Le secteur de la santé français est confronté à une menace croissante en matière de sécurité des données : les courriels non chiffrés. Un nouveau rapport révèle que les violations de la loi HIPAA liées aux courriels sont en augmentation, et que les pratiques actuelles de sécurité pourraient ne pas suffire à protéger les informations sensibles des patients.
Selon une étude récente du spécialiste de la sécurité des messageries Paubox, 107 incidents de violation de la loi HIPAA impliquant des courriels ont été signalés au ministère américain de la Santé et des Services sociaux (HHS) au cours du premier semestre 2025 seulement. Cette tendance place le secteur sur la voie de dépasser les chiffres records enregistrés en 2024.
Le problème principal ne réside pas dans un manque d’outils de sécurité, mais dans une faille de conception des plateformes de messagerie les plus utilisées. Des solutions comme Microsoft 365 et Google Workspace privilégient la livraison des messages à la sécurité, et peuvent supprimer le chiffrement sans en informer l’expéditeur. Lorsque le serveur du destinataire ne prend pas en charge les protocoles de sécurité modernes (TLS 1.2 ou supérieur), ces plateformes ont tendance à opter pour un « repli silencieux », transmettant le courriel en texte clair plutôt que de le renvoyer.
« Si vous gérez des informations de santé protégées (PHI) sans chiffrement ni accord de partenariat commercial (BAA) en place, vous créez une responsabilité », souligne Hoala Greevy, PDG de Paubox.
Cette situation est d’autant plus préoccupante que l’Office des droits civils (OCR) américain envisage de renforcer les règles de sécurité HIPAA en 2025. Le chiffrement des PHI, actuellement considéré comme une mesure « adressable » (donnant une certaine flexibilité aux organisations), deviendrait une exigence « obligatoire ». De plus, la conformité ne se limitera plus à la mise en place de politiques, mais exigera la présentation de journaux d’audit prouvant que le chiffrement a été appliqué à chaque courriel contenant des PHI.
Par ailleurs, l’utilisation des portails sécurisés, souvent mis en avant comme solution de sécurité, se heurte à des problèmes d’ergonomie. Une étude citée dans le rapport de Paubox, issue de la National Library of Medicine, révèle que 65 % des utilisateurs abandonnent l’utilisation de ces portails après un seul jour, en raison des difficultés rencontrées pour se connecter et naviguer dans le système. 22 % des utilisateurs citent des difficultés à utiliser les fonctions de base.
Le rapport conclut que s’appuyer sur le comportement humain – par exemple, demander au personnel d’ajouter manuellement le mot « Sécurisé » à l’objet d’un courriel – est une source d’erreur inévitable. 82 % des responsables informatiques du secteur de la santé craignent que leur personnel ne manque une étape de sécurité cruciale. Une clinique a d’ailleurs été condamnée à une amende de 25 000 $ (environ 23 000 €) pour avoir envoyé des PHI à un destinataire incorrect via un courriel non chiffré.
Le secteur s’oriente donc vers une approche de « chiffrement par défaut », où la sécurité est appliquée automatiquement au niveau de la passerelle, éliminant ainsi la nécessité d’une intervention manuelle et garantissant que chaque message est protégé.
Sur le même sujet
