Un établissement de santé a ceci de particulier que tout ce qui y circule peut devenir une donnée de santé, y compris ce qui paraît anodin : une conversation entre une infirmière et un médecin, le message d’un patient sur une messagerie vocale, la question posée à un robot d’accueil. La téléphonie IP y réunit des téléphones filaires, des combinés sans fil, des terminaux d’appel malade, parfois des robots, et tout cela partage un même réseau. Voici ce que disent, chiffres à l’appui, les textes de référence sur chacune de ces briques.
Pourquoi une conversation peut être une donnée de santé
La CNIL rappelle la définition du règlement européen : les données de santé sont les données « relatives à la santé physique ou mentale, passée, présente ou future, d’une personne physique (y compris la prestation de services de soins de santé) qui révèlent des informations sur l’état de santé de cette personne » (CNIL, « Qu’est-ce qu’une donnée de santé ? »). Le critère n’est donc pas le support mais ce que l’information révèle.
Conséquence pratique, qui est une lecture et non une citation : un enregistrement d’appel où une patiente décrit ses symptômes à un standard, ou un journal d’appels reliant un numéro à un service hospitalier, entre dans ce périmètre. Le réseau téléphonique n’est plus un simple moyen de transport, c’est un système qui manipule des données sensibles, et il se protège comme tel.
Le DECT : un standard robuste, mais une radio à protéger
Les combinés sans fil des soignants reposent presque tous sur le DECT. Les caractéristiques de base figurent dans la norme ETSI EN 300 175-1 (texte de la version 2.7.1) : bande de 1 880 à 1 980 MHz (et de 2 010 à 2 025 MHz), typiquement dix porteuses espacées de 1,728 MHz, puissance crête maximale de 250 mW, accès multiple temporel avec une trame de 10 ms découpée en 24 intervalles de temps, et un débit brut de 1 152 kbit/s en modulation de base.
Ces valeurs expliquent la fiabilité du DECT en milieu hospitalier. Un combiné n’émet que dans un intervalle sur 24 : sa puissance moyenne tombe à l’ordre de 10 mW (250 mW divisés par 24, un calcul de ma part et non une valeur de la norme), très en dessous de la crête. Chaque communication occupe un créneau réservé, ce qui garantit une latence stable, ce que le Wi-Fi saturé d’un couloir de service ne garantit pas toujours.
Reste que la radio est une surface d’attaque. Dans sa note sur la sécurisation de la téléphonie sur IP, l’ANSSI écrit à la recommandation R48 que « l’usage de téléphones IP basés sur des technologies sans fil est déconseillé (DECT, Wifi, WiMax) » (note technique du 23 décembre 2013). Il faut lire ce document pour ce qu’il est : il a plus de douze ans et les équipements ont évolué depuis. Mais la logique demeure. Quand le sans-fil est indispensable, comme dans un service de soins où personne ne reste à son poste, on le compense par un cloisonnement et une authentification stricts de ce qui se trouve derrière les stations de base.
Les mesures que l’ANSSI place avant tout le reste
Le même document donne un ordre de priorités utile à un directeur des systèmes d’information. D’abord, séparer : les équipements de téléphonie, du serveur d’appels jusqu’aux postes, doivent se trouver « a minima dans des réseaux logiques (VLAN) distincts » de ceux des données, et l’administration doit passer par une interface dédiée. Ensuite, contrôler qui se branche : la recommandation R27 demande d’authentifier l’accès au réseau par 802.1x avec EAP-TLS, car la sécurisation du niveau 2 « n’est pas suffisante pour s’assurer que seuls les postes téléphoniques légitimes se connectent ».
Enfin, protéger les deux types de flux. L’ANSSI distingue les flux média, qui transportent la voix et que le protocole SRTP chiffre (RFC 3711), et les flux de signalisation, qui pilotent les appels. Chiffrer l’un sans l’autre laisse fuiter des informations : qui appelle quel service, à quelle heure, pendant combien de temps.
