Dossiers médicaux L’accès n’est pas assez contrôlé, selon la VG

(Québec) L’accès au dossier médical des patients n’est pas suffisamment « contrôlé » par les établissements de santé, conclut la vérificatrice générale. Le cas de Véronique Cloutier, qui avait vu son dossier consulté à plusieurs reprises, avait fait grand bruit au printemps.

La Presse révélait en mai dernier que le dossier médical de la vedette de la télévision québécoise avait été consulté par du personnel à plusieurs reprises sans motifs valables. M^me Cloutier n’avait pas mis les pieds à l’hôpital Pierre-Boucher de Longueuil depuis 2012, et pourtant, l’établissement de santé dénombrait plus d’une quinzaine d’accès inexpliqués à son dossier.

Le lendemain de la publication de l’enquête de La Presse, le ministre Christian Dubé ordonnait à ses PDG de mener une vérification pour connaître « l’ampleur » du problème.

« Plusieurs cas de fuites et de vols de données, ou d’accès non autorisé à des renseignements personnels détenus par des ministères et des organismes publics ont été rapportés par les médias dans les dernières années », explique Guylaine Leclerc dans son rapport publié jeudi.

Les travaux ont porté principalement sur la période allant de janvier 2021 à mars 2023, mais « certains constats peuvent avoir trait à des situations antérieures ou postérieures à cette période ». Le ministère de la Santé et des Services sociaux (MSSS) ainsi que deux établissements de santé ont été audités, le CISSS de la Montérégie-Ouest et celui des Laurentides.

Après enquête, la VG constate que les contrôles de prévention et de détection d’accès non autorisés ne suffisent pas à s’assurer que seules les personnes autorisées à le faire accèdent aux renseignements personnels numériques des usagers.

Au surplus, les configurations minimales qui servent à l’authentification des utilisateurs « sont insuffisantes, notamment celles qui ont trait à des mots de passe », note-t-elle.

La VG fait valoir au passage que le ministre Christian Dubé déploie son Plan santé qui « repose » notamment sur l’amélioration de l’accès aux données et aux renseignements entre les intervenants du réseau. « [Cela] est nécessaire, mais suscite tout de même des préoccupations importantes quant à la protection des renseignements personnels des usagers », souligne M^me Leclerc.

Québec a d’ailleurs adopté une nouvelle loi en mars dernier sur les renseignements de santé et de services sociaux pour rendre plus fluide la circulation des données. Cette loi ne concerne pas les enjeux soulevés par la VG dans son rapport.

Manque de rigueur des établissements

Dans son rapport, M^me Leclerc déplore que le MSSS et les établissements de santé « manquent de rigueur » dans la gestion des risques et des incidents en lien avec la confidentialité des renseignements personnels numérique. Par ailleurs, la sensibilisation et la formation du personnel soignant ainsi que l’encadrement sont « insuffisants », ce qui « accroît les risques reliés à la protection » des données.

Elle ajoute que les incidents de confidentialité « ne sont pas adéquatement traités ou documentés » et que des mesures de cybersécurité sont à améliorer.

Il existe près de 10 000 systèmes d’information dans le réseau de la santé et des services sociaux.

Le MSSS et les deux établissements audités ont adhéré à toutes les recommandations de la VG. Elle a notamment recommandé au MSSS de « revoir les directives émises à l’intention de son organisation ainsi que des établissements et dont le respect contribue à la protection des renseignements personnels numériques, et améliorer la surveillance de leur mise en œuvre ».