"Nous avions l'obligation morale d'agir"

En 2019, Helena a obtenu la possibilité de diminuer le niveau de sécurité exigé pour qu'un patient puisse accéder à son dossier médical. Si bien qu'il est possible d'accéder à un dossier médical sans prouver son identité et sans lien thérapeutique avec un médecin. Les données de pension sont également concernées. Face à ces risques de fuites de données, une plainte a été déposée à l'APD par Medispring. Cinq médecins et un patient se sont joints à la démarche. "C'est une démarche qui peut paraître frontale, face à un concurrent direct de notre logiciel (Helena est un produit développé par HealthConnect, une filiaire de Corilus, ndlr) ", reconnaît David Frenay, gérant de Medispring. "Mais notre démarche est davantage liée à la vocation de la coopérative. Nous sommes plus qu'un simple fournisseur de logiciels. Nous désirons assurer l'indépendance informatique des médecins tout en veillant à la protection des données. C'est dans l'ADN de la coopérative, c'était une obligation d'agir."L'action a démarré il y a quelques mois, lorsque la coopérative a commencé à recevoir de plus en plus de demandes pour créer des codes Helena, notamment à distance, pour des personnes sans carte d'identité. "Nous étions surpris que cette démarche était possible, nous nous sommes donc renseignés et nous avons découvert les délibérations du Comité de sécurité de l'information (CSI) qui ont permis d'accorder un accès moins sécurisé à Helena que les logiciels traditionnels avec eID, type Itsme."Ces délibérations se basent sur un règlement européen d'identification, l'eIDAS. Une base solide, certes, mais qui a délibérément été rabotée pour permettre d'éviter de vérifier formellement l'identité de la personne qui crée un compte. "C'est une faille sécurité importante: cela permet, à distance et au travers d'un médecin inattentif ou dupé, de créer un code Helena pour quelqu'un en connaissant uniquement son nom, prénom et date de naissance. Nous avons fait le test avec une personne pleinement consentante. Avec le code Helena que nous avons reçu, nous avons pu accéder aux données de santé et de pension de cette personne."Medispring a donc pris contact avec les organes compétents. Mais personne n'a réagi. "Nous avons donc déposé une plainte à l'APD", explique David Frenay. "Ce que l'on dénonce partiellement, ce sont ces délibérations du CSI qui ont permis d'abaisser ce niveau de sécurité pour accéder aux données de santé pour une société privée."De sources croisées, on remarque l'existence de pressions pour qu'Helena soit utilisée pour accéder à différentes données, pas seulement de santé, mais également de pension. Le Fédéral et la Flandre n'y ont pas trouvé à redire, tandis que le RSW et le RSB ont fait de la résistance, ne voulant pas abaisser le niveau de sécurité pour accéder aux données stockées. Une question se pose: quel était l'intérêt de pousser Helena plutôt qu'Itsme ou un autre moyen d'identification? "Le discours tenu est que cela est plus pratique car tout le monde n'a pas de lecteur de carte d'identité, et n'a pas accès à Itsme ou autre. Les eurocrates et les diplomates sont dans ce cas. Pour eux, ce service est intéressant", répond le gérant de Medispring. "De là à miner la sécurité de l'accès des données aux soins de santé de l'ensemble des Belges, cela pose question. Et plus largement, il reste simple de se rendre chez un médecin généraliste - qui dispose d'un lecteur de carte - avec sa carte d'identité. L'identification est formelle. Tout le reste ne pose aucun problème."Était-ce le rôle de Medispring de jouer au gendarme? "C'est ce qui m'interpelle, et qui m'inquiète en tant que citoyen. On a activé des leviers, on a communiqué certaines informations et tiré la sonnette d'alerte à plusieurs reprises." La coopérative n'a d'ailleurs rien à gagner dans ce combat pot de terre contre pot de fer. "On ne pouvait pas taire cette information, et il a fallu mouiller la chemise. Le but est que les données soient protégées et que Medispring comme Helena aient un système d'identification sûr et fiable et que l'on soit traité sur un même pied d'égalité. Exception faite du dossier actuel, le produit d'Helena est bon et contribue à améliorer la santé des Belges. Je ne peux que souhaiter qu'il y ait un système d'identification sans faille et je tiens à saluer leur réaction en toute transparence, ce qui n'est pas facile à faire en temps de crise. C'est un désaveu pour Frank Vandenbroucke qui avait réagi, disant que les données de santé étaient plus sécurisées que les autres données. J'ai d'ailleurs le sentiment que les entreprises privées ont, sur ce coup, été plus transparentes que l'État. Il est inquiétant que "l'aveu" vienne d'une firme privée et ne soit pas le résultat d'un contrôle par la sphère publique. Il n'y a pas eu de contrôle, ou à tout le moins, ceux-ci ont clairement échoué. "Difficile de le contredire, puisque rien n'a été fait depuis les délibérations du CSI autorisant l'utilisation du système d'identification d'Helena date de 2019.