La Commission de protection des données irlandaise sanctionne le service de santé public pour de multiples manquements à la sécurité des données, révélés par une attaque par rançongiciel ayant affecté les données de santé de 84 000 patients.

Faits et contexte

L'autorité irlandaise de protection des données (DPC) a aujourd'hui publié une décision de sanction à l'encontre du Service de santé exécutif (HSE), comprenant le prononcé d'une amende de 300 000 €, pour des manquements en lien avec la sécurité des données de santé suite à une attaque par rançongiciel.

L'affaire trouve son origine dans une enquête ouverte par l'autorité de contrôle suite à la détection, le 14 novembre 2018, d'une attaque par rançongiciel visant le système d'information du laboratoire de l'Hôpital régional des Midlands de Tullamore.

Motifs de la décision

L'enquête a porté sur l'adéquation des mesures techniques et organisationnelles mises en place par le HSE pour assurer la sécurité des données personnelles des patients. L'autorité a retenu les manquements suivants :

• Obligation d'intégrité et de confidentialité (article 5, paragraphe 1, point f) du RGPD) : L'autorité a estimé que le HSE n'avait pas garanti une sécurité appropriée des données personnelles des patients, en ne mettant pas en œuvre les mesures techniques et organisationnelles adéquates pour protéger les systèmes informatiques contre un accès non autorisé et un chiffrement malveillant.
• Obligation relative aux sous-traitants (article 28 du RGPD) : L'enquête a révélé que les contrats conclus avec des tiers agissant en tant que sous-traitants ne contenaient pas les garanties suffisantes pour assurer que le traitement était entièrement conforme au RGPD et que les droits des personnes concernées étaient protégés.
• Obligation de tenir un registre des activités de traitement (article 30 du RGPD) : Au moment de l'incident, le HSE n'était pas en mesure de présenter un registre des activités de traitement complet et conforme aux exigences du RGPD pour les traitements concernés par la violation.
• Obligation de sécurité du traitement (article 32, paragraphe 1, du RGPD) : De manière connexe, l'autorité a conclu que le HSE avait manqué à son obligation de mettre en œuvre des mesures techniques et organisationnelles appropriées pour assurer un niveau de sécurité adapté au risque, compte tenu de la nature sensible des données de santé traitées et des menaces identifiées telles qu'une attaque par rançongiciel.
• Obligation de communication d'une violation de données à la personne concernée (article 34 du RGPD) : L'autorité a constaté que le HSE n'avait pas communiqué aux personnes dont les données ont été affectées par la violation toutes les informations requises par cette disposition, notamment concernant les conséquences probables de la violation et les mesures prises.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 300 000 € au Service de santé exécutif pour les manquements aux articles 5, paragraphe 1, point f) et 32, paragraphe 1, du RGPD.

En outre, l'autorité a adressé un blâme au responsable de traitement et lui a ordonné de mettre en œuvre des politiques et procédures spécifiques visant à garantir une sécurité appropriée du traitement des données à caractère personnel.

Enseignements

Cette décision rappelle que :

• La protection des données de santé, par leur nature sensible, impose la mise en œuvre de mesures de sécurité techniques et organisationnelles particulièrement robustes et adaptées aux risques d'attaques modernes comme les rançongiciels.
• La conformité en matière de sécurité des données ne se limite pas à la seule protection technique des systèmes, mais englobe également la gouvernance (contrats, registre) et la gestion des incidents (communication aux personnes concernées).
• Les contrats de sous-traitance doivent impérativement inclure l'ensemble des clauses et garanties exigées par l'article 28 du RGPD, une simple relation contractuelle étant insuffisante pour démontrer la conformité.
• Le registre des activités de traitement doit être complet, précis et à jour au moment d'un incident de sécurité pour permettre une analyse d'impact et une gestion de crise efficaces.
• La communication d'une violation de données aux personnes concernées doit être complète et transparente, en fournissant l'ensemble des informations listées à l'article 34 du RGPD pour leur permettre de comprendre les risques et de prendre les mesures de protection nécessaires.