Catégorie : Responsabilité

Révision de la LPD: Conférence pour les médecins

Ce jeudi 24 octobre 2019, j’aurai le plaisir d’intervenir et de présenter la révision de la loi fédérale sur la protection des données (LPD). J’aborderai l’état actuel des discussions au Parlement fédéral et les conséquences de ce texte pour les médecins pratiquant en cabinet lors d’une conférence organisée par FMH Services à l’hôtel Aquatis à Lausanne.

Depuis l’entrée en application du RGPD le 25 mai 2018, la protection des données est devenue un thème d’actualité et de préoccupations pour de nombreux secteurs du marché, notamment dans le milieu de la santé. Les différents acteurs de la santé, qu’il s’agisse des institutions de soins, hôpitaux, cliniques ou des médecins, sont particulièrement sensibles à ces changements législatifs vu la sensibilité des données traitées au quotidien.

L’objectif de cette conférence est de faire le tour des nouveautés qu’apportera (vraisemblablement) la révision totale de la loi sur la protection des données en Suisse, notamment les recommandations pour se préparer à ces modifications législatives pour les médecins pratiquant en cabinet privé. Il sera également l’occasion d’aborder l’applicabilité du RGPD ainsi que les bonnes pratiques pour l’utilisation des technologies au cabinet médical ainsi qu’avec les patients.

La révision de la LPD doit viser à renforcer le droit des personnes concernées, en l’occurrence des patients, et à s’aligner sur les standards européens. Nous examinerons dans quelle mesure la révision remplit cet objectif.

________________________________

CONSEQUENCES POUR LA PRATIQUE AU CABINET 

Si la pratique n’a pas que peu changé, les consignes resteront semblables  pour la pratique d’un médecin. Par contre, le grand changement pour les traitement de données médicales se situe au niveau de l’utilisation des nouvelles technologies. Cela implique une vigilance et une diligence accrues de la part des professionnels de santé et des médecins.

Ainsi, la sécurité du dossier patient au cabinet reste plus que primordiale à cause des risques accrus liés à l’utilisation de systèmes d’information. Dans ce cadre, les recommandations du Préposé fédéral restent d’actualité (voir plus bas) et doivent être suivies, tout comme celles émises par le code de déontologies de la FMH et les associations professionnelles.

Il faut noter que les risques s’accroissent avec l’utilisation de système de télémédecine et des moyens de communications non-sécurisés, ainsi qu’en cas d’externalisation (sous-traitance) de services, comme la facturation ou le secrétariat.

________________________________

PLUSIEURS SANCTIONS D’HÔPITAUX ET MÉDECINS EN EUROPE

En Europe, nous avons déjà pu observer des condamnations d’hôpitaux à des sanctions administratives de plusieurs centaines de milliers d’Euros par des autorités de protection des données.

Depuis l’entrée en application du RGPD, la plupart des manquements ont consisté en des défauts de mesures de sécurité appropriées pour protéger les données de patient. De même, la violation du devoir de mettre en place des contrôles pour les droits d’accès à ces mêmes données aux dossiers patient a été souvent la cause des sanctions et manquements par les institutions de santé.

A ce sujet, les décisions européennes suivantes méritent d’être mentionnées:

  • Portugal: mon article et commentaires sur la condamnation d’un hôpital portugais à € 400’000.- d’amende. Mon article évoquait la situation de la Suisse et de la révision de la loi sur la protection des données;
  • Pays-Bas: la condamnation du Haga Hospital (Pays-Bas) à une amende de € 460’000.- pour avoir permis à des personnes non-autorisées à accéder au dossier médical d’une célébrité locale, l’amende concernait le défaut de mesures appropriées pour éviter les accès indus aux dossiers médicaux, notamment sans imposer l’authentification à deux facteurs;
  • Chypre: condamnation d’un médecin à € 14’000.- pour avoir publié sur Instagram des données médicales d’un patient sans son consentement. Après investigation, l’hôpital public a aussi été condamné à € 5’000 d’amende pour ne pas avoir pu retrouver trace du dossier médical suite à une demande d’accès d’un patient.

Ces exemples démontrent l’importance du respect des principes de protection des données. Les principes de bases de sécurité au cabinet et dans les hôpitaux sont primordiaux. Pour garantir une bonne maîtrise sur les données personnelles, il devient indispensable d’implémentation un programme complet de gestion et de protection des données médicales pour tout type d’acteurs de la santé. Ceci doit inclure la formation, des règles de conduite, des contrôles, ainsi que des mesures permettant de limiter au maximum des pertes, fuites et violation des données personnelles et un plan d’action en cas de violation de données pour remédier à la violation et notifier le cas échéant dite violation au préposé.

Même si le régime juridique de la LPD sera différent en Suisse comparé au système de sanctions européens (2% – 4% du chiffre d’affaires ou €10 – €20 Mio), ces règles de base et les principes sont essentiels et doivent être respectées pour éviter d’engager sa responsabilité civile ou pénale pour violation de la loi sur la protection des données, cas échéant du code pénal (art. 321 CP) pour la violation du secret médical. En effet, comme actuellement, le système de sanctions tel que prévu par le texte de loi débattu au Parlement vise uniquement une possibilité pour les individus de passer par des procédures pénales pour violation de la loi fédérale sur la protection des données, avec des sanctions allant jusqu’à CHF 250’000.-.

—

Pour aller plus loin retrouvez mes autres articles sur la protection des données pour les acteurs de la santé:

RGPD: British Airways écoperait de £183 mio d’amende pour vol de données de cartes de crédit de 500’000 clients

Il ne fait pas bon être en violation du RGPD en Angleterre.

Le 8 juillet 2019, l’autorité de protection des données anglaise (Information Commissioner’s Office, ‘ICO’) vient d’adresser une note d’intention (‘notice of intent‘) pour sanctionner la compagnie d’aviation British Airways d’une amende – aujourd’hui record – de 183,39 millions de livres sterling (EUR 213,69 mio, CHF 232.68 mio ou USD 238.57 mio). Cette amende, si elle est confirmée, fait suite à une longue investigation en matière de protection des données liée à un vol de données de 500’000 de ses clients relatif aux données de compte, de réservations de voyages et des données de cartes de crédit. Cet incident a été notifié à l’autorité anglaise de protection des données (APD) en septembre 2018, soit sous l’égide du nouveau Règlement Général sur la Protection des Données (‘RGPD’).

Cet incident a fait couler beaucoup d’encre et fait l’objet de nombreux articles de presse pour conseiller et orienter les clients vers les bonnes pratiques à entreprendre pour limiter les risques liés à ce vol.

Edit. Le jour suivant, 9 juillet 2019, l’ICO UK a également adressé une note d’intention similaire pour sanctionner Marriott International avec une amende de £99,2 mio pour un incident compromettant des données personnelles liées à  339 millions de comptes clients dans 31 pays différents.  Après l’acquisition du Starwood hotels group en 2016, Marriott aurait découvert une faille de sécurité compromettant les données personnelles. Le problème est que la faille de sécurité datait de 2014, ce qui implique que Marriott a mis plus de 4 ans avant de s’en rendre compte. L’autorité anglaise a insisté sur la nécessité de considérer la conformité en matière de protection des données lors de fusions & acquisitions. Se posent de nombreuses questions, en particulier au niveau de la due diligence, des clauses de garanties (comment garantir une conformité alors qu’aucune  certification complète n’existe à ce jour) et du prix de vente. Nous reviendrons sur ce sujet essentiel dans un prochain post de blog.

________________________________

RAPPEL DE L’INCIDENT ET DONNÉES CONCERNÉES

En septembre 2018, la presse relatait l’inquiétante fuite de données liées à un vol effectué par détournement des utilisateurs de British Airways vers un site de phishing (faux site aux apparences identiques à un site officiel mis en place dans le but de voler des données personnelles ou importantes et permettant de commettre des infractions). La manœuvre opérée lors de ce cyber-incident  a consisté à détourner le site officiel de British Airways vers une fausse adresse Internet permettant aux hackers de collecter des identifiants de compte de clients pour ainsi dérober des données de cartes de crédit.

Le vol de données s’était produit pendant une période relativement longue, soit entre le 21 août et le 5 septembre 2018 concernant  380’000 transactions. Le patron de la compagnie d’aviation s’était même excusé publiquement de cet incident. Une des problématiques de cet incident est la tardiveté de l’annonce par British Airways ainsi que la (relative) longue durée au cours de laquelle la fuite s’est déroulée, soit pendant près de 2 semaines (16 jours).

Sur son site internet, British Airways avait annoncé la faille aux autorités, mais également à tous ses clients, pour permettre aux clients de savoir quelles démarches entreprendre pour limiter les risques pour ceux dont les données ont été compromises. Ces actions correspondent aux obligations d’une part, d’informer l’autorité de contrôle dans les 72 heures suivant la connaissance de l’incident (art. 33 al. 1 RGPD), d’autre part, d’informer les personnes concernées sans délai lorsque “la violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique” (art. 34 al. 1 RGPD).

Au cours de son investigation, l’autorité anglaise a conclu au vol de données clients suivantes:

  • coordonnées clients, dont les noms et prénoms et identifiants pour se connecter à leurs compte
  • informations de cartes de paiements, dont le numéro de carte (crédit) incluant le code de contrôle CVV à 3 chiffres
  • informations sur les réservations faites par les utilisateurs

et que ce vol avait été le résultat de l’utilisation, par British Airways, de lacunes et mauvaises pratiques en matière de sécurité mises en place pour protéger les données d’utilisateurs via son site internet et son App mobile.

