Le ministère de la Santé australien vient de révéler avoir commis par inadvertance une infraction potentiellement grave à la loi sur la protection des informations personnelles en publiant de manière insuffisamment sécurisée des données liées au programme national d’assurance sociale (Medicare). Le fuite concerne des médecins généralistes et trois millions de leurs patients.
Cette annonce a été faite par la ministre de la Santé, Sussan Ley, lors de la conférence annuelle du Royal Australian College of General Practitioners (29 septembre-1er octobre 2016), la plus importante organisation professionnelle de médecins généralistes du pays.
Cette nouvelle survient alors que le gouvernement est en pleine négociation avec les médecins à propos de la réduction des dépenses dans le secteur.
Une faille au niveau de l’anonymisation des données privées
Pour aider les chercheurs à fournir de meilleures analyses et à contribuer à l’élaboration de nouvelles politiques de santé, le ministère de la Santé australien avait rendu public des dossiers de réclamations « dépersonnalisés » concernant des indemnités d’assurance-maladie et certains avantages pharmaceutiques du régime social. Ce procédé concernait un échantillon aléatoire représentant 10 % de la population australienne.
Problème : sans le vouloir, le ministère a laissé paraître suffisamment d’informations au sein de ses algorithmes pour permettre à un logiciel malveillant adapté de décrypter les numéros brouillés censés remplacer les numéros officiels des médecins, qui sont alors devenus potentiellement identifiables.
Des analystes du département informatique et des systèmes d’information de l’Université de Melbourne ont mis seulement quelques jours à contourner le dispositif de cryptage. La ministre a révélé que les chercheurs en question avait signalé début septembre à son département l’existence d’une « vulnérabilité » à propos de ces données chiffrées et « que les fournisseurs de soins [logiquement anonymisés] pourraient éventuellement être ré-identifiés ».
Aucune information sur les patients n’aurait été compromise
Le département de la gestion des risques du ministère de la Santé fait actuellement l’objet d’importantes discussions au sein du gouvernement afin de savoir comment la divulgation d’informations précieuses a pu être si mal gérée.
Madame Ley assure aux médecins qu’il n’y avait « aucun nom de fournisseurs de soins dans l’ensemble des données » et qu’aucune information sur les patients n’avait été compromise. Les analystes qui ont signalé le problème indiquent cependant que la ré-identification était possible ; ils ont simplement décidé de ne pas la faire.
« Nous prenons bien évidemment tout ceci au sérieux et nous présentons nos excuses aux praticiens pour les problèmes que cela pourrait leur causer », a déclaré la ministre aux médecins.
Une loi pour condamner l’utilisation de données ré-identifiées
Elle a ajouté que le procureur général, George Brandis, était en train de mettre en place une loi visant à considérer comme une infraction pénale toute publication de données ré-identifiées ou toute action visant à conseiller, faciliter ou encourager leur publication ou communication.
En réaction à l’annonce de la faille signalée par l’Université de Melbourne, M. Brandis a annoncé que la loi allait être votée au plus vite et que son effet serait rétroactif.
Dans un article paru le 8 octobre dans The Saturday Paper, la journaliste Karen Middleton se demande pourquoi le gouvernement a attendu plusieurs jours avant d’alerter les médecins et les autres personnes concernées par la faille, alors qu’il est légalement tenu d’avertir immédiatement les individus touchés par une violation de leur vie privée. Le ministère n’a pas encore réagi.
Pour l’heure, l’ensemble de données concernées n’est plus en ligne. La ministre a indiqué que les informations « ne seront de nouveau accessibles que lorsque tous les problèmes liés à leur potentielle vulnérabilité seront résolus ».
La protection des données de santé préoccupe l’Australian Privacy Foundation
> Cette annonce de la ministre de la Santé survient quelques semaines après les critiques émises par le Dr. Bernard Robertson-Dunn, président du comité de santé de l’Australian Privacy Foundation (APF) : l’expert pointe du doigt le dossier numérique de la santé australien, My Health Record (MyHR), qui, selon lui, serait « inutile » et mettrait « en danger les données privées des utilisateurs ».