L’hébergement des données de santé : quels risques maîtriser pour créer la santé de demain ?

Pourquoi les données de santé sont-elles cruciales pour l’écosystème mondial ?

Avant toute chose, le RGPD de 2018 définit une donnée de santé comme une “donnée à caractère personnel relative à la santé physique ou mentale d’une personne physique [...]”. Cela regroupe donc des milliards de données qui peuvent être récoltées pendant les parcours de soins ou lors d’actes administratifs par exemple.

Encore peu exploitées il y a quelques années, la quasi-intégralité des personnes a des données de santé stockées sur des serveurs à l’heure actuelle. Cela s’explique par la numérisation globale de la société.

En effet, nos recherches internet, les objets connectés, les applications de santé (entre autres) sont autant de sources de création et de multiplication de ces données particulières.

L’exploitation des données de santé est un vecteur de progrès incroyable pour la médecine qui peut s’appuyer sur des milliards de données pour faire avancer la recherche.

Elles sont donc un trésor aux bénéfices multiples, qui permettent de faciliter le parcours de soins, de répondre au vieillissement de la population ainsi qu’à la hausse des maladies chroniques.

Ces innovations sont aussi bien privées que publiques. Par exemple, depuis 2004, l’État français souhaite créer un “Dossier Médical Partagé” entre les différents praticiens suivant un même patient afin de faciliter le parcours de soins et ainsi améliorer le secteur de la santé. Or pour ce faire, ils se doivent d’exploiter des milliards de données de santé.

Néanmoins, comme tout trésor, les données de santé sont convoitées et soumises à des risques de sécurité. Il faut donc être très regardant avec les hébergeurs HDS.

Qu’est-ce que ça veut dire qu'être HDS et comment le devenir ?

Les données de santé étant très sensibles, les organismes hébergeant ces données sont soumis à une très haute vigilance afin de garantir la sécurité des données et le strict respect de la vie privée des patients.

L’acronyme HDS signifie Hébergeur de Données de Santé. Cette certification HDS créée par l’agence du numérique en santé (ANS) a été mise en place fin 2018 et remplace un ancien agrément national délivré par le ministère de la Santé.

Cette certification HDS est obligatoire pour tous les organismes qui hébergent, exploitent ou réalisent des sauvegardes pour des tiers de santé en France (laboratoires, cliniques, cabinets, hôpitaux …). Elle garantit, entre autres, la sécurité des données de santé.

La certification HDS consiste en une extension de certaines normes internationales de sécurité des Systèmes d’information telles que l’ISO 27001.

Elle est délivrée pour une durée de 3 ans, suite à un audit de sécurité documentaire et organisationnel effectué par un organisme certificateur indépendant.

Outre une obligation légale, être certifié HDS est aussi un avantage. Ces organismes peuvent proposer d’héberger des données de santé pour d’autres tiers, et ainsi, leur proposer, avec confiance, une alternative technique et économique sécurisée.

À noter qu’il existe deux types de certification HDS : “Hébergeur d’infrastructure physique” et “Hébergeur Infogéreur” et les enjeux de sécurité varient selon la certification HDS en question.

Trois enjeux sont à valoriser quand on aborde le sujet de la certification HDS : 

• La transparence des critères de certification par rapport à l’ancien agrément
• La simplification d’accès à la certification pour les hébergeurs internationaux
• L’universalité et la confiance en matière de sécurité 

Outre ces différents avantages que procure la certification HDS, il faut rester très vigilant lorsque l’on parle d’hébergement de données de santé, car un hébergeur de données de santé HDS est soumis à des risques particulièrement forts.

Quels sont les risques particuliers auxquels sont soumis les hébergeurs HDS ?

Au niveau de la sécurité

La certification HDS pour un hébergeur est un gage de sécurité et de confiance. Cependant, il faut rester très vigilant ! Les données de santé restent des données convoitées, soumises à différents risques sur le plan éthique, économique et politique !

Concernant la sécurité, les tentatives de vol de données de santé sont de plus en plus répandues. En France en 2020, c’est en moyenne un établissement de santé par semaine qui est la cible de tentatives de vol.

