Protection des données personnelles de santé

Question de M. Didier Mandelli (Vendée - Les Républicains) publiée le 09/05/2024

M. Didier Mandelli attire l'attention de M. le ministre délégué auprès de la ministre du travail, de la santé et des solidarités, chargé de la santé et de la prévention sur le piratage de données personnelles dont ont fait l'objet certaines plateformes de tiers payant.
Fin janvier, les opérateurs Viamedis et Almerys, qui assurent la gestion du tiers-payant des complémentaires santé, ont été victimes d'une attaque informatique. Cette fuite de données a touché plus de 33 millions de personnes et concernait l'état civil, la date de naissance et le numéro de sécurité sociale, le nom de l'assureur santé ainsi que les garanties du contrat souscrit. Ces opérateurs ont déposé plainte et ont encouragé leurs adhérents à en faire autant.
Devant l'ampleur de la violation, la commission nationale de l'informatique et des libertés (CNIL) et l'agence nationale de la sécurité des systèmes d'information (ANSSI) ont décidé de mener des investigations afin de déterminer notamment si les mesures de sécurité mises en oeuvre préalablement à l'incident et en réaction à celui-ci étaient appropriées au regard des obligations du règlement général sur la protection des données (RGPD).
En matière d'optique, les professionnels ont alerté sur l'absence d'utilité du transfert de ces données personnelles, dans la mesure où les codes des listes des produits et prestations (LPP) mis en place par la caisse nationale d'assurance maladie (CNAM) permettent l'identification individuelle des dispositifs médicaux, produits et prestations remboursables. Ils proposent la mise en place d'une solution de type blockchain qui permettrait d'éviter aux assurés de voir leurs données personnelles divulguées et regrettent que les négociations en cours depuis 4 ans sur le sujet entre le ministère de la santé, la CNAM, la CNIL, les assureurs et les opticiens, n'aient toujours pas abouti.
Le 14 février 2024, le Gouvernement a précisé, qu'en décembre 2023, un programme avait été lancé conjointement par le ministère de la santé et des solidarités et la direction interministérielle du numérique afin de réaliser un audit de la sécurité de ces comptes (réponse publiée dans le Journal officiel du Sénat du 15/02/2024 - page 930). À ce jour, les résultats de ces travaux n'ont pas été publiés.
Aussi, il souhaiterait connaître les mesures que compte prendre le Gouvernement pour que ce type de violation des données personnelles des assurés ne puisse pas se reproduire, et en particulier s'il envisage de mettre en place une solution de type blockchain.

Publiée dans le JO Sénat du 09/05/2024 - page 2068

En attente de réponse du Ministère auprès de la ministre du travail, de la santé et des solidarités, chargé de la santé et de la prévention