Action concernant les laboratoires BIOGROUP suite à la transmission des données de santé des patients par e-mail avec un chiffrement faible

Bonjour,

Les laboratoires du groupe BIOGROUP réalisent, pour le compte de ses patients, des analyses médicales et proposent d’envoyer les résultats par e-mail.

Les e-mails ne sont pourtant pas considérés comme des moyens de communication sécurisés, car leur contenu n’est pas chiffré. Cela veut dire qu’un intermédiaire pourrait très bien, s’il le voulait, intercepter les e-mails envoyés par BIOGROUP et lire leur contenu.

Les données de santé des patients sont intégrées en pièce jointe des e-mails, dans un document PDF protégé par un mot de passe. Le format de ce mot de passe est cependant communiqué, en clair, dans l’e-mail. Il correspond aux trois premières lettres du nom de famille du patient suivies de sa date de naissance au format JJMMAAAA :

« Un mot de passe vous sera demandé pour ouvrir le fichier PDF joint, celui-ci est composé des 3 premières lettres de votre nom (marital, en MAJUSCULES), suivi de votre date de naissance au format JJMMAAAA.\nExemple : Mr Jean DUPONT né le 15/01/1990 : DUP15011990 »

Communiquer la composition du mot de passe réduit drastiquement la sécurité du dispositif, car un attaquant qui mettrait la main sur l’un des e-mails de BIOGROUP ne devrait pas tenter toutes les possibilités pour découvrir le mot de passe, mais seulement celles qui suivent le format donné.

L’objet des e-mails contient le nom de famille et le prénom du patient, ce qui affaiblit encore d’avantage le dispositif, car un attaquant n’aurait plus qu’à deviner la date de naissance du patient, soit exactement 36 891 possibilités, si on considère que la personne a entre 1 et 100 ans.

La majorité des machines grand public trouverait un tel mot de passe instantanément.

Ce semblant de sécurité rassure probablement les patients qui pensent que leurs données de santé sont correctement protégées. La réalité est que ce dispositif est complètement inutile, d’un point de vue de la sécurité. Les données de santé des patients ne transitent, certes, pas en clair, mais dans un document PDF protégé par un mot de passe tellement faible, que la sécurité peut être considérée comme inexistante.

Le RGPD impose pourtant que les données à caractère personnel, dont les données de santé, doivent être sécurisées avec des « mesures adaptées aux risques » :

« Compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque » (Article 25-1 du RGPD)

Je ne considère pas que les mesures soient adaptées aux risques, étant donné le caractère sensible des données communiquées.

Je vous invite à modifier ce dispositif pour protéger la confidentialité des données à caractère personnel de vos patients.

Je vous invite aussi à considérer la nécessité d’avertir la CNIL et d’informer les patients que leurs données à caractère personnel ont transité de manière non sécurisée et ont potentiellement été interceptées.

Bonjour Monsieur Schmiedt,

Nous accusons bonne réception de vos courriels, que nous avons transmis aux services concernés pour analyse pour pouvoir vous apporter la réponse la plus complète possible.

Dans l’attente, nous prions d’agréer, Monsieur, l’expression de nos salutations distinguées,\nService Protection des données – Biogroup

Bonjour [RETIRÉ],

Vos services ont-ils pu analyser les éléments que je vous ai remontés ?

Une modification du traitement des données de santé des patients a-t-elle été effectuée ?

Allez-vous informer les patients que leurs données de santé étaient transmises par un moyen ne pouvant pas garantir la confidentialité des données ?

Allez-vous informer la CNIL ?

Je vous ai alerté initialement le 29/07/2021, c’est-à-dire il y a déjà plus d’un mois. Les données de santé des patients étant des données particulièrement sensibles, une réponse rapide de votre part serait appropriée.

Morgan Schmiedt

Monsieur,

Vous avez saisi la Commission nationale de l’informatique et des libertés (CNIL) d’une plainte visant la SCM BIOGROUP, concernant la sécurité des données de ses patients.

Nous vous remercions pour votre signalement.

Nous vous informons par ailleurs que votre plainte est en cours d’instruction.

Le service de l’exercice des droits et des plaintes

Madame,

Vous avez adressé à la Commission nationale de l’informatique et des libertés (CNIL) une réclamation à l’encontre de l’organisme SCM BIOGROUP.

La CNIL est intervenue auprès de l’organisme mis en cause, pour lui rappeler ses obligations et l’alerter sur la nécessité de respecter les règles en vigueur. Nous ne manquerons pas de vous informer de l’issue de votre plainte.

Nous vous prions d’agréer nos salutations respectueuses.

Madame, Monsieur,

Deux ans après le dépot de ce signalement, les manquements constatés, à savoir l’envoi par courriel de données de santé sans une sécurité adaptée, persistent, malgré l’intervention de la CNIL il y a plus d’un an.

Pouvez-vous m’indiquer, d’une part, les suites données à mon signalement et, d’autre part, si des mesures additionnelles de sécurité seront prises par la société SCM BIOGROUP pour protéger les données de santé de millions de Français ?

Bonjour,

Je reviens vers vous concernant la plainte portée à l’encontre de la société BIOGROUP.

Tout d’abord, veuillez excuser le délai de traitement de votre dossier. Notre Commission est saisie de toujours plus de plaintes et cela a des conséquences sur leurs délais de traitement.

Je vous informe que les investigations sont toujours en cours.

En effet, dans le cadre de l’instruction de cette plainte, la Présidente de la CNIL a décidé de procéder à des contrôles auprès de la société en application de l’article 19 de la loi n° 78-17 du 6 janvier 1978 modifiée dite « Loi Informatique et Libertés ».

Les services de la CNIL ne manqueront pas de vous informer des suites données à votre réclamation.

Veuillez agréer mes salutations distinguées.

[RETIRÉ]

Juriste, Service de l’exercice des droits et des plaintes

Madame, Monsieur, Pouvez-vous m’indiquer les suites données à cette plainte (qui a été déposée en septembre 2021, c’est-à-dire il y a plus de cinq ans) ?