________________________________

COMMUNIQUÉ DE LA COMMISSAIRE A LA PROTECTION DES DONNÉES

Dans son communiqué de ce jour, Elizabeth Denham, la Commissaire à la protection des données en Angleterre, a clairement prévenu les responsables du traitement :

“Les données personnelles des individus ont cette caractéristique – elles sont personnelles. Lorsqu’une organisation manque de les protéger contre une perte, un dommage ou un vol, ce n’est pas uniquement gênant. C’est pourquoi la loi est claire – lorsque l’on vous confie des données personnelles, vous devez les traiter avec soins. Ceux qui ne le font pas, feront l’objet d’un examen approfondi de mon cabinet pour s’assurer que toutes les mesures appropriées ont été entreprises pour protéger les droits fondamentaux au respect de la vie privée.”

Cette communication est claire sur la manière d’appréhender les pratiques en matière de sécurité des données, obligation qui peut faire l’objet d’une amende allant jusqu’à 2% du chiffre d’affaire annuel pour violation de l’article 32 RGPD. De plus, il est possible que cette amende soit combinée avec la violation du principe fondamental de sécurité, dont la sanction financière peut se monter à 4% du CA annuel (art. 5 lit. f RGPD). Une combinaison de la violation de ces principes est possible pour calculer le montant de l’amende, tout comme la manière de collaborer, les mesures mises en place par le responsable du traitement des données parmi d’autres paramètres. Avec cet incident, British Airways a probablement également violé d’autres dispositions du RGPD, ce qui sera intéressant de lire lors de la décision finale de l’autorité de contrôle anglaise, notamment pour le calcul de l’amende.

________________________________

UNE NOTE D’INTENTION A CONFIRMER ET ELEMENTS DE PROCEDURE

S’il ne s’agit encore que d’une proposition de sanction, qui à ce jour n’est pas encore entrée en force. Toutefois, l’intention de la Commissaire est plutôt ferme et sera très vraisemblablement confirmée prochainement lorsque British Airways aura eu l’occasion de fournir ses contre-arguments et d’indiquer sa position sur ce dossier.

Selon la politique de l’ICO (voir p. 23), l’autorité adresse d’abord une note d’intention (Notice of Intent – ‘NOI’) avant d’émettre sa sanction finale sujette à appel. Dans un délai d’un minimum 21 jours, des auditions, explications et preuves de conformité ainsi que des contre-arguments pourrait être soumis à l’autorité avant que le montant final soit décidé. Cette procédure peut durant encore plusieurs mois avant que tombe la décision finale. L’ICO adressera alors sa “monetary penalty notice” (MPN) ouvrant alors le droit au responsable du traitement de déposer sous 28 jours un appel devant le tribunal de première instance anglais.

Cette proposition d’amende est le résultat d’une concertation entre plusieurs autorités européenne de protection des données, l’ICO agissant comme autorité de contrôle “chef de file” (mieux nommée “lead supervisory authority” en anglais) selon l’article 56 RGPD et selon le mécanisme de “One-Stop-Shop” qui consiste à ce qu’une seule autorité puisse traiter du dossier même lorsque d’autres peuvent être compétentes. Ce mécanisme trouve son utilité lorsque des individus sont affectés dans plusieurs pays donnant à plusieurs autorités la compétence de se saisir de l’affaire et s’applique uniquement en cas de traitement transfrontalier de données personnelles (art. 56 al. 1 RGPD). Cette décision n’interviendra qu’après avoir entendu les arguments de BA et consulté les autres autorités de protection des données compétentes selon le lieu de résidence des personnes affectées par l’incident.

________________________________

SANCTION PROCHE DU MAXIMUM ET CRITÈRES UTILISÉS

Avec cette sanction financière, l’ICO UK est la première autorité de contrôle à infliger une amende sous le RGPD pour violation du principe de sécurité des données, sanction qui est tombée malgré la notification de cette incident à l’autorité de contrôle et l’information aux personnes concernées. A noter l’absence de preuve d’infractions ou crimes commis avec les données volées. Ceci démontre que la sanction peut survenir même en l’absence de résultat concret pour les individus (similaire à une responsabilité causale, sauf qu’il s’agit d’une sanction administrative).

Si l’on considère que l’amende équivaut à 1,5% du chiffre d’affaire annuel de groupe British Airways, le maximum étant 2% selon l’article 83 al. 4 let. a RGPD, l’autorité de contrôle s’est rapprochée du montant maximal possible selon le RGPD pour ce type de violation, soit 75% du maximum. En cas de combinaison avec d’autres violation, l’ICO pourrait appliquer conjointement des critères selon la violation des principes fondamentaux (art. 83 al. 5 RGPD) selon le maximum de 4% du CA annuel du groupe.

Selon l’article 83 al. 2 let. (a) à (k), pour décider d’infliger une sanction (pécuniaire ou une autre mesure coercitive), une APD se fonde notamment sur (a) la nature, la gravité et la durée des manquements; (b) les catégories de données en cause; et (c) le caractère effectif, proportionné et dissuasif de la sanction.

La décision finale apportera plus de précision sur l’étendue de la sanction et le mode de calcul. British Airways dispose d’un délai de 28 jours pour faire appel contre cette note d’intention, ce que la compagnie a déjà annoncé vouloir faire pour se défendre cette décision considérée comme décevante vu les “efforts” consentis pour limiter les risques et les techniques “complexes” utilisées par les hackers.

________________________________

A QUAND UNE PRISE DE CONSCIENCE AU NIVEAU SUISSE ?

J’en parlais dans mon article sur les données de 800’000 clients de Swisscom volées. En droit Suisse, il n’existe à ce jour aucune disposition dans la loi fédérale sur la protection des données permettant au Préposé fédéral à la Protection des Données et à la Transparence de sanctionner directement un responsable de traitement. Seules des recommandations non-contraignantes sont possibles. La seule manière est d’utiliser la voie pénale qui prévoit une sanction maximale de CHF 10’000.- maximum (art. 34 et 35 LPD). Ces dispositions sont extrêmement limitées, car essentiellement liées à la violation du principe de transparence et n’incite aucun individu à ouvrir en procès pénal.

De plus, l’état actuel du texte révisé de la LPD (P-LPD, à lire dès la page 6815), prévoit certes une obligation d’informer le Préposé en cas d’incident dans les meilleurs délais (art. 22 P-LPD), mais sans qu’aucune sanction ne puisse être infligée au responsable du traitement en cas de violation de l’obligation d’annoncer une telle violation des données (art. 54 ss a contrario). Rappelons que le projet révisé ne prévoit qu’une sanction pénale au maximum de CHF 250’000.-, en cas d’intention ou d’omission, qui rendrait une personne physique pénalement responsable à la place de l’organisation responsable du traitement.

Vu les progrès effectués au niveau européen, mais également dans le monde (Brésil, Thaïlande, Corée du Sud, CCPA, etc.) pour permettre un meilleur contrôle des individus sur leurs données, l’approche et le timide positionnement suisse est totalement incompréhensible et absurde d’un point de vue économique. Au contraire, l’absence de (1) pouvoirs coercitifs du Préposé, (2) sanction administrative (sanctions pénales uniquement) et (3) sanction en cas de violation de notification des incidents, ne démontre pas un soucis de protéger de manière adéquate les citoyens suisses contre la mauvaise utilisation de leurs données personnelles, même avec un texte déjà très proche du RGPD (il faut tout de même le relever).

La Suisse semble se tromper de cible en voulant pénaliser l’individu et en même temps les personnes dont les données sont traitées si les règles ne sont pas assez protectrices. Il paraît grand temps que la Suisse, et ses politiques, prenne au sérieux les enjeux de la protection des données en s’alignant de manière plus complète sur les règles européennes sans pénaliser les personnes physiques.

Si la Suisse doit perdre sa décision d’adéquation, et devenir un pays tiers à l’Europe, comme pays n’ayant plus un niveau de protection adéquat pour le traitement des données personnelles, l’économie suisse devra en payer le prix fort.

A vos plumes et votre courage parlementaires !

