enquête menée par le Sénat au début du mois.
Les autorités souhaitent donc améliorer la protection des données stockées dans les dossiers My Health Record mais assurent cependant qu’il n’y a eu aucune violation enregistrée depuis la mise en place de la plateforme, un discours qui entre en contradiction avec le rapport annuel 2016-2017 du Commissariat australien à l’information (OAIC), qui référence 11 notifications de violations de données transmises par l’Agence de la santé numérique australienne (ADHA), l’opérateur de MyHR.
Selon des experts interrogés par le média national AM, cette confusion serait liée à l’emploi du terme « violations de données », défini différemment par les uns et les autres. « Peut-être que ce [que les autorités] veulent dire c’est que notre système n’a pas été piraté par des tiers non autorisés, mais [avancer] qu’il n’y a pas eu de violation de données ou de la vie privée est (…) faux« , synthétise Anna Johnston, ancienne commissaire adjointe à la protection de la vie privée pour la Nouvelle-Galles du Sud (source : The ABC).
Par ailleurs, le directeur général de l’ADHA, Tim Kelsey, a déclaré de son côté en août 2018 au Financial Review que les semaines de controverse autour des questions de confidentialité relatives à l’utilisation de la base de données de santé nationale avaient été utiles, sensibilisant davantage la communauté au système My Health Record et permettant ainsi aux Australiens de prendre « une décision éclairée sur leurs droits de retrait » du dispositif.
Modifications de MyHR : un mandat obligatoire pour accéder aux données
Le ministre de la Santé australien, Greg Hunt, a déclaré que grâce aux nouveaux amendements, les forces de l’ordre et les agences sont tenues d’obtenir un mandat avant de pouvoir accéder aux informations stockées sur My Health Record (MyHR).
Les modifications entreprises exigent également que l’Agence australienne de santé numérique (ADHA) supprime définitivement toutes les données d’un compte si un utilisateur décide de se retirer du dispositif.
La controverse sur la protection de la vie privée jugée « utile » par Tim Kelsey
Plus de 20 000 personnes ont quitté le système MyHR au début de la période de retrait (op-out option), mise en place par l’ADHA pour permettre aux citoyens australiens qui le souhaitent de ne pas disposer d’un dossier de santé numérique, après des semaines de critiques de la part des défenseurs de la sécurité numérique et de la vie privée, prévenant que les informations présentes sur My Health Record pourraient faire l’objet d’un piratage.
Retrait de MyHR : les Australiens sont désormais « en mesure de prendre une décision éclairée »
Le directeur de l’Agence de la santé numérique australienne, Tim Kelsey, a déclaré à The Australian Financial Review, le plus important quotidien économique d’Australie, qu’il se félicitait de l’accord bipartisan conclu en août 2018 entre les ministres de la santé de l’État et du gouvernement fédéral sur l’extension de l’option « opt-out ».
« Notre objectif est de veiller à ce que les Australiens puissent prendre une décision éclairée sur leurs droits de retrait, et en fait, le débat qui a eu lieu au niveau national au cours des dernières semaines a été utile à cet égard, car beaucoup plus de gens qu’avant sont [désormais au courant de l’existence et du mode de fonctionnement] de My Health Record et sont [ainsi] en mesure de prendre une décision éclairée », a-t-il déclaré.
Violations de données sur MyHR : les explications des autorités ne convainquent pas
Un discours portant à confusion
Le rapport 2016-2017 du Commissariat australien à l’information (OAIC) – auparavant connu sous le nom de « Commissariat australien à la protection de la vie privée » – révèle qu’il y a déjà eu un certain nombre de violations de données dans le système My Health Record mais le gouvernement australien maintient que la vie privée de ses utilisateurs est préservée.
- Le Premier ministre assure qu’aucune donnée n’a été violée…
« Il y a 6 millions d’Australiens disposant de My Health Records. Aucun dossier n’a été rendu public et la vie privée [des patients] n’a pas été violée », a assuré en juillet 2018 au média national AM Malcom Turnbull, à l’époque encore Premier ministre (il a été remplacé il y a quelques jours par Scott Morrison). Même discours du côté du ministre de la Santé australien, Greg Hunt.
- … 11 notifications de violation de données ont pourtant été référencées dans un rapport
Pourtant, dans son rapport annuel 2016-2017, l’OAIC indique que 11 notifications de violations de données lui avaient été transmises par l’ADHA. Le Pr Meredith Makeham, conseiller médical en chef de l’agence, a précisé au diffuseur public national australien the ABC que les 11 cas dont il était question étaient des notifications que l’Agence de la santé australienne elle-même avait signalées à l’OAIC et qu’il ne s’agissait pas forcément de cas de violations de données mais simplement d’avertissements. « Chaque fois qu’il y a un cas où il y a ce que nous appelons une violation de la vie privée, où les informations de quelqu’un peuvent être accidentellement vues par quelqu’un d’autre, nous en informons le Commissariat australien à l’information », précise le Pr Makeham. « Les cas dont vous parlez [ont tous été] traités immédiatement, les gens ont été informés. »
L’ADHA, le cabinet du Premier ministre et le bureau du ministre de la Santé estiment tous que ces cas ne constituent pas une violation de la vie privée. The ABC a « demandé des éclaircissements supplémentaires » aux instances concernées.
