Frank Robben et le bâton de pèlerin

Frank Robben et Jos Vranken, le patron de HealthConnect, se connaissent très bien. La filiale de Corilus, comme elle l’affiche sur son site, est un des partenaires historiques de la plateforme eHealth pour laquelle il a développé une série de solutions informatiques. « Jos Vranken fait partie de personnes de référence sur lesquelles Robben s’appuie », nous glisse un proche. « En 2019, alors qu’Helena venait de sortir sur le marché, Jos Vranken a entrepris des démarches auprès de Frank Robben, argumentant que CareConnect pouvait faciliter les échanges de documents entre le médecin et son patient », raconte ce proche du dossier. « Puis ils ont voulu utiliser Helena comme outil d’identification pour que le patient puisse accéder à ses données. » En le résumant, le processus est alors celui-ci : le médecin ouvre (ou crée) le dossier du patient. Il a donc son numéro de registre de national. Il y ajoute son numéro de téléphone et une adresse mail. Il lui envoie « un code d’accès Helena » par mail, valable 48 heures. Muni de ce code, et après une ultime vérification par SMS, il entre dans Helena et accède à son dossier. Ni eID, ni Itsme pour authentifier que le patient dispose bien d’un droit accès légitime à son dossier. C’est d’ailleurs l’un des arguments de la solution défendue par Frank Robben : tout le monde ne sait pas utiliser Itsme ou l’eID. L’idée étant, ici, que ce soit le médecin qui joue le rôle d’identification d’un agent de l’Etat. A supposer, bien sûr, que le patient soit en face de lui… Or, un simple coup de fil suffit pour obtenir un code Helena… Le CSI au cœur de la plainte Pour qu’Helena puisse décrocher son sésame de moyen d’accès aux données de santé, il fallait une base légale. En passant par la case Parlement ? Non, Frank Robben passera par le Comité de sécurité de l’information (CSI). Pour rappel, cet organe, considéré par de nombreux juristes comme un ovni institutionnel, a été créé en 2018 (contre l’avis de la Commission européenne, de l’APD et du Conseil d’Etat) et autorise les réutilisations de données, sans passer par le Parlement. Une enquête du Soir a montré que seuls cinq de ses seize membres, toujours pas nommés officiellement par le Parlement, étaient convoqués à ses réunions. Ses décisions sont « préparées » par le secrétariat de eHealth et de la BCSS. Dont Robben est l’administrateur général. Le CSI a rendu deux délibérations offrant une belle rampe de lancement à Helena. La première (la 19/152) du 3 septembre 2019 autorise la plateforme eHealth, à utiliser des moyens d’identification électronique offerts par des organisations privées, dès lors qu’ils sont homologués par le FAS. Une décision sur mesure pour Corilus puisque, à l’époque, elle est la seule firme privée à proposer un système alternatif à Itsme et l’eID. La seconde (la 19/210) du 5 novembre 2019 adoube expressément Helena comme moyen d’authentification. Ce sont précisément ces décisions du CSI qui sont au cœur de la plainte portée devant l’APD par Medispring, qui estime qu’elles « mettent en danger les données des patients ». Entre-temps, Frank Robben aura donc dû aussi convaincre le FAS, soit le SPF Bosa, d’homologuer Helena. Il nous revient de plusieurs sources internes que les débats furent virils. « Ça a dépassé toutes les bornes de sécurité que l’on avait mises en place. Et c’est le pouvoir de Frank Robben qui a tout fait », nous confie l’une d’elles. « Bosa a tordu le cou à la réglementation européenne, notamment en supprimant certains critères liés à l’authentification. Vous venez de taper dans une énorme fourmilière. Quand on a certifié cet accès, on savait que l’on ouvrait une boîte de Pandore. Ils ont agi sur pression. » Le malaise au sein du SPF est palpable. A noter que Bosa n’a officiellement pas donné suite à nos questions, se contentant de dire qu’Helena a été homologué en août 2020. Et ce « uniquement pour les secteurs de la santé et du social ». Du social aussi ? Oui, de la sécurité sociale aussi. Pourtant, la décision du CSI ne porte que sur le périmètre d’eHealth. Sauf que le patron de eHealth (Frank Robben) n’aura pas eu trop de difficultés à convaincre celui de la Banque Carrefour de la sécurité sociale (Robben Frank) d’accepter Helena, et son niveau de sécurité inférieur, pour accéder aux données du portail MyPension. « Avec les francophones, c’est toujours compliqué » Avant cela, il avait d’ailleurs mis le Comité de gestion de eHealth dans sa poche. Dans une note confidentielle de 5 pages adressée à ses membres, le 4 septembre 2019 (soit au lendemain à peine de la décision du CSI), et que Le Soir a pu consulter, Frank Robben « prie » ses membres « d’approuver » Helena comme moyen d’authentification. Il ne réussira pas, en revanche, à convaincre ses confrères des Finances. « Tax-on-Web et MyMinFin ne veulent pas en entendre parler… », nous dit notre source. Au passage, il persuade le SPF Santé d’adopter la solution de Corilus pour le portail MaSanté.be. En Flandre, après une timide résistance, Cozo, l’UZGent, l’UZLeuven… emboîtent le pas. En revanche, l’affaire se corse à Bruxelles et en Wallonie, renforçant l’idée bien ancrée dans la tête du patron de la BCSS qu’« avec les francophones, c’est toujours compliqué ». Mais l’opposition est farouche tant au sein des Réseaux Santé wallon et bruxellois que dans leur cabinet de tutelle (Alain Maron, Christie Morreale). En gros : pas question pour eux d’abaisser le niveau de sécurité de leur plateforme à celui imposé par une firme privée. Pas question, non plus, de demander au médecin de jouer l’agent d’authentification à la place de l’Etat. Déterminé, Frank Robben s’invite alors à un intercabinets Santé le 5 