________________________________

CONCLUSION ET RECOMMANDATIONS

Il paraît important de considérer au moins quelques points essentiels suite à cette décision, lorsque votre organisation est soumise au RGPD :

  1. Notifier ne suffit pas. Respecter la notification d’un incident en matière de protection des données, soit d’informer l’autorité dans les 72 heures, ne vous exempte pas de responsabilité. De plus, une amende peut être infligée même en l’absence de dommage concret pour les personnes concernées.
  2. Mesures de sécurité selon le risque. Il est essentiel de mettre en place des mesures de sécurité appropriées et robustes, considérant au cas par cas, le niveau de risque lié aux données personnelles traitées par votre organisation en qualité de responsable du traitement, le cas échéant par vos sous-traitants.
  3.  Contrats béton avec vos fournisseurs. Assurez-vous de choisir avec diligence vos partenaires contractuels et d’avoir les bons contrats en place avec vos fournisseurs, incluant notamment les exigences du RGPD et des exigences en matière de sécurité selon les standards pratiqués dans l’industrie.
  4.  Pratiquez des audits. Si vous n’êtes pas sûrs de vos pratiques en matière de sécurité, ou de celles de vos sous-traitants, pratiquez des audits ou demandez à vos sous-traitants des certificats d’audit, requerrez des preuves de conformité selon vos exigences en qualité de responsables de traitement.
  5.  Former vos employés. Vos employés, collaborateurs, éventuellement vos fournisseurs, doivent être formés à vos pratiques en matière de sécurité.
  6.  Se préparer aux incidents. Il est primordial de se préparer à des incidents en matière de protection des données. Préparez les ressources nécessaires et désignez les personnes responsables à l’interne ou à l’externe pour gérer un incident (compliance, légal, relations publiques, équipes sécurité, etc.). Munissez-vous d’une stratégie et d’un plan de réponse en cas d’incident pour limiter les risques. Vous pouvez effectuer des fausses alertes incidents et devez former vos employés.
  7. Limiter les dommages. Prenez toutes les mesures pour garantir un retour à la normale en modifiant vos pratiques de sécurité. En cas d’incident, le plus gros dommage ne sera probablement pas l’amende, mais les efforts, coûts, ressources et investissements requis pour faire face à l’incident, procéder aux diagnostics, mettre en place les correctifs pour que l’incident de se répète pas. Eventuellement, les pertes de clients.
  8. Suisse + pas de RGPD = pas de sanction. Pour les organisations suisses non-soumises au RGPD, une affaire de ce type n’aurait abouti à … rien!

A méditer !

—

Gabriel Avigdor, avocat, CIPP/E

www.ntic.ch | datalex.ch | penalex.ch

La CNIL sanctionne Google pour €50 millions sous le RGPD

Ce 21 janvier 2019, la Commission Nationale de l’Informatique et des Libertés (CNIL) a infligé à Google LLC une amende de 50 millions d’euros pour violation du Règlement Général sur la Protection des Données (le “RGPD“).

Dans sa communication du 21 janvier 2019, l’autorité française a infligé à Google l’amende la plus élevée depuis le 25 mai 2018, considérant que Google avait commis des infractions graves au RGPD. Ces violations concernent la mauvaise information des utilisateurs, et la violation du consentement pour les services publicitaires ciblés. La décision complète de 31 pages est disponible ici.

UNE DECISION PARTIELLE ! Il est important de noter que cette décision est limitée à l’enquête de la CNIL relative à la configuration d’un nouvel appareil Android qu’un utilisateur utilise pour la première fois. Les investigations ne concernent uniquement les notices d’informations fournies aux utilisateurs lors de la création d’un compte utilisateur lors de configuration de leur nouveau téléphone Android et non pour les autres services. Par conséquent, vu que la plainte complète n’a pas encore été examinée par la CNIL, cette affaire est loin d’être terminée. La portée de l’affaire n’est donc que partielle, et les investigations complètes sont plus largement liées à la publicité ciblée sur les plateformes Youtube, Gmail et Google Search vont se poursuivre. Nous verrons quelles seront les conclusions de la CNIL sur la manière avec laquelle Google pourrait “forcer” les utilisateurs à consentir au partage de leurs données via les services de publicité ciblée.

On peut donc s’attendre à d’autres rebondissements la part de la CNIL dans les prochains mois à venir. Cette affaire n’est que le début d’une longue série. Les deux organisations ont également déposé (comme expliqué ci-dessous) des plaintes similaires contre d’autres GAFAM et ce, dans plusieurs juridictions.

________________________________

CONSTATATIONS DE LA CNIL

Après investigations, la CNIL a considéré que Google n’avait pas respecté ses obligations sous le RGPD pour trois raisons principales : (1) manque de transparence (art. 5 du RGPD), (2) information insuffisante (art. 12 et 13 du RGPD) ; et (3) collecte non valide du consentement (art. 7 du RGPD).

Les deux plaintes ont été déposées par l’organisation à but non lucratif “None Of Your Business” (NOYB) créée par Max Schrems et l’association La Quadrature du Net, une association française qui regroupe les plaintes de 9’974 personnes. Ces deux organisations reprochaient aux services de Google, dont les services de publicité ciblée sous Android OS, de violer le principe de transparence, de traiter les données sur la base d’un fondement juridique valable (art. 6 RGPD) tel que le consentement. Selon les plaignants, en ne respectant pas ses obligations, Google aurait contraint les utilisateurs à partager une quantité massive de données personnelles sans leur consentement et compromettant ainsi leur vie privée.

Les plaintes déposées auprès de la CNIL et les griefs émis contre Google viennent d’être acceptées et confirmées par la CNIL dans ses conclusions du 21 janvier 2019. Il est intéressant de lire sur le blog de NOYB que Google vient de déménager son siège européen en Irlande à compter du 22 janvier 2019, et aura pour autorité principale de référence (lead supervisory authority) l’autorité irlandaise (Irish Data Protection Commision) de protection des données.

Considérations intéressantes de la CNIL. Dans ses considérants, l’autorité française explique qu’avec les services actuels de Google, vu notamment la manière avec laquelle les données des utilisateurs sont collectées, le volume des traitements et le type de données collectées

il résulte que ces données collectées via les services de publicité ciblée révèlent des pans entiers de la vie d’une personne

Ces traitements étant considérés comme très intrusifs pour les individus, le risqué pour la sphère privée est élevé. La CNIL a également noté dans ses considérants que le modèle économique de Google reposait en partie sur ces services de publicité ciblée.

Enfin, la CNIL nous explique que, pour l’essentiel, malgré les efforts de Google pour modifier ses processus, l’entreprise n’est toujours pas conforme au RGPD. Cela signifie que tant que Google ne se conformera pas au Règlement, elle pourra être confrontée à d’autres plaintes et, éventuellement, à d’autres amendes, à moins de changer radicalement toutes ses notices d’informations et la manière de collecter le consentement.

________________________________

BREF RETOUR SUR L’HISTOIRE DE CETTE AFFAIRE

Deux plaintes massives les 25 et 28 mai 2018 pour 7,6 milliards d’euros

25 mai 2018. Max Schrems – l’étudiant autrichien militant de la protection de la vie privée qui a causé l’annulation du Safe Harbor par la Cour de justice européenne – a fondé une organisation à but non lucratif appelée “None Of Your Business” (NOYB) pour aider les consommateurs à déposer plainte et faire valoir leurs droits contre les grandes entreprises, telles que les GAFAM, et leurs permettre de saisir les autorités pour faire respecter et protéger leur vie privée. Le jour où le Règlement Général sur la Protection des Données est devenu exécutoire au 25 mai 2018, Max Schrems a poursuivi Instagram (Belgique), WhatsApp (Hambourg), Facebook (Autriche) et Android (France) avec des plaintes massives totalisant quelques € 7,6 milliards via l’ONG NOYB pour violation du RGPD.

28 mai 2018. Le 28 mai 2018, le groupe français de défense des droits numériques “La Quadrature du Net” a déposé une plainte respectivement contre Google, Apple, Facebook, Amazon et LinkedIn devant la CNIL au nom de 12.000 personnes pour traitement illicite de leurs données personnelles.

La sanction de 50 millions d’euros infligée aujourd’hui par la CNIL n’est qu’une sanction contre une seule entreprise – Google LLC – et dans une seule juridiction. D’autres sanctions sont très probablement à venir si d’autres autorités suivent les arguments et considérations de la CNIL, de plus comme nous l’avons mentionné, cette sanction n’est qu’une décision partielle de toute l’affaire liées à la publicité ciblée et au consentement forcé des utilisateurs.

En termes de procédure, Google peut faire appel contre cette sanction et contester l’amende (edit 24-janv-2019) ce que l’entreprise vient d’annoncer publiquement. Même si l’amende reste faible par rapport aux €4mia qu’elle peut encourir en cas d’amende maximale, le montant est élevé pour cette affaire. En faisant appel contre cette décision, Google va initier ce qui sera un premier précédent dans l’interprétation des exigences du RGPD sur l’information et sur comment recueillir valablement le consentement, en particulier dans le domaine de la publicité ciblée.

L’appel de Google est par conséquent, hautement stratégique. Ne pas contester cette amende laisserait la place à d’autres sanctions plus sévères, vu que l’affaire n’est encore que partielle. De plus, cela pourrait être perçu comme une manière indirecte de reconnaître sa responsabilité et la mise en place de pratiques non-conformes. Enfin, Google se défend en arguant qu’elle a travaillé dur pour mettre en place une collecte de données afin de respecter la transparence. Nous verrons si son travail aura été suffisant ou non.

________________________________

L’AFFAIRE VUE D’UN PEU PLUS PRES

La CNIL fournit les explications suivantes pour justifier la sanction contre Google :

  • Violation du principe de transparence : le principe de transparence concerne la manière d’informer les individus sur les activités de traitement des données opérés par le responsable de traitement. Ceci prend généralement la forme de politiques de confidentialité ou de notices d’informations (selon les termes utilisés). L’information contenue dans ces notices se doit d’être concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, en particulier pour toute information destinée spécifiquement à un enfant (art. 12 al. 1 GDPR).

