Fichier d'indemnités journalières : données de santé, tableur et incident de sécurité
L'agence d'une caisse de sécurité sociale traite les dossiers d'indemnités journalières dans un fichier tableur partagé de 4 200 lignes. Chaque ligne contient le nom, le prénom, le numéro d'identification nationale, l'adresse, le code de pathologie, le salaire soumis à cotisation et la durée d'arrêt. Pour accélérer le traitement, un agent a envoyé le fichier à un centre d'appels privé depuis sa messagerie personnelle, puis en a transmis une copie à un prestataire de saisie sans établir de contrat. Tous les agents utilisent le même identifiant « cnas_user » et le mot de passe « 123456 », noté sur un papier collé sous le clavier. La clé USB contenant la copie destinée au prestataire a été perdue. Dans le tableur, la colonne « taux d'incapacité » est saisie tantôt en pourcentage (50), tantôt en décimal (0,5), et la formule multiplie directement cette cellule par le salaire, sans contrôle : environ 3 % des lignes présentent ce format hétérogène. Le chef d'agence demande un état des lieux avant la prochaine campagne de contrôle.
1. Identifiez les manquements en matière de protection des données et indiquez les mesures à prendre avant tout transfert au prestataire.
Read the worked answer
Qualification des données. Le fichier combine des données identifiantes, des données de rémunération et des données de santé (code de pathologie). Les données de santé sont des données sensibles : leur traitement est soumis à des obligations renforcées, notamment une finalité déterminée et légitime, une base légale ou une autorisation de l'autorité nationale de protection des données, la minimisation, une durée de conservation définie et des mesures de sécurité appropriées.
Manquements constatés. Envoi de données hors du périmètre de l'organisme par une messagerie personnelle ; communication à un centre d'appels et à un prestataire de saisie sans contrat ni clause de confidentialité, alors qu'il s'agit d'un sous-traitant ; identifiant unique partagé et mot de passe faible affiché, donc absence d'authentification individuelle et de traçabilité ; copie sur support amovible non chiffré, dont la perte est déjà survenue ; finalité détournée, le prestataire ne devant traiter que ce qui est nécessaire.
Mesures avant tout transfert. Désigner nominativement les agents habilités ; formaliser un contrat de sous-traitance précisant la finalité, les mesures de sécurité, l'interdiction de réutilisation, la durée et la destruction en fin de contrat ; vérifier l'existence de la base légale ou de l'autorisation exigée pour les données de santé ; pseudonymiser en dissociant les identités des pathologies et en attribuant un code d'anonymat ; chiffrer les échanges et les supports ; préférer un accès distant sécurisé et journalisé à une copie de fichier ; informer les personnes concernées ; tenir un registre des traitements et un registre des incidents.
2. Analysez l'erreur de calcul du tableur, chiffrez son impact et proposez les contrôles à mettre en place.
Read the worked answer
Nature de l'erreur. La colonne « taux d'incapacité » mélange deux unités : 50 signifie 50 % et 0,5 signifie 0,5 en notation décimale, c'est-à-dire aussi 50 %. La formule multiplie la cellule par le salaire sans normaliser : une ligne saisie « 0,5 » produit une indemnité cent fois plus faible qu'une ligne saisie « 50 », alors que la situation est identique. Il s'agit d'une erreur de conception (absence de format et de validation), pas d'une faute de saisie isolée.
Impact. 3 % de 4 200 lignes, soit environ 126 dossiers, sont potentiellement mal calculés. Certains assurés risquent un sous-paiement, d'autres un trop-payé exposant l'organisme à un recouvrement. Le risque est à la fois financier, juridique (décisions individuelles inexactes) et réputationnel.
Corrections. Imposer un format unique de pourcentage avec validation des données bornée ; convertir par formule explicite (taux saisi / 100) ; verrouiller les cellules de calcul ; séparer physiquement la table des identités, la table des pathologies et la table des calculs, reliées par un identifiant technique ; ajouter des contrôles de cohérence (indemnité inférieure ou égale au salaire, cohérence durée d'arrêt et période couverte, absence de doublons de numéro d'identification) ; instaurer un journal des modifications et une sauvegarde versionnée ; faire relire un échantillon par un second agent avant diffusion ; documenter la procédure de calcul dans une note écrite et former les utilisateurs.
3. Rédigez la note interne décrivant la conduite à tenir après la perte de la clé USB.
Read the worked answer
NOTE INTERNE - INCIDENT DE SÉCURITÉ DES DONNÉES
Le [date], une clé USB contenant un extrait du fichier des indemnités journalières destiné à un prestataire de saisie a été perdue. Mesures immédiates : information sans délai du chef d'agence et du responsable de la sécurité des systèmes d'information ; recensement précis des données concernées (nombre de lignes, nature des données, présence ou non de données de santé) ; suspension de la transmission au prestataire ; suppression du compte partagé « cnas_user » et changement immédiat des mots de passe avec identifiants individuels.
Actions subséquentes : consignation par écrit des faits, de la chronologie et des pièces ; interruption de l'usage des supports amovibles personnels et mise à disposition de supports chiffrés ; information de l'autorité nationale de protection des données selon la procédure applicable et, si un risque élevé est caractérisé, information des personnes concernées ; conservation des journaux pour l'analyse.
Échéances : retour d'expérience et plan d'action (chiffrement, contrat de sous-traitance, habilitations, journalisation) à présenter sous quinze jours. Toute diffusion d'information hors de ce circuit est proscrite. Le chef d'agence, [signature].