À l’international, c’est par exemple le cas de l’établissement de santé SingHealth à Singapour qui s’est fait dérober les informations détaillées de 1,5 million de patients, incluant le premier ministre.

Ces nombreuses attaques s’expliquent notamment par le fait que la donnée de santé est particulièrement lucrative : un dossier médical peut se revendre entre 50 et 100 dollars sur le dark web, soit en moyenne trois fois plus cher que des données classiques !

Le prix élevé de ces données s’explique par une raison précise. La compromission de données telles que les problèmes de santé passés et présents, les ordonnances de pharmacie, les dossiers d’hôpital, les détails sur les assurances, peuvent permettre de se faire passer pour un médecin et ainsi escroquer l’Assurance Maladie en demandant des remboursements injustifiés.

Au niveau de la souveraineté des données

La problématique de la sécurité des données est donc un enjeu quotidien pour les hébergeurs certifiés HDS ! Mais les hébergeurs de données de santé HDS sont aussi confrontés au problème de souveraineté des données !

D’un point de vue européen, la donnée de santé est une chose privée et personnelle. La législation européenne va dans ce sens, c’est notamment le cas du RGPD.

Or ce n’est pas le cas de la législation américaine qui considère que la donnée est un actif qui peut être réquisitionné lorsqu’il est hébergé par une entreprise américaine. Cet aspect est notamment régi par deux actes qui entrent en conflit avec la vision européenne en termes d’utilisation des données :

• Patriot Act : Élaborée pour des raisons de “sécurité”, au début des années 2000, après les attentats du 11 septembre, cette loi permet aux agences gouvernementales d’accéder, dans le cadre d’une investigation, à n’importe quelle donnée hébergée par une entreprise américaine (que son data center soit aux États-Unis ou non) ou par toute entreprise (américaine ou non) implantée sur le sol américain !
• Cloud Act : Instaurée en 2018, cette loi facilite l’accès aux données provenant de serveurs situés hors des États-Unis et empêche l’Europe d’intervenir. Malgré l’entrée en vigueur du RGPD, le gouvernement américain peut saisir, sans justification, n’importe quelle donnée hébergée par une société américaine, même si elle n’est pas située aux États-Unis et si elle est certifiée HDS.

L’implémentation de ces lois a été justifiée par des raisons de sécurité. C’est donc peut-être même la définition de sécurité des données qui varie d’un continent à l’autre.

À noter que pour servir de bouclier et protéger les données personnelles, l’Europe a tenté de mettre en place le Privacy Shield. Cependant, ce texte a été annulé pour différents litiges et l’Europe travaille sur un nouveau texte qui devrait voir le jour dans les prochaines années.

La certification HDS ne fait donc pas office de pare-feu à cet enjeu légal ! Par exemple, AWS est certifié HDS mais la donnée stockée chez AWS est régie par la législation américaine et peut être réquisitionnée par le gouvernement américain !

L’hébergement et l’exploitation de données de santé à l’heure du cloud

De nos jours, la tendance en termes d’hébergement de données est à la centralisation sur le cloud et plus particulièrement chez une poignée de clouds providers certifiés HDS. Cela s’explique par des bénéfices techniques et économiques.

Néanmoins, à l’heure de la migration sur le cloud, il faut faire encore plus attention. Car si les bénéfices de centralisation de données sensibles, comme les données de santé, peuvent être extraordinaires, les conséquences peuvent être dramatiques.

Les projets de centralisation des données de santé sont de plus en plus nombreux. Par exemple, en France, il existe un projet gouvernemental de centralisation des bases de données de santé afin de faciliter la recherche médicale et la qualité des soins.

Il s’agit du Health Data Hub qui a vu le jour en 2019 suite à un rapport du député Cédric Villani sur l’intelligence artificielle. Ce projet a pris de l’ampleur ces derniers mois et des premières datas concernant la Covid y sont même déjà hébergées.

Nul besoin d’expliquer précisément les potentielles conséquences fatales que pourrait avoir une exploitation malveillante d’une telle plateforme regroupant l’intégralité des données de santé critiques d’un pays. L’aspect de la sécurité est donc essentiel.