Google conforme ? Mmh, pas vraiment. Google a disséminé ces informations un peu partout dans sa plate-forme et dans ses pages liées à la confidentialité, lesquelles ne sont accessibles que par des liens ou des boutons sur lesquels il faut cliquer pour aller plus loin et en savoir plus. Cette méthode chronophage décourage la plupart des utilisateurs de trouver les options pour désactiver ou configurer le niveau de protection de la sphère privée. Cette manière de faire rend l’accès et la compréhension à ces pages et options difficile. Au final, toutes ces informations n’étaient accessibles qu’après 5 ou 6 actions, et après plusieurs étapes pour obtenir une liste des données collectées. Ainsi, l’information fournie par Google n’était pas claire, trop vague et décrite de façon trop générique. Si personne ne prend le temps de lire ces informations, elles ne sont pas fournies correctement et sont contraires au RGPD et au principe de transparence. De plus, Google n’avait pas informé les utilisateurs sur la durée de conservation de certaines données personnelles.

  • Consentement invalide : Pour rappel, le consentement n’est pas toujours nécessaire. Mais lorsqu’il est utilisé comme fondement juridique pour traiter des données personnelles, il se doit d’être recueilli de manière particulière. Selon la CNIL, Google a clairement, et de manière plutôt crasse, manqué à ses obligations de requérir valablement le consentement des utilisateurs pour traiter leurs données personnelles. En l’espèce, la CNIL a constaté une telle violation pour les options de publicité personnalisée, selon les deux motifs suivants :

Le consentement n’était pas éclairé. Cela signifie que les utilisateurs ne sont pas en mesure de comprendre effectivement la portée de l’utilisation de leurs données pour les activités de traitement. Par exemple, dans la section “publicité personnalisée“, il n’est pas possible de voir combien de services sont utilisés, ni combien de sites et applications sont liées au traitement de ces données. En somme a aucune information n’est disponible de manière claire sur le volume de données personnelles que ces services traitent ou pourront traiter ou combiner avec d’autres services.

Le consentement n’était ni spécifique, ni univoque (pas ambigu) malgré le fait que les utilisateurs pouvaient sélectionner des options dans les paramètres de configuration.

Pour rappel, l’article 7 du RGPD prescrit que pour être valide :

la demande de consentement est présentée sous une forme qui la distingue clairement de ces autres questions, sous une forme compréhensible et aisément accessible, et formulée en des termes clairs et simples

Avec les services et options de publicité ciblée de Google, les utilisateurs ne pouvaient accéder à ces paramètres qu’en cliquant sur “plus d’options” et n’avaient pas accès immédiatement à ces options. Une étape supplémentaire était donc nécessaire et plus il y a d’étapes, plus l’on décourage l’utilisateur de passer du temps à configurer ces options. De plus, la case à cocher pour l’option de “publicité ciblée” était pré-cochée par défaut, ce qui oblige l’utilisateur à la désactiver manuellement. L’option reste active si l’utilisateur ne fait rien, à moins qu’il y ait une action de sa part pour désactiver l’option. L’utilisation de cases pré-cochées est contraire au principe de protection des données par défaut (Privacy-by-default) selon l’art. 25 RGPD. Cette disposition exige de désactiver tous les réglages ou paramètres par défaut afin d’appliquer une protection maximale de la confidentialité à l’utilisateur. Il appartient dès lors à celui-ci de décider s’il souhaite augmenter le niveau “d’intrusion” dans sa vie privée pour accepter de partager ses données personn

Enfin, Google n’a fourni qu’une seule case à cocher pour plusieurs finalités ce qui apparaît comme suit :

“J’accepte les conditions générales de Google” et “J’accepte que mes données soient utilisées comme décrit ci-dessus et comme indiqué dans la politique de confidentialité“

Pour la finalité du traitement, on appelle cela un consentement groupé (bundled consent), qui n’est pas spécifique à chaque finalité (but du traitement) et ne fournit aucun détail afin de permettre à l’utilisateur de choisir quels buts du traitement il accepte pour le traitement de ses données. Une telle pratique n’est pas conforme aux exigences du RGPD et viole les articles 7, 12 et 13 du RGPD sur le consentement valable et l’information complète.  Lorsque plusieurs finalités de traitement existent, les utilisateurs doivent avoir la possibilité de ne consentir qu’aux finalités qu’ils souhaitent. Le fait d’avoir plusieurs finalités (purpose) incluses et cumulées, ne permet pas de les découpler et de les sélectionner au cas par cas.

________________________________

CES EXIGENCES SONT-ELLES NOUVELLES AVEC LE RGPD?

Oui et non.

Oui, les exigences relatives à la collecte d’un consentement valide ont été considérablement renforcées. Il n’est pas aussi facile qu’auparavant de recueillir un consentement valide et, comme ce cas le démontre, il y a des personnes et des autorités qui peuvent avoir un mot à dire et imposer une amende à votre organisation.

Non, les principes du consentement, de la base juridique valable (legal basis for processing) et de l’information des personnes concernées par une déclaration de confidentialité ne sont pas nouveaux en Europe ni en Suisse ou dans les pays ayant adoptés une législiation complète sur la protection des données. L’obligation de traiter les données à caractère personnel selon un motif légitime existait déjà sous l’empire de la directive 95/46/CE et s’applique aussi sous la loi fédérale sur la protection des données en Suisse (LPD). Une entreprise responsable de la collecte et du traitement de données personnelles (data controller) doit justifier le traitement sur la base d’un motif valable.

Pour rappel, le RGPD propose 6 bases légales différentes pour justifier le traitement des données personnelles (article 6 du RGPD), lesquelles sont :

  • le consentement ;
  • l’exécution d’un contrat ;
  • le respect d’une obligation légale ;
  • protéger les intérêts vitaux des personnes physiques ;
  • l’exécution d’une mission effectuée dans l’intérêt public ou dans l’exercice de l’autorité publique ; et
  • l’intérêt légitime.

En l’absence de base juridique valable, le traitement devient illicite et le traitement des données doit être arrêté. Chacune de ces bases légales a ses avantages et ses inconvénients, mais lorsque vous utilisez le consentement, vous devez veiller à le recueillir selon les prescriptions strictes du RGPD (voir ci-dessus). Avec le RGPD, le consentement est devenu plus difficile à obtenir et lorsqu’il n’est pas obtenu valablement le traitement devient illégal.

Voilà ce qui est arrivé à Google LLC dans cette affaire liée à la publicité ciblée, mais qui n’est à ce jour que la première partie d’une longue série de péripéties des GAFAM en 2019. Affaires à suivre !

________________________________

Par Gabriel Avigdor | NTIC.ch | Digital Lawyer

RGPD: un hôpital portugais écope de €400’000 d’amende

Le Portugal inaugure les amendes sous le RGPD par une sanction de €400’000 contre un hôpital pour trois infractions au RGPD. Cet article est l’occasion de rappeler quelques affaires récentes en matière de protection des données datant d’avant le 25 mai 2018 , ainsi que la situation des hôpitaux en Suisse.

_____________________

MAUVAISE GESTION DES ACCÈS AUX BASES DE DONNÉES PATIENTS

Selon le site CIO-online, l’établissement hospitalier “Hospitalar Barreiro-Montijo” au Portugal écope de 3 amendes pour violation du RGPD:

  1. Violation des principes d’intégrité et de confidentialité des données : € 150 000.- ;
  2. Violation du principe de limitation d’accès aux données : € 150 000.- ; et
  3. Incapacité pour le responsable du traitement des données à garantir l’intégrité des données. € 100’000.-

L’autorité de contrôle de protection des données portugaise, la CNPD (Commission nationale pour la protection des données) a constaté que plusieurs membres du personnel administratif de l’hôpital avaient des accès réservés aux médecins au travers de faux profils! En parallèle, 985 médecins avaient des habilitations pour accéder au dossier médical des patients, alors que l’établissement ne comprend que 296 médecins. De plus, du personnel non-médecin avait accès aux dossiers patients.

Cette affaire fait suite à enquête menée par la CNPD sur dénonciation d’une association de médecins au mois de juin 2018. Référence de cette décision dans un article local et ici (en portugais).

_____________________

RAPPEL : LES DECISIONS RENDUES APRÈS LE 25 MAI 2018, NE SONT PAS TOUTES ANALYSÉES SELON LE RGPD

Alors que plusieurs décisions sont tombées en Europe depuis  le 25 mai 2018, elles concernaient, pour la grande majorité des cas, des faits antérieurs à l’application du Règlement (UE) 2016/679 (RGPD).

Le Règlement Général sur la Protection des Données (en anglais “GDPR“) s’applique partout dans le monde. En particulier, il s’applique aux traitements de données opérés sur les données de personnes situées dans l’UE. La citoyenneté n’a, à cet égard, aucune pertinence pour connaître du champs d’application territorial du Règlement, c’est-à-dire où il s’applique.

Le RGPD n’étant applicable que depuis le 25 mai 2018, le principe de non rétroactivité implique que toutes les enquêtes ou faits antérieurs sont réglés selon l’ancien droit. Il n’est donc pas possible d’infliger des amendes calculées les fameux 2% -€10M / 4% – €20M, mais uniquement selon les législations nationales des 28 pays de l’UE. Dans ce cas, ce sera la Directive UE 95/46/CE sur le traitement des données personnelles qui s’appliquera, tout comme les lois nationales de chaque pays de l’UE. La portée extra-territoriale du RGPD n’était, avant mai 2018, pas encore applicable.

