Soixante-treize dossiers par minute pendant cinq jours, et personne ne l'a vu

Le chiffre à regarder n'est pas cinq cent mille euros, ni même sept cent mille personnes. C'est soixante-treize : les dossiers extraits chaque minute, cinq jours durant, sans qu'une seule alerte se déclenche. Un tel rythme ne ressemble à rien de ce qu'un être humain produit en travaillant, et un système incapable de le distinguer du travail normal n'est pas un système surveillé.

• L'accès s'est fait avec les identifiants légitimes d'un médecin, compromis ailleurs : du point de vue du système, c'était une connexion autorisée.
• L'authentification multifacteur n'était pas activée sur le dossier patient, ce qui aurait rendu ces identifiants inutiles à eux seuls.
• Aucun outil ne permettait de détecter une activité anormale : ni seuils, ni alertes, ni journaux lus par quelqu'un.
• La CNIL a enjoint la révision des habilitations d'accès sous quinze mois et une journalisation efficace des accès sous trois mois, sous astreinte de 1 000 euros par jour de retard.

Les deux injonctions disent comment l'autorité a lu l'affaire. Trois mois pour les journaux, quinze pour les habilitations : des délais différents ne sont pas une faveur, c'est une priorité. Revoir qui peut voir quoi dans un hôpital est un travail long et doit être bien fait ; s'apercevoir que quelqu'un télécharge l'archive est une chose que l'on doit pouvoir faire maintenant.

L'art. 32 exige des mesures adaptées au risque, et sur une archive de santé le risque n'est pas seulement que quelqu'un entre : c'est qu'il y reste sans être vu. La prévention a une limite connue — les identifiants se volent, et ceux-ci l'avaient été ailleurs — tandis que la détection est la seule chose qui travaille après l'échec de la prévention. C'est la partie qui arrive toujours seconde dans les budgets, et c'est celle que la CNIL a mesurée.