Sur le plan quantitatif, nous pouvons considérer que la pandémie n’a pas révélé d’augmentation des signalements qui lui seraient directement imputables. La croissance du commerce de données personnelles et/ou santé acquises illégalement n’aura pas été aggravé par la pandémie. C’est naturellement une bonne nouvelle.
Analyse qualitative des signalements de défauts de protection des données
Au-delà des atteintes à la protection des données, les données disponibles nous renseignent sur certaines pratiques en usage en matière de cybercriminalité :
- Les tentatives de vol d’identité numérique (« phishing ») sont en baisse
- Les tentatives d’extorsion (« ransomware ») sont en hausse
- Pour 2021, les signalements concernant des évènements de phishing et de ransomware sont fortement en baisse
Nous retenons que la forte baisse des signalements sur l’année 2021 crée une marge d’erreur importante sur les tendances de fond car elle ne permet pas de confirmer les observations sur 2019 et 2020.
Synthèse des observations
Globalement, les informations de signalement mis à disposition permettent de qualifier une situation de perturbation majeure – la pandémie étant un cas d’école grandeur nature - comme suit :
- Sur le plan de la dangerosité (matériovigilance), une augmentation des incidents est observable, mais sans augmentation notable du nombre d’accidents, ce dont nous ne pouvons que nous réjouir
- Sur le plan de la confidentialité (protection des données), les signalements ne permettent pas d’établir un lien de causalité entre une augmentation des occurrences et la situation de pandémie
- Sur le plan de la sécurité (dommages immatériels), la tendance d’une cybercriminalité attirée par des exactions sous forme d’extorsion (« ransomware ») se confirme, les autres formes de cybercriminalité demeurant marginales.
- Sur un plan général, il semble que l’ensemble des signalements constituent une base bien inférieure à la réalité des évènements qui sont produits depuis 2019.
La réponse des autorités de régulation
Concernant l’autorité en charge de la matériovigilance, le principe réglementaire applicable aux USA concernant les dispositifs médicaux prévoyait initialement de nombreuses activités permettant l’homologation des systèmes (« premarket approval »). Il a ensuite été renforcé par une obligation de surveillance après mise sur le marché sous la forme de publications et signalement d’évènements adverses (« postmarket surveillance »).
Consciente de la difficulté de se conformer à l’obligation de surveillance dans des circonstances extraordinaires, l’autorité régulatrice (FDA), a publié un guide dont le titre pourrait être traduit par « Signalement d’évènements adverses dans le cadre de la surveillance obligatoire en situation de pandémie » (Postmarketing Adverse Event Reporting for Medical Products and Dietary Supplements During a Pandemic [3]).
Dans ce document, nous observons la doctrine de l’autorité régulatrice, toujours dans une approche pragmatique et opérationnelle :
- Elle rappelle l’obligation de signalement et invite les acteurs à la maintenir autant que possible (« to the maximum extent possible »)
- Elle caractérise la pandémie comme étant la cause d’un absentéisme important des salariés, et invite les entreprises à adapter leur process de signalement pour tenir compte de l’absentéisme évoqué
- Elle confirme que les recommandations qu’elle formule n’ont pas valeur d’obligation légale et ne sont pas opposables en justice
- Toutefois, elle demande aux acteurs de continuer à tracer les signalements en interne, et permet de ne pas signaler dans les délais normaux aux autorités
- Elle positionne un délai maximum de 6 mois après retour en condition normale pour avoir rattrapé le retard des signalements qui auront été accumulés au sein de chaque entreprise
- Elle définit le retour en condition normale par le retour en condition pré-pandémie du process de signalement propre à chaque entreprise
Concernant l’autorité en charge de la protection des données, nous n’avons pas trouvé d’allègement réglementaire particulier, il est possible qu’une tolérance tacite se soit installée dans l’intérêt général. Ainsi, le délai maximum défini est « dans un délai raisonnable » (« without unreasonable delay ») et « au plus tard 60j après toute suspicion de défaut de protection » (« in no case later than 60 days after discovering the breach ») [4].
L’exemple des USA nous permet de constater que la stratégie de transparence consistant à rendre publiques des données de santé publique reste plus rassurant, globalement, que l’absence de communication factuelle sur ces sujets. En effet, l’absence d’éléments factuels et indiscutables (sur le plan de l’authenticité) coupe court aux spéculations couplées à des intérêts économiques et aux discours alarmistes, voire complotistes, entretenus par certains courants politiques.
Par ailleurs, cela permet également de mieux cerner les préoccupations de l’autorité publique d’une grande nation confrontée aux mêmes problématiques que la nôtre, et de comprendre les ajustements réglementaires qui en découlent. Ainsi, toutes choses étant également comparables par ailleurs, l’ensemble des pays européens pourraient également, en connaissance de cause, s’inspirer de ce qui se fait ailleurs afin d’affiner leurs stratégies nationales pour une meilleure préservation de l’intérêt général. Dont acte.
---------------------------------------
[1] https://www.accessdata.fda.gov/scripts/cdrh/cfdocs/cfmaude/search.cfm
[2] https://ocrportal.hhs.gov/ocr/breach/breach_report.jsf
[3] https://www.fda.gov/media/72498/download
[4] https://www.hhs.gov/hipaa/for-professionals/breach-notification/index.html
