Fruit d'une observation partagée

youtube
banniere-publications

Structure

 

Sécurisation des données : un axe majeur de développement

 

Les systèmes d’information sont en général bâtis sur deux piliers principaux : le traitement et la diffusion de données, d’une part, la sécurisation du dispositif, d’autre part. Ce deuxième aspect est aujourd’hui au premier plan tant la sécurisation des systèmes d’information est la clé de leur pérennité. Au-delà de l’aspect médiatique, et toujours mis en scène, des failles de sécurité des systèmes d’information, la garantie que les données à caractère personnel ne peuvent pas être publiées sans le consentement express et éclairé des individus à qui elles appartiennent est l’enjeu de cette fin de décennie.

Les géants du net, les Gafa (Google, Apple, Facebook, Amazon), auxquels on peut ajouter IBM et Microsoft, font une utilisation massive de ces données à caractère personnel, sans toujours que l’on sache comment les droits de leurs usagers sont respectés.

D’un autre côté, l’Open Data incite au déversement massif sur internet des bases de données publiques, et dans quelques temps privées, sans que cela ne soit, ni réellement organisé, ni foncièrement contrôlé. C’est en quelque sorte en réaction et pour accompagner cette nouvelle vie des données, que l’Union européenne a souhaité passer des « bonnes » pratiques en cours à l’obligation réglementaire. Certes, en France, la Commission nationale informatique et libertés (Cnil) avait déjà balisé ce terrain et plusieurs de ses textes ont servi de base au Règlement général de la protection des données à caractère personnel (RGPD).

Ce règlement remplacera dès le 25 mai 2018 toutes les législations et règlements en vigueur dans les États membres de l’Union ; mais il s’imposera tout autant à toute organisation quelle qu’elle soit, et en quelque lieu qu’elle se trouve pourvu qu’elle traite de données portant sur des citoyens européens.

Et les sous-traitants de ces organisations devront aussi se plier aux contraintes du RGPD et des autres règlements qui en découlent ou qui y sont associés dans les États membres.

Sans entrer dans le détail, mais parce qu’il traite les données issues du système national des données de santé (SNDS), et donc de données à caractère personnel sensibles - données de santé, données sociales -, l’OR2S doit s’assurer de respecter les conditions maximales de sécurisation de son système d’information.

Cela n’est pas sans effet sur la structure de l’observatoire, tant sur l’organisation de l’accès aux données, de la sécurité des locaux et du matériel, que sur l’organisation des métiers présents.

Ainsi, si l’OR2S possédait un correspondant informatique et libertés (Cil) depuis 2009, le RGPD impose la nouvelle nomination d’un délégué à la protection des données (DPD), chose qui est faite depuis début avril 2018. Ce délégué, membre du personnel de l’OR2S mais n’appartenant pas à l’équipe de direction et n’ayant pas à construire les bases de données ou à les analyser, devra se porter garant du bon fonctionnement du système d’information, de sa sécurisation et du respect du RGPD pour tout traitement de données réalisé à l’OR2S, et en amont de ce traitement.

Cela implique aussi qu’au-delà d’une charte informatique établissant les bonnes pratiques dans l’utilisation de l’informatique et de l’internet des membres de l’OR2S, c’est une véritable politique de sécurisation des systèmes d’information qu’il y a lieu de construire, de mettre en place et de suivre.

Cette politique doit donner du sens aux pratiques en s’appuyant sur plusieurs référentiels, sur des expertises quand ce ne sera pas sur des audits de son propre système par un tiers extérieur.

Ce travail est déjà en route à l’OR2S. Un comité de pilotage interne réunissant la direction, le responsable de l’architecture des systèmes d’information et un conseiller extérieur chargé de superviser le développement informatique, se réunit régulièrement depuis début 2018 à ce propos, en lien direct avec la DPD. Il a comme premier objectif de fournir à la direction de la recherche, des études, de l’évaluation et des statistiques (Drees) puis à l’Institut national des données de santé et à la Cnil, un premier document montrant que la sécurisation du traitement des données du SNDS est non seulement prise en compte, mais complètement opérationnelle. Au-delà, il aura en charge l’ensemble de la sécurisation des systèmes d’information, qui devront être régulièrement audités par la déléguée à la protection des données.

Cela suppose de sécuriser l’accès aux données. L’utilisation de clés informatiques spécifiques et individuelles est nécessaire, par token, smartphone ou autre moyen ; une double authentification peut s’avérer obligatoire pour certains utilisateurs lorsqu’ils manipulent par exemple la base du SNDS ; l’import des bases sur les terminaux informatiques, leur copier-coller, leur impression même, sont rigoureusement interdits.