Attention. On lit de nombreux articles sur Internet mentionnant des amendes infligées en 2018, et faussement rendues “sous le RGPD”. Vérifiez bien que les faits soient postérieurs au 25 mai 2018 avant de parler de sanctions sous le RGPD !

_____________________

DEUX DECISIONS IMPORTANTES RENDUES APRÈS LE 25 MAI, MAIS PAS SOUS LE RGPD

A titre d’exemples, voici deux décisions importantes rendues après le 25 mai 2018 sous la Directive 95/46/CE auxquelles je compare le montant des amendes sous l’ancien et le nouveau droit. Il ne s’agit ici que d’une estimation fondée sur deux législations différentes et dont le montant est extrapolé. Ces chiffres ne sont fournis qu’à titre indicatif.

Affaire Equifax

Le 20 septembre 2018, c’est le scandale des données de cartes de crédit volées à Equifax Inc. lors d’une cyber attaque. L’attaque visait les USA, mais près de 15 millions de données de citoyens britanniques furent volées. Le Bureau du Commissaire pour l’Information au Royaume-Uni (Information Commission Office “ICO”) a rendu une décision sanctionnant Equifax Ltd à l’amende la plus lourde, soit £500’000.-, selon la loi britannique sur la protection des données. Cette décision intervenue en septembre 2018, concernait des faits datant de 2017.

Dans cette affaire, il était question des manquements d’Equifax à ses obligations de mettre en place des mesures organisationnelles et techniques pour empêcher les accès indus (équivalent de l’art. 32 RGPD) aux données de ses clients, en particulier vu le caractère sensible des données de cartes de crédit. De plus, l’ICO a considéré que la durée de conservation (principe fondamental de la protection des données) des données de ses clients avait dépassé ce qui était nécessaire, ce qui a contribué à exposer plus de données à la cyberattaque.

Sous le RGPD, une infraction à l’article 32 (obligation de mettre en place des mesures organisationnelles et techniques appropriées pour protéger les données) peut conduire à une amende allant jusqu’à une amende de 2% du chiffre annuel mondial du groupe (art. 83 al. 4 let. a RGPD). Il en va de même pour le montant de l’amende en cas de non-respect de l’obligation de traiter les données selon le principe de protection des données dès la conception (Privacy-by-Design) et par défaut (Privacy-by-default). Ce dernier principe, inclut la notion de durée de conservation, soit l’obligation de ne conserver que les données personnelles “qui sont nécessaires au regard de chaque finalité spécifique du traitement sont traitées” (art. 25 al. 2 RGPD). Ainsi, et pour autant que l’ICO eût utilisé les mêmes critères et arrivé à la même évaluation sous la Directive 95/46 que sous le RGPD, l’amende aurait pu avoisiner les quelques £20.87 millions, contre  £500,000 sous l’ancien droit.

Affaire Cambridge Analytica

Le 24 octobre 2018, Facebook Ireland Ltd a aussi été condamnée à la plus lourde amende possible selon le droit anglais par l’ICO britannique. Cette décision bien qu’intervenue en octobre 2018, concernait des faits antérieurs au 25 mai 2018.

Dans cette décision, Facebook a reçu une amende de £500’000.- pour avoir négligé la sécurité des données de ses utilisateurs. Dans ce scandale, l’entreprise Cambridge Analytica avait trompé les utilisateurs de Facebook en collectant des données de sondage pour analyser le comportement d’utilisateurs et influencer leurs intentions de vote pour les élections aux Etats-Unis lors de la campagne de Donald Trump. Il est par ailleurs probable que de pareilles méthodes aient été utilisées lors de précédentes campagnes aux USA, y compris pour l’élection de Barack Obama.

Facebook avait ainsi omis de protéger ses utilisateurs en ne mettant pas en place les mesures de sécurité appropriées. Cambridge Analitica, par ses sondages, avait pu obtenir un accès au profil des utilisateurs, mais également aux profils des “amis Facebook” des personnes participant au sondage, alors que ces personnes ne le savaient pas et n’avaient pas pu consentir ni être informées de cela.

Si la sanction avait été rendue sous le RGPD, et pour autant que les mêmes critères d’application eussent été utilisés, l’amende maximale de 4% aurait été d’une autre envergure. En effet, si l’on prend le chiffre d’affaire annuel net du groupe Facebook en 2017 (2018 pas encore connu), soit hors impôts, et en comparant le taux de change au 31 décembre 2017 entre EUR et GBP, l’amende aurait pu se monter à quelques £471,64 millions. Cela constituerait une hausse de +943% par rapport à l’amende rendue par l’ICO au Royaume-Uni.

_____________________

LA PREMIERE DECISION SOUS LE RGPD ?

Le 29 mai 2018, une décision importante allemande ICANN vs EPAG, traitait du cas des “données Whois”, soit les données personnelles des détenteurs de noms de domaines, données collectées et rendues publiquement accessibles. La société “Registrar EPAG Domainservices GmbH”, une société allemande accreditée par l’ICANN pour les enregistrements des noms de domaine (Registrars) était en litige contre l’ICANN. Dans cette affaire, il était question de savoir si les données de contact lors de l’enregistrement des noms de domaines (Admin-C et Technical-C) devaient être nécessairement collectées.

Au regard de l’art 5 (1) let. c) RGPD, la court allemande a considéré qu’il n’était pas obligatoire de collecter ces données. L’EPAG n’avait donc aucune obligation de collecter ces données et que personne ne pouvait le lui imposer.

La conséquence de cette décision est assez importante. De nombreux fournisseurs en ligne ont offert pendant des années de payer pour ne pas apparaître comme détenteur du site web, et ce afin de rester anonyme (service “whoisguard” par exemple). Vu qu’il n’y a aucune obligation de collecter ces données, les services payants n’auraient aujourd’hui plus de raison d’être, rendant ce service désuet, voir illégal. On voit maintenant des agences offrir “gratuitement” le service d’anonymisation des données de contact du détenteur d’un site à leurs clients. Certaines agences en font même un argument marketing, alors que les données n’ont plus à être publiées.

_____________________

QU’EN EST-IL DES HÔPITAUX SUISSES ?

La très vaste majorité des hôpitaux publics et cliniques privées suisses ne sont pas soumis au RGPD. Pourquoi ?

Pour la simple et bonne raison que ces établissements ne sont pas situés dans l’Union européenne. A cela s’ajoute qu’ils  n’offrent pas de biens et de services à des personnes situées dans l’UE. Ils ne surveillent pas non plus le comportement de personnes situées dans l’UE.

Mais attention, ce n’est pas parce que les amendes européennes ne peuvent pas toucher les établissements hospitaliers suisses que les risques n’existent pas. Au contraire.

Comme je l’écrivais dans mon article sur les données de 800’000 clients volées à Swisscom, l’absence de législation sérieuse sur la protection des données (avec des sanctions ayant un effet préventif et dissuasif) n’encourage pas les responsables de traitement à protéger les données des citoyens et des patients suisses. De nombreux cas récents ont démontrés que les hôpitaux sont devenus une cible de choix pour les cyber attaques, notamment pour la valeur des données de santé et par le fait que les mesures de sécurité adéquates coûtent chers et prennent du temps à mettre en place.

On peut voir dans ce rapport en anglais que les données médicales permettent d’accéder à de nombreuses informations pour des utilisations frauduleuses diverses:

  • Document de l’American Hospital Association sur les attaques des hôpitaux
  • Anthem – record historique de vol de données concernant plus de 80 millions de patients et employés

Les demandes de ranson (ransomware) sont devenues monnaie courante, et les erreurs humaines sont la plus grande cause des failles de sécurité. Dans un environnement avec tant de passages, de changement de personnel, avec des activités 24h/24h, les accès aux données patients et données confidentielles requièrent un contrôle strict au niveau des accès et des formations constantes des collaborateurs à tous les niveaux hiérarchiques. Il n’est d’ailleurs pas étonnant que de nombreux hôpitaux fassent l’objet d’enquêtes et de sanctions par les autorités de protection des données.

Et le droit suisse dans tout cela ?

Le projet de révision de la LPD, qui reste toujours en suspens au Parlement fédéral, sera tôt ou tard finalisé et entrera en vigueur avec un très large alignement au RGPD. Les amendes seront plus lourdes qu’aujourd’hui, même si elles resteront modérées (CHF 250’000 demain VS CHF 10’000 aujourd’hui), les incidents devront être notifiés, des études d’impact devront être menées pour les traitements à risque, les traitements devront être documentés de manière précises, les exigences relatives au consentement seront ré-haussées, etc.

Il reste donc essentiel pour les hôpitaux suisses, comme pour toutes les entreprises suisses, de se préparer à la révision de la LPD en tirant enseignement de ce qu’il se passe en Europe.

—

Par Gabriel Avigdor | NTIC.ch

Nous conseillons les entreprises en protection des données (RGPD et droit suisse), en matière de technologies et santé connectée en Suisse et sur le plan international. Pour plus d’informations, contactez-moi ou visitez datalex.ch.