Ainsi, dans un communiqué, l’ADHA a déclaré : « Des violations de ce type sont survenues en raison soit d’une erreur humaine, telle que des erreurs de traitement commises par le Département des services sociaux [et] des informations incorrectes téléchargées dans un dossier médical, soit d’allégations frauduleuses [du système d’assurance-santé] Medicare (…) L’agence n’a aucune preuve que [l’un de ces cas] ait conduit à un accès non autorisé à des informations sur la santé d’une personne. »
The ABC a également contacté l’OAIC pour comprendre ce que signifiait le terme « violations de données » dans son rapport et s’il faisait référence à des violations de la vie privée. L’instance lui a transmis la définition suivante : « La collecte, l’utilisation ou la divulgation non autorisée d’informations de santé contenues dans My Health Record ; ou des événements ou circonstances qui compromettent, qui peuvent compromettre, qui ont compromis ou qui ont pu compromettre la sécurité ou l’intégrité du système My Health Record ».
- Un problème de définition du terme « violation de données » ?
« J’appellerais ce qui [est décrit dans le rapport du commissariat] des violations de données », explicite à the ABC Anna Johnston, ancienne commissaire adjointe à la protection de la vie privée pour la Nouvelle-Galles du Sud. « La violation de données est un terme différent de violation de la vie privée, qui est un terme différent de cyberattaque ou d’incident de cybersécurité », explique-t-elle, pensant qu’une partie de la confusion provient du fait que les gens ne parlent pas exactement du même sujet.
« [Avancer] qu’il n’y a pas eu de violation de données ou de la vie privée est faux »
« Pour le ministre de la Santé et l’opérateur du dossier My Health, s’ils se manifestent et déclarent qu’il n’y a pas eu de cyber-violation, peut-être que ce qu’ils veulent dire c’est que notre système n’a pas été piraté par des tiers non autorisés, mais [avancer] qu’il n’y a pas eu de violation de données ou de la vie privée est (…) faux. »
Le Dr Cassandra Cross, criminologue à l’Université de technologie du Queensland, acquiesce. « Il y a beaucoup de confusion de la part du public qui reçoit des messages contradictoires de la part du ministre et du gouvernement, comparativement au dernier rapport du Commissariat à l’information. » Selon elle, cela est probablement dû à « certains aspects de définition technique », où les deux parties utilisent des définitions différentes pour l’expression « violation de données ».
Selon l’Australian Privacy Foundation, le gouvernement ne peut garantir la confidentialité des données
L’Australian Privacy Foundation affirme que le gouvernement peut disposer de bons systèmes de sécurité pour empêcher les piratages informatiques mais qu’il ne pouvait pas garantir la confidentialité [des données] car les dossiers de santé font partie d’un système très vaste. Les experts de la protection de la vie privée ont averti que le système ouvrait les dossiers de santé à plus de personnes que jamais, augmentant ainsi considérablement les possibilités de menaces.
« Une fois que les données ont été téléchargées, par exemple dans un système hospitalier, les protections s’appliquent au système hospitalier (…) et non à My Health Record », explique le Dr Bernard Robertson Dunn, président du comité de la santé de la fondation. Selon lui, il n’y a donc « aucun moyen pour que le gouvernement sache qui a accédé à ces données ».
Le Pr Phelps souhaite que l’accès à un tiers soit complètement supprimé
L’ancienne présidente de l’Association médicale australienne (AMA) et médecin généraliste à Sydney, Kerryn Phelps, a déclaré qu’elle n’était pas convaincue des explications données par les autorités. « Une violation de données est une violation de données et je pense que nous devons examiner quelles sont les sanctions [à adopter] pour [punir] un accès non autorisé [à MyHR] par les fonctionnaires et les cadres supérieurs », a-t-elle proposé (source : The Australian Financial Review).
« Cinq anciens présidents de l’AMA, moi-même y compris, [avons] déclaré que nous devions voir des changements substantiels dans ce système avant qu’il ne soit approuvé par le corps médical. » Le Pr Phelps souhaite que l’accès à un tiers soit complètement supprimé de My Health Record. « Les dossiers médicaux ne devraient être utilisés, à mon avis, que par des professionnels de la santé directement impliqués dans la santé d’un patient. »