Mais cela implique aussi de sécuriser les bases de données elles-mêmes et de s’assurer de leur sauvegarde permanente. Ainsi, l’OR2S a passé une convention avec le centre régional informatique et d’applications numériques de Normandie (Criann) pour assurer un hébergement hautement sécurisé des bases et applicatifs utilisés. La migration de ses infrastructures dans ce centre de données normand lui permettra de plus de bénéficier du super calculateur mis en place par le Criann afin d’améliorer les performances, pour partie, de ses applications développées en interne.

Le dispositif réglementaire imposé par le RGPD et ses épigones, ne sera évidemment pas effectif dans sa totalité pour le 25 mai 2018. Mais là n’est pas non plus le sens du règlement. Même si la date du 25 mai est connue depuis une année, les textes d’application, les procédures, ne sont parus que progressivement, et d’autres seront publiés encore après cette date. L’idée est plutôt qu’une organisation générale ait été pensée si ce n’est mise en place et que par priorisation propre à chaque organisation, les différents éléments finissent par s’incorporer.

La première de toutes les démarches était la nomination du délégué à la protection des données. C’est sous sa tutelle désormais que la sécurisation des systèmes d’information va s’implanter mais dans une dynamique constante puisque, par définition, ce travail doit se faire en continu, ne jamais s’arrêter et toujours s’interroger sur le risque engendré par tout traitement de données sur la garantie du respect de la vie personnelle et sur le risque résiduel contenu dans le système d’information.

Un autre aspect a trait aussi à la sécurisation des données, la préservation du secret statistique lors de la diffusion des données. Le secret statistique existe depuis longtemps puisqu’il a été créé en 1951 lorsque la statistique publique s’est fortement développée. En 2009, la loi a créé le comité du secret statistique. Tout cela prend évidemment une tournure nouvelle avec l’Open Data, la géolocalisation des données et le RGPD. Le respect du secret statistique implique que des données individuelles collectées par des organismes publics ne puissent être diffusées si elles correspondent à des très petites subdivisions administratives (une commune rurale par exemple), où la donnée n’aurait plus de signification statistique mais désignerait explicitement un ou quelques cas particuliers, et reconnaissables par le voisinage ou par des croisements avec d’autres bases.

Ainsi, par recoupement de données affichées dans des tableaux et des cartes, le risque de pouvoir remonter à la personne correspondant à ces données, non seulement n’est pas nul, mais est avéré. Il convient dès lors de garantir la confidentialité de la vie personnelle et familiale des personnes physiques mais aussi morales.

Aussi y a-t-il lieu de s’interroger en amont de toute diffusion d’informations sur la préservation de la confidentialité des données à caractère personnel. Cela   implique   que   des   techniques   particulières   doivent être appliquées. Par exemple, qu’aucune donnée ne soit publiée pour de petits territoires. Ou que l’on publie des données par agrégation d’années - cinq ou dix ans - et non annuelles, ou par agrégation de territoires - cantons, EPCI - ou les deux ensemble.

D’autres techniques peuvent afficher des données estimées et non recensées, ou « floutées » donnant accès non pas à la valeur de la donnée elle-même, mais à un intervalle dans lequel la donnée serait contenue. Quand ce ne sera pas d’indiquer plus simplement que la donnée n’est pas disponible.

La préservation du secret statistique est indispensable et, plus qu’un élément technique, est une valeur fondamentale que doit intégrer tout système d’information. Si « statistique » dérive somme toute de « État », en ce qu’elle représente l’ensemble des connaissances que doit posséder un homme d’État ainsi que l’a conceptualisé au XVIIIe siècle l’économiste allemand Gottfried Achenwall, à l’origine du mot, la statistique reste une connaissance populationnelle et n’a de sens que par cela. Elle n’est en rien une connaissance individuelle, un profilage de la population comme cela pourrait être dit aujourd’hui.

Mais l’on sent bien que le glissement pourrait se faire   insensiblement d’une connaissance de la population à un échelon territorial large vers une connaissance géolocalisée fine. S’il ne se fait pas déjà ! Très certainement les Gafa et autres affidés y sont-ils pour quelque chose, mais la demande des acteurs de terrain d’avoir des données - et pas seulement des indicateurs - sur leurs territoires d’intervention aussi petits soient-ils, n’y est pas non plus totalement étrangère.

NOUS CONTACTER

Nous contactez

(*)
Entrée non valide

(*)
Entrée non valide