Médecins non-économiques – Conséquences de la polypragmasie

Le thème des très hauts revenus de certains médecins, percevant plus de CHF 1 million par année est à nouveau à l’actualité. Ce matin l’émission “On en parle” de la RTS traitait du thème  de la surfacturation et des tarifs excessifs de certains médecins. Si certaines pistes ont été évoquées par une membre de la Fédération suisse des consommateurs (FRC), la polypragmasie qui traite aussi de l’aspect du surcoût n’a pas été mentionnée, ni les conséquences pour le médecin. Pourtant, les conséquences juridiques que pourraient subir le médecin qui abuserait de son droit de facturer à charge de l’assurance maladie de base ne sont pas négligeables.

En 2008, n’étant alors qu’étudiant sur les bancs de l’Université, je m’étais intéressé à la problématique du surtraitement ou du terme technique de “polypragmasie“. Ce terme barbare se réfère à l’article 56 LAMal et désigne une pratique contraire à  l’article 32 al. 1 LAMal, selon lequel le professionnel de la santé doit assurer un traitement efficace, approprié et économique (art. 32 al. 1 LAMal). S’il ne respecte pas ces conditions, il peut être tenu de restituer les sommes perçues directement ainsi que les coûts indirects du traitement préconisé (art. 56 LAMal).

La définition développée par les tribunaux est la suivante:

il y a “polypragmasie” (“Überarztung”) lorsqu’un nombre considérable de notes d’honoraires remises par un médecin à une caisse-maladie sont en moyenne sensiblement plus élevées que celles d’autres médecins pratiquant dans une région et avec une clientèle semblables, alors qu’aucune circonstance particulière ne justifie la différence de coût.

Il y a 10 ans, j’avais analysé et critiqué un arrêt du Tribunal fédéral qui abordait ce sujet. L’arrêt publié sous référence ATF 130 V 377, rendu le 18 mai 2004, analysait les différentes méthodes pour calculer le caractère économique ou non des prestations fournies et facturées par le médecin et admettait le remboursement par le médecin des coûts directs, mais également indirects, soit des montants que le médecin n’avait lui même pas perçus, mais qui découleraient de sa pratique jugée trop chère.

Si l’analyse de cet arrêt date déjà, les principes sont, dans les grandes lignes, restés les mêmes. A noter la mise à jour de mon analyse, en note de bas de page 5, sur la modification de la jurisprudence sur la méthode statistique selon l’ATF 133 V 37 du 6 octobre 2007.

__________________

Conséquences possibles d’une pratique
jugée trop coûteuse

1) Sur le plan financier, le praticien peut se voir opposer :

  • un refus d’être rémunéré sur ce qui dépasse la limite de l’admissible (art. 56 al. 2 LAMal) ;
  • une restitution des sommes perçues à tort, directement et indirectement (art. 56 al. 2 et 59 al. 1 let. b LAMal).

2) Sur le plan administratif :

  • Avertissement (art. 59 al. 1 lit. a LAMal) ;
  • Amende (art. 59 al. 1 lit. c LAMal) ;
  • Exclusion temporaire ou définitive de toute activité à la charge de l’assurance obligatoire de soins (art. 59 al. 1 let. d LAMal).

3) Sur le plan pénal :

  • Si le professionnel de la santé obtient pour lui-même ou pour autrui, sur la base de la présente loi, une prestation qui ne lui revient pas, par des indications fausses ou incomplètes ou de toute autre manière; une peine pécuniaire allant jusqu’à 180 jours-amende peut lui être infligée (art. 92 let. b LAMal);
  • Dans des cas plus extrêmes, l’infraction pénale d’escroquerie à l’assurance peut être réalisée lorsque des prestations ont été obtenues par “astuce” (art. 146 du Code pénal suisse). Dans ce cas, la peine privative de liberté peut aller jusqu’à cinq ans!

Même si en pratique une procédure judiciaire peut prendre plus de 10 ans avant d’être jugée, une procédure en polygragmasie, du premier échange de courriers jusqu’aux tribunaux est très lourde et c’est un jeu qui n’en vaut pas la chandelle, au vu des conséquences possibles pour le médecin et aux prix de longs efforts.

_____________________

Pour aller plus loin:

  • Mon analyse critique de cet arrêt datant de 2008, avec quelques références et citations;
  • A. Cereghetti, Odile Pelet, “Nul n’est censé ignorer… comment faire face à l’accusation de polypragmasie“, in Rev Med Suisse 2008; volume 4. 2356–2359;
  • Marcel Moillen, “Contrôle de l’économicité par santésuisse en cabinet médical : quel message pratique ? “, in Revue médicale suisse 2009.

Vol de données clients Swisscom – Une sonnette d’alarme pour la Suisse?

L’affaire du vol des données clients Swisscom auprès d’un de ses partenaires survenu ce 7 février 2018 fait suite à une longue liste d’incidents au niveau international (Equifax, Yahoo, Wannacry, Uber, Linkedin,…). Mais aussi en Suisse (Digitec, Swisscom), avec une liste qui va encore s’allonger ces prochaines années. Cet incident permet de se rendre compte concrètement que les grands opérateurs, ceux qui devraient d’ordinaire inspirer confiance, ne sont pas à l’abri des attaques. D’ailleurs, il en va de même pour tous les autres acteurs, secteurs publics et privés confondus. Néanmoins, ce sont surtout nos données qui sont à risque.

Risques limités, mais vol significatif à l’échelle suisse

A l’échelle de la Suisse, ce sont quand même les données de 800’000 clients volées il y a de cela 3 mois et annoncé le 7 février 2018 seulement. Difficile d’extrapoler cela aux incidents survenus auprès de vrais géants. Même si ce vol de données peut paraître dérisoire en comparaison avec d’autres vols de données historiques (3 milliards de données de comptes Yahoo!, au travers de Verizon, compromis en 2014), ce nombre est pourtant assez significatif pour un opérateur helvétique.

Notification tardive, mais conforme

A noter aussi une notification de la part de Swisscom qui intervient tardivement, mais qui correspond aux obligations actuelles imposées aux responsables de traitement selon le droit suisse: il n’y en a pas.

Conséquences de ce vol

Ce vol de données jugées par l’opérateur Swisscom comme

“pas particulièrement sensibles “

n’aura probablement que peu de répercutions sur les individus, mais véhicule un mauvais message au public qui pourrait laisser penser que lorsque des données personnelles sont volées, ce n’est pas important. De plus, il s’agit d’une terminologie malheureuse qui peut prêter à confusion (voir plus bas).

Les désagréments attendus pourraient aller du marketing ciblé, aux tentatives d’obtention de paiements indus, de prestations financières ou de communication de données bancaires par téléphone, SMS ou courrier. Par conséquent, une certaine vigilance accrue est dès lors de mise pour les clients ayant fait l’objet d’un vol de leur données. Ce genre d’incidents n’est donc pas à prendre à la légère dans un contexte où les inquiétudes des citoyens face à la course effrénée aux technologies et à l’utilisation massive des données ne concordent pas vraiment avec celles d’une majorité de nos politiques et parlementaires.

La Suisse tarde et risque de perdre sa compétitivité

Plutôt en retard. La Suisse peine à suivre le train des technologies et se trouve être en retard sur certains aspects liés au numérique, notamment la protection des données. Le droit suisse n’est pas encore complètement “périmé” et apporte bon nombre de réponses face à l’avancée rapide des technologies. Simplement, il n’est plus très moderne et pour un pays bénéficiant d’autant d’innovateurs, de start-ups et d’entreprises high-tech, il est difficile de comprendre le manque de prise de décisions et d’initiatives pour faire de la Suisse un Etat moderne, voir modèle.

Le modèle à la suisse trouve réellement ses limites. Institutions politiques, démocratie semi-directe et directe, ainsi que sa trop grande prudence aboutit toujours au même discours:

” attendons de voir ce que les autres feront, nous verrons ensuite“

Cette mentalité semble dépassée et plutôt antagoniste avec le fait que les technologies touchent à des questions fondamentales de notre société. Le droit du travail va bouleverser les métiers non créatifs (IA), l’éducation doit être repensée, la médecine et la santé vont drastiquement changer, la responsabilité individuelle va augmenter, la formation et la création de nouveaux métiers à tous les échelons (apprentissages, hautes écoles, universités) doit être anticipée, et les données de nos citoyens ainsi que de toutes celles des entreprises qui font confiance à la Suisse pour les y héberger ou laisser transiter, doivent être en sûreté.

Est-ce la peur de faire des erreurs, la peur du risque, des générations de dirigeants étatiques et ou privés qui attendent d’être à la retraite pour dire “ouf, heureusement que je n’ai pas eu à m’en charger” ou “je n’y comprends rien de toute façon“? Difficile de répondre à cette question. Pourquoi la Suisse ne pourrait-elle pas inspirer, elle dont l’économie internationale bénéficie encore de sa réputation basée sur la confiance, sa neutralité, sa discrétion, son exigence, sa capacité de travail et son sérieux?

Il semble URGENT pour la Suisse d’accélérer sa prise d’initiative au niveau politique et législatif si elle souhaite rester compétitive face aux acteurs du marché européen. Par ailleurs, on constate que des entreprises suisses qui ne seront pas soumises au Règlement (UE) 679/2016, autrement connu sous le doux nom de RGPD (ou GDPR en anglais), se mettent en conformité pour éviter de perdre des parts de marché.