La recommandation R45 vise un point souvent oublié : désactiver par défaut les fonctions à risque (écoute discrète, accès DISA) et n’activer, par rôles, que les services strictement nécessaires à chacun. La conférence avec enregistrement figure parmi les fonctions qui demandent une attention particulière à l’activation.
Robots d’accueil et objets connectés : des terminaux comme les autres
Un robot d’accueil qui oriente les visiteurs ou prévient un agent ne change pas la physique du réseau : c’est un terminal de plus, avec un micro, parfois une caméra, et une liaison vers un serveur. Il doit donc suivre les règles précédentes, sur un segment qui lui est propre, avec des flux filtrés vers les seuls services dont il a besoin. Ce qu’il capte (voix d’un patient, d’un visiteur, d’un accompagnant) relève du même régime que le reste : ne rien conserver sans finalité, ne rien envoyer vers l’extérieur sans l’avoir décidé.
Ce raisonnement vaut pour tout équipement qui parle au réseau de téléphonie : bornes d’appel, terminaux d’appel malade, bornes de visioconférence. Pour dresser l’inventaire de ces équipements et vérifier qu’aucun ne dérive hors de son segment, le sujet rejoint celui de la supervision, traité dans notre article sur la supervision des machines qui ne sont pas des serveurs. Et la présence croissante de robots dans les blocs et les services est documentée dans l’évolution des robots humanoïdes dans les salles d’opération.
Enregistrer les appels : ce que la CNIL autorise, et ce qu’elle interdit
L’enregistrement est le point où la téléphonie rencontre le plus directement le droit. La fiche de la CNIL sur l’écoute et l’enregistrement des appels sur le lieu de travail fixe plusieurs règles. L’employeur ne peut pas mettre en place un dispositif d’écoute ou d’enregistrement permanent ou systématique, sauf texte légal, par exemple pour les services d’urgence. Il doit fournir aux salariés des lignes non reliées au système d’enregistrement, ou un moyen de le couper, pour les appels personnels. L’accès aux enregistrements est limité aux seules personnes concernées par la finalité, avec des habilitations et une traçabilité des consultations.
Côté durée, sauf texte imposant une durée spécifique ou justification particulière, les enregistrements peuvent être conservés jusqu’à six mois au maximum, et les documents d’analyse jusqu’à un an. À signaler : cette fiche date de 2009 et la CNIL elle-même l’indique comme « obsolète et en cours de mise à jour ». Ses principes restent une bonne base de travail, mais un établissement doit les confronter à son propre délégué à la protection des données, d’autant que les appels d’un service d’urgence ou d’un centre de régulation obéissent à des textes spécifiques.
Récapitulatif : sept points à vérifier dans son établissement
- Cartographier tous les terminaux qui parlent au réseau de téléphonie : postes, combinés DECT, robots, bornes, terminaux d’appel malade.
- Cloisonner : VLAN distincts des données, administration sur une interface dédiée.
- Authentifier l’accès au réseau en 802.1x, de préférence avec EAP-TLS.
- Chiffrer média et signalisation, pas seulement l’un des deux.
- Désactiver par défaut écoute discrète, DISA et autres fonctions à risque ; activer par rôles.
- Encadrer l’enregistrement : finalité, lignes sans enregistrement, accès tracé, durée limitée.
- Mesurer en continu : volumes d’appels, sollicitations, anomalies par service.
Ce dernier point est celui qu’on néglige le plus : on sécurise à l’installation puis on ne regarde plus. Or le trafic téléphonique est un indicateur précieux, aussi bien de l’organisation des soins que d’un équipement qui se met à appeler la nuit. Les établissements qui veulent exploiter ces données sans les exposer trouveront, dans les outils pensés pour l’hôtellerie et les établissements d’accueil, une approche de la facturation et de l’analyse des appels transposable à leurs services, à condition d’en cadrer l’accès comme décrit plus haut.