Pour assurer la sécurité des données de santé, chaque demande d’accès à la plateforme est inspectée par la CNIL et par le CESREES afin de vérifier que le projet du demandeur est une mission d’intérêt publique. Ainsi, si les retours de ces deux comités sont favorables, la plateforme consolide uniquement les données nécessaires pour ce projet et peut les fournir au demandeur.

Aujourd’hui, sur les 1 400 projets qui ont demandé d’accéder à de la data située sur le Health Data Hub, une vingtaine a obtenu une réponse favorable.

Outre, la sécurité maximale qui doit être mise sur un tel projet certifié HDS, ce potentiel eldorado pour la santé française a aussi d’autres failles.

Le Health Data Hub fait appel à Microsoft Azure pour héberger sa donnée. Or, même si les serveurs utilisés sont situés aux Pays-Bas, la société américaine est soumise au Cloud Act et des débats sont donc en cours sur le sujet. Et cela, même si la plateforme est certifiée HDS.

La souveraineté des données de santé chez un hébergeur HDS est donc un débat à l’échelle d’un tiers de santé et devient une préoccupation fondamentale lorsque l’on aborde une plateforme centralisant l’intégralité des données de santé d’un pays !

De fait, Olivier Véran s’est engagé à trouver un hébergeur de données HDS différent de Microsoft. D’autres acteurs avancent que le projet ne peut se faire sans Microsoft ! Le Health data Hub n’a donc pas fini de faire parler dans les prochains mois.

La centralisation des données de santé sur le cloud a un autre impact : elle augmente les risques liés à la sécurité et notamment les cyberattaques. L’adoption massive de ce système de stockage pose des questions bien particulières en termes de sécurité des données sur le cloud.

En effet, plus on héberge de la donnée chez un même hébergeur, plus cet hébergeur a des risques de sécurité potentiels et des chances de se faire attaquer.

Concernant les données de santé précisément, nous sommes face à 2 enjeux majeurs qui viennent s’entremêler et multiplient les risques liés à la sécurité :

• Les données de santé sont particulièrement convoitées
• Le marché des technologies de santé grandit de manière exponentielle : En 2019, le secteur de la Health Tech a levé plus de 1,8 milliard d’euros en France. Ainsi, les hébergeurs HDS ont de plus en plus de données à héberger.

De plus, la sécurité des données de santé devient de plus en plus dure à maîtriser. En effet, 66% des établissements de santé ayant subi une tentative de cyberattaque en 2020 estiment que ces attaques sont devenues de plus en plus sophistiquées !

La vigilance est donc plus que jamais de rigueur pour les hébergeurs HDS qui se doivent de maintenir un niveau de sécurité maximum et irréprochable.

Les niveaux de sécurité nécessaires augmentent d’une année à l’autre pour ces hébergeurs HDS et les potentielles failles de sécurité dans une infrastructure cloud sont nombreuses :

• Sécurité des accès
• Traçabilité, journalisation
• Chiffrement at rest et en transit avec des protocoles crypto robustes 
• Bonnes pratiques de sécurité d'architecture
• Configuration des services managés dans le Cloud
• Cloisonnement réseau

Il est donc essentiel pour un hébergeur HDS de se faire accompagner par des experts en matière de sécurité afin de maintenir ce niveau d’exigence maximum et ainsi rester conforme aux normes de sécurité pour passer l’audit HDS tous les 3 ans.

Pour cela des experts Padok Security peuvent aider les hébergeurs HDS en auditant leur infrastructure cloud et en les aidant à maintenir une infrastructure au niveau d’exigence de sécurité requis !

À la manière de la réponse conjointe qui a été donnée face à l’épidémie de la Covid nous sommes sans aucun doute entrés dans une nouvelle ère en termes de recherche médicale, tant sur le plan de la numérisation que de la collaboration mondiale. Or ceci est tout simplement impossible sans la centralisation des données de santé et une exploitation sécurisée et intelligente de ces dernières ! 

Alors, va-t-on parvenir à maîtriser les risques qui pèsent sur les hébergeurs HDS et ainsi créer un cercle vertueux pour la médecine de demain ?

C’est notamment une des questions à laquelle le gouvernement a dû répondre lors de son investissement des 3 milliards d’euros alloués au secteur de la santé publique dans le Plan France 2030 annoncé par Emmanuel Macron le 12 octobre dernier.