Loin de Swisscom, l’exemple de Talk-Talk

En octobre 2016, l’entreprise de télécoms anglaise Talk-Talk avait perdu 101’000 clients suite à un vol de numéros de comptes bancaires d’environ 157’000 de ses clients. Cela avait abouti à une amende record de £400’000, qui n’était finalement rien face aux répercutions économiques suite à cet incident, lesquelles se sont élevées à environ £60 millions, dont:

  • £45 millions de coûts liés à (a) la remise en ligne du service, (b) l’interruption du service et des affaires, (c) la réaction à l’incident et les frais de consultants, ainsi que
  • £15 millions pour l’amélioration et prévention des incidents.

De plus, le communiqué de presse avait été effectué en urgence et sans préparation, ce qui avait eu des conséquences désastreuses sur la confiance auprès de ses clients et le départ de bon nombre d’entre eux.

Pour donner un ordre de grandeur, cette même amende sous l’angle du RGDP aurait pu se monter à quelques £59 millions si l’événement s’était produit le 26 mai 2018, contre £400’000 en octobre 2016…des montants franchement différents.

Remarques et réflexions suite à l’incident Swisscom

  • Sonnette d’alarme pour la Suisse. Pour une entreprise détenue à 51% par la Confédération, ce genre d’événement devrait faire office de catalyseur. Les récents développements parlementaires sur la révision totale de la loi fédérale sur la protection des données (tant sur le contenu que sur la décision de scinder le projet en deux) semblent pourtant indiquer que la Suisse n’est pas pressée d’encadrer la protection des données pour ses citoyens, avec comme risques de rater le tournant du numérique, de perdre le statut de pays avec un niveau de protection adéquat pour le transfert des données, d’attirer des entreprises peu recommandables en abaissant le standard, d’être moins compétitif et j’en passe. Cela alors que l’Europe et d’autres pays sont en train de faire l’inverse. Un tel incident devrait être un signal d’alarme pour la Suisse qui ne peut plus rester passive devant des voisins européens proactifs et chamboulant le paysage réglementaire. Cela est d’autant plus important si la Suisse veut rester compétitive économiquement et attirer les entreprises garantissant un niveau d’exigences et de confiance élevé pour l’utilisation des nouvelles technologies, la protection des données, la cybersécurité et l’industrie 4.0.
  • Une cible de choix. Les grands opérateurs et entreprises sont aujourd’hui une cible de premier choix qui ne peuvent pas se permettre de prendre à la légère ces problématiques. Les cyberattaques vont se multiplier dans les années à venir et il est dès lors nécessaire de comprendre, maîtriser et anticiper ce genre de scénarios, afin d’éviter une situation de type “Talk-Talk”. Si l’entreprise se protège et élève ses standards, elle protège en même temps sa réputation, son business et ses clients.
  • Notifications en cas d’incidents. Le projet de loi fédérale sur la protection des données, qui devrait bientôt imposer un délai de 72 heures dès la connaissance de l’incident pour le notifier aux autorités, est une étape clef dans le cadre des incidents en matière de cybersecurité. Pour les entreprises soumises au RGPD, cette obligation implique de mettre en place les mesures nécessaires pour s’organiser à l’interne, prévenir les incidents, les détecter, les notifier, minimiser les risques, etc. Des obligations et une organisation, dont encore peu d’entreprises sont habituées à mettre en place.
  • Notification obligatoire ou non ? Aujourd’hui, aucune obligation n’existe en Suisse. La cybersécurité n’est pas développée contrairement à l’Europe ou aux Etats-Unis dont les législations étatiques regorgent de pratiques en la matière. Seul le RGPD, pour les entreprises qui y sont soumises, et le projet de révision de la LPD prévoient des modifications allant en ce sens. Il sera également crucial de mettre en place les mesures adéquates (telles que l’anonymisation, la pseudonymisation, le cryptage, etc.) qui pourraient éviter de devoir notifier aux autorités les incidents et perdre ainsi sa réputation et des clients. Lorsque des mesures adéquates sont prises au préalable, elles peuvent avoir comme effet que personne ne le sache. En effet, s’il n’existe qu’un risque minime ou inexistant pour les données personnelles, personne n’aura besoin de le savoir. Le responsable du traitement protège ainsi sa réputation et la confiance auprès des clients. Par exemple, si vous perdez votre carte de crédit, mais que des chiffres sont effacés, il n’y aura presque aucun risque pour une utilisation indue de votre carte de crédit.
  • Contrats avec les tiers et procès. On l’a vu, ce n’est pas Swisscom qui s’est directement fait voler ses données mais une entreprise “partenaire”. Il est par conséquent important, surtout au vu du nouveau régime d’amendes (voir mon article sur les amendes selon le RGPD), de prévoir un contrat avec ses fournisseurs qui soit en béton. Vu les prochaines modifications législatives et l’arrivée du RGPD, il est essentiel de revoir ses contrats pour qu’ils tiennent compte de la problématique des incidents et avoir une idée claire de ce qu’il advient contractuellement en pareil cas. C’est dans ce cas qu’on peut pourra analyser la relation contractuelle et éventuellement se retourner contre son fournisseur. Dans ce contrat, on songera par exemple à: (a) définir les rôles de chaque partie (responsable ou sous-traitant), (b) n’agir que sur instruction du responsable du traitement des données, (c) garantir des mesures de sécurité adéquate, (d) imposer une formation des employés du fournisseur, (e) que des sauvegardes suffisantes soient effectuées régulièrement et à plusieurs endroits, (f) une possibilité de récupérer ses données en tout temps, même en cas d’incidents, (g) obliger le tiers à notifier tout incident par le partenaire dans un délai très court, (h) une collaboration entre les parties en tout temps, (i) permettre ou non la sous-traitance de 2e niveau et en être informé au préalable, avec droit de refus ou de résiliation du contrat, (j) le transfert des données vers un pays tiers, (k) prévoir des indemnités, pénalités en cas de violation du contrat, (l) de désigner comme juste motif de résiliation du contrat en cas d’incident, etc. (la liste est encore longue!). En résumé, le contrat avec ses partenaires d’affaires qui traitent les données de ses clients, doit être absolument revu pour anticiper les récents développements. Cela fera la différence en cas négociation, dans le cadre d’un litige, ou de procès.
  • Enfin, sur le caractère sensible des données, la prise de position de Swisscom prête à confusion. Le caractère sensible ou non d’une donnée est définit dans la loi et a une portée juridique particulière. Soit une donnée entre dans cette catégorie, soit pas. Une donnée sensible se rapporte par exemple à une information sur la santé, sur les orientations politiques, philosophiques, religieuses, les particularités raciales et ethniques, (bientôt le profilage et les données biométriques) et pouvant se rapporter directement ou indirectement à un individu. Cette catégorie est mieux protégée par la loi, car le consentement exprès de la personne concernée doit être recueilli et peut-être retiré en tout temps. Lorsqu’on mentionne “sensible” on pense parfois à la valeur de la donnée, ce qui n’est pas la même chose. Une donnée peut être considérée comme “sensible“, soit parce qu’elle est à risque (donnée de comptes bancaires), a une valeur économique (information sur un brevet d’invention en cours de développement), soit parce qu’une protection et une confidentialité particulière doit y être accordée (secrets d’affaires). Ainsi, lorsque Christian Neuhaus indique que

“aucune donnée sensible, telle que mot de passe ou information bancaire, n’a été subtilisée”

alors que ni un mot de passe, ni une information bancaire ne sont une donnée sensible, ni même probablement une donnée personnelle au sens juridique du terme et échapperaient à la réglementation sur la protection des données.

Il existe clairement une grande confusion entre la notion de données sensibles selon la loi, ou selon qu’elle est considérée comme “critique” ou que le degré de confidentialité requis est élevé. Cela dénote bien que la protection des données, ses règles et ses principes sont méconnus et ont encore beaucoup de chemin à faire.

La Suisse et la protection des données: une affaire à suivre de près !

Externalisation de la facturation dans le domaine médical: recommandations

Plus de transparence pour la facturation médicale effectuée par un tiers

______________________________________________________

Dans le domaine médical, la délégation de la facturation à un tiers (outsourcing ou externalisation) est fréquente et comporte plusieurs avantages économiques. L’externalisation vise à augmenter l’efficacité d’une tâche en confiant le travail à une entreprise spécialisée. La sous-traitance permet également une réduction des coûts en personnel et donc une économie des places de travail dans les locaux, mais aussi une responsabilité de l’investissement, une gestion du personnel et une formation effectuées et prises en charge financièrement par le tiers. Enfin, l’on peut bénéficier d’un reporting régulier et une coopération de la part du partenaire contractuel.

Au delà de ces bénéfices, la sous-traitance de la facturation médicale pose aussi des questions pratiques en matière de protection des données et de préservation du secret médical. En effet, l’utilisation de ces données à des fins autres que celles prévues par le contrat entre le professionnel de la santé et le patient, peut être illégal, car contraire (1) à la loi fédérale sur la protection des données (LPD), (2) à l’article 321 du Code pénal suisse (CP) portant sur l’obligation de respecter le secret médical, ainsi qu’à (3) certaines législations cantonales. A titre d’exemple, l’article 80 de la loi vaudoise sur la santé publique consacre cette obligation pour les professionnels de la santé de conserver le secret.

