Un sénateur américain met la pression sur les éditeurs de logiciels de dossiers médicaux électroniques (DME) afin de renforcer le contrôle des patients sur leurs données de santé, face à la multiplication des cyberattaques visant le secteur. Ron Wyden, sénateur de l’Oregon, demande à dix entreprises de s’inspirer d’une fonctionnalité développée par Epic, leader du marché, qui permet aux patients de suivre et de limiter l’accès à leurs informations médicales.
Dans une lettre adressée à des sociétés comme Athenahealth, Oracle Health et Meditech, le sénateur Wyden souligne que l’interopérabilité des DME, bien qu’essentielle pour une prise en charge coordonnée des patients, doit impérativement s’accompagner de mesures de protection robustes de la vie privée. Il rappelle que les données de santé sont particulièrement sensibles et constituent une cible privilégiée pour les cybercriminels.
L’attaque de Change Healthcare, un processeur de paiements appartenant à UnitedHealth, en 2024, en est un exemple frappant. Cette violation de données a exposé les informations personnelles de près de 193 millions de personnes, constituant la plus importante faille de sécurité jamais enregistrée dans le secteur de la santé aux États-Unis. D’autres incidents récents, touchant Yale New Haven Health et l’entreprise de dialyse DaVita, ont également compromis les données de millions de patients.
« Actuellement, les données sensibles sur la santé de la grande majorité des Américains sont accessibles aux prestataires de soins de santé à travers le pays, qu’ils traitent réellement le patient ou non, et même si le patient n’a jamais mis les pieds dans leur État », a écrit le sénateur Wyden. « Un accès aussi large expose les patients à un risque accru d’accès non autorisé, de vol et de fuite de leurs informations médicales. » Il ajoute que cette situation pourrait même compromettre la sécurité nationale en facilitant l’accès aux données de santé du personnel militaire et des services de renseignement.
La fonctionnalité développée par Epic permet aux utilisateurs de savoir quelles organisations ont accès à leur dossier médical, de confirmer leurs préférences lors de soins sensibles et de refuser le partage de leurs informations. Le sénateur Wyden a demandé aux fournisseurs de DME si leurs portails patients offraient des options similaires, comme la possibilité de se désinscrire du partage de dossiers ou d’obtenir une liste des organismes ayant consulté leurs données.
Les entreprises concernées doivent répondre à la lettre avant le 20 janvier. Netsmart, l’un des fournisseurs interpellés, a indiqué qu’elle répondrait directement au sénateur Wyden et qu’elle restait « engagée dans les discussions de l’industrie concernant l’accès des patients, le consentement et la gouvernance des données ». Meditech a également affirmé partager « l’engagement du sénateur Wyden envers la vie privée et l’autonomisation des patients ». AThénaSanté a confirmé avoir reçu la lettre et s’est dite favorable à une évolution des cadres d’interopérabilité qui garantisse à la fois la fluidité des données et la protection des droits des patients.
« Nous partageons le point de vue du sénateur Wyden selon lequel les cadres d’interopérabilité peuvent être développés de manière à garantir une circulation plus libre des données de santé tout en protégeant les droits des patients et la sécurité des données », a déclaré Joe Ganley, vice-président des affaires gouvernementales et réglementaires chez AThénaSanté, dans un communiqué.