Violations constatées de la LPD et mise à mal du secret médical

______________________________________________________

Le préposé fédéral à la protection des données et à la transparence (PFPDT) a constaté dans son 24e rapport annuel 2016/2017 que certains prestataires traitant les factures pour le compte de médecins saisissaient l’occasion pour utiliser ces données de facturation pour leurs fins propres telles que:

  • la création de base de données sur la solvabilité des patients et leur notation; et
  • la vente de ces données à des tiers (assurances, etc.).

Selon le PFPDT:

les professionnels de la santé se doivent d’être précis et d’attirer l’attention du patient clairement sur les traitements de données prévus effectués par le prestataire, y compris la vente possible à des tiers, et à recueillir le consentement exprès du patient.

Obligation de garder le secret ou consentement explicite

D’un point de vue juridique, les données médicales – données liées à la santé – sont des données sensibles qui requièrent le consentement exprès, et de préférence écrit, du patient (art. 4 al. 5 LPD) pour être transmises à un tiers et utilisées par celui-ci en dehors de la facturation. Leur communication et utilisation à des fins autres que la facturation par le tiers ne peut être effectuée que si le patient a pu y consentir valablement. Ainsi, pour garantir le respect du secret médical, le transfert à un tiers et son utilisation sont soumis à la limitation de l’art. 321 CP et de la LPD (art. 10a al. 1 let b) si le détenteur du secret n’a pas délié le professionnel de la santé. Sauf consentement explicite (ou exprès) du patient, il existe alors une double violation de la LPD et du Code pénal (voire de lois cantonales) qui prohibent la divulgation de données médicales à des tiers.

Que doit contenir mon contrat d’outsourcing?

_______________________________________________

Pour être conforme, le contrat d’outsourcing doit intégrer des dispositions sur la protection des données et leur sécurité. Parmi ces dispositions on songera au moins à intégrer:

Avec un fournisseur basé en Suisse uniquement:

  • une référence aux dispositions la LPD (art. 6 et 10a LPD) pour la sous-traitance ;
  • une assurance du fournisseur qu’il se conformera à la LPD ;
  • une assurance du fournisseur qu’il répondra aux éventuels requêtes d’individus relatives à leurs données ;
  • requérir le consentement préalable du professionnel de la santé ou de l’hôpital en cas de sous-traitance par le fournisseur ;
  • décrire précisément le but de la collecte et indiquer quelles données personnelles sont utilisées ;
  • une obligation pour les employés, auxiliaire, consultants, etc. de se conformer aux mêmes obligations que le contrat et à la LPD ;
  • une obligation pour le fournisseur de garantir la mise en place de mesures technique et organisationnelle pour sécuriser les données ;

Avec un fournisseur nécessitant un transfert transfrontalier :

  • inclure une disposition pour régler un tel transfert de données personnelles vers un pays tiers. Lorsque le pays tiers ne garantit pas un niveau de protection adéquat pour traiter les données, le contrat devra également inclure une obligation :
    • d’intégrer les clauses contractuelles types, telles que les EU model clauses applicables au transfert entre maître de fichiers et sous-traitant (controller-to-processor, ‘C2P’), se fonder sur le Privacy Shield (Attention: le Privacy Shield ne protège pas les données codées “key-coded data”), ou le contrat type de transfert de données du préposé) ;
    • pour le fournisseur de faire signer les EU model clauses (voire privacy shield ou clauses contractuelles équivalentes) à toutes ses filiales qui traiteraient (ce qui inclut l’accès aux données depuis l’étranger) des données personnelles depuis un pays sans niveau de protection adéquat ;
    • d’informer préalablement le professionnel de la santé de tout transfert à un tiers, incluant un droit d’objection, et lui fournir les informations y relatives, tel que l’indentité du tiers et le lieu du datacenter,
    • en cas de sous-traitant du fournisseur, de garantir qu’ils s’engagent aux mêmes conditions contractuelles et légales que le fournisseur.

Selon les recommandations du Préposé:

Quiconque communique des données personnelles à l’étranger doit examiner dans chaque cas si la personnalité de l’intéressé n’en est pas menacée. En d’autres termes, un médecin qui communique des données personnelles à l’étranger doit vérifier si le pays en question dispose d’une protection des données équivalente à celle de la Suisse.

ATTENTION: A noter que, selon les recommandations du Préposé fédéral, l’utilisation de services d’externalisation de données médicales auprès tiers dans le cloud ne peut s’opérer qu’en Suisse, avec un contrat qui interdit au tiers de communiquer ces données à des tiers. Cette mesure serait la seule à garantir le respect du secret médical, dont la divulgation est sanctionnée selon l’article 321 CP.

______________________________________________________

Comment faire en pratique ?

– Recommandations pour respecter la protection des données et le secret médical –

Toujours selon le PFPDT, il n’est ainsi pas suffisant d’indiquer quelque part dans le cabinet médical ou en petites lettres dans un formulaire de consentement que ces données pourraient faire l’objet d’un transfert pour une utilisation autre que de la pure facturation. Le patient doit être informé de manière complète et y consentir sans pression quelconque. Cette note du préposé met l’accent sur le principe de transparence qui implique une information complète fournie au patient avant le transfert de ces données, ainsi que le fondement juridique de la collecte qu’est le consentement exprès.

Pour le patient

La conséquence de cette note du préposé pour les patients est un renforcement de la transparence à leur égard pour mieux les protéger d’une utilisation indue de ces données et de leur sphère privée. Vu que le consentement du patient est requis, le patient doit aussi avoir la possibilité, à tout moment, de retirer son consentement pour l’utilisation qui irait au delà du but premier qu’est la facturation. Dans ce cas, le soignant et le prestataire devront respecter la volonté du patient et limiter le traitement aux fins indiquées par ce dernier, soit l’accès et le traitement uniquement pour effectuer de la facturation.

Pour les professionnels de la santé et hôpitaux

Cette obligation de transparence n’est pas nouvelle. Elle découle déjà de la législation protégeant le secret médical et de la protection des données, mais elle est mise en exergue pour insister sur le fait, qu’en pratique, on ne peut simplement collecter des données et en faire ce que l’on veut. Aller au delà d’un but prévu sans en informer le patient et requérir son consentement explicite est illicite. Le patient doit être en mesure de recevoir cette information, y consentir, et le cas échéant retirer tout ou partie de son consentement au traitement additionnel de ces données à des fins autres que la facturation.

Etant donné que le prestataire est un sous-traitant (data processor), ce dernier doit se conformer aux exigences du maître de fichiers (data controller) pour respecter le traitement licite des données et une utilisation conforme au contrat d’externalisation. La prudence commanderait par conséquent aux professionnels de la santé et aux hôpitaux au moins:

Vis-à-vis du prestataire de :

  • s’assurer que le prestataire n’utilise pas ces données à d’autres fins que ne le permet le contrat;
  • s’assurer que le prestataire respectera cet engagement ainsi que les règles en matière de protection des données, le prestataire n’étant, lui-même, probablement pas astreint au secret médical;
  • en cas d’utilisation d’un fournisseur de service cloud, n’utiliser que des prestataires situés en Suisse qui stockent leur données en Suisse et s’assurer qu’il existe une clause dans le contrat d’externalisation interdisant au fournisseur de transmettre des données médicales non anonymisées à des tiers situés à l’étranger (voir la note du Préposé citée en référence en fin d’article).

Vis-à-vis du patient de :

  • mettre à jour leurs formulaires de consentement, en distinguant clairement et visiblement la partie du consentement à une intervention médicale de celle du consentement à l’utilisation des données médicales par un tiers;
  • si les données devaient être utilisées à d’autres fins que de la facturation:
    • recueillir le consentement du patient après l’en avoir dûment informé; ou
    • l’informer du fait que ces données pourraient ou ont été transmises à des tiers sans son consentement et prendre les mesures adéquates.

Pour les prestataires

Le préposé ne se prononce pas sur la position du prestataire de facturation médicale et de son éventuelle responsabilité civile vis-à-vis du patient pour une utilisation indue des données. Il indique néanmoins que les précautions à prendre sont plutôt pour le protéger du risque lié à la violation du secret et de la protection des données. En effet, le patient aurait le droit de demander réparation pour le préjudice subit, ainsi que l’arrêt, l’effacement, voire la transmission des données à des tiers.

Il pourrait s’avérer utile que le prestataire :

  • conclue un contrat de sous-traitance avec le professionnel de la santé contrat qui délimitera les droits et obligations liées au traitement des données patient ;
  • anonymise les données avant de les transmettre à des tiers, ou à tous le moins mette en place des mesures permettant de diminuer le risque d’identification des patients (hashage, pseudonymisation), ce qui pourrait lui éviter de se voir reprocher une utilisation indue ainsi qu’un blocage de l’utilisation de ces données par le patient ;
  • clarifie avec le médecin ce qu’il entend faire des données et s’il envisage une utilisation qui diffère d’un but de facturation ;
  • requière, le cas échéant, du professionnel qu’il recueille valablement le consentement du patient ;
  • éventuellement prévoie une exonération de responsabilité pour le cas où le professionnel n’aurait pas recueilli valablement ce consentement auprès du patient ; et
  • intègre une clause de remboursement en cas de dommages causés en lien avec la violation du secret.

—

Pour aller plus loin, vous pouvez retrouver les documents suivants sur le site du préposé:

—

Par Gabriel Avigdor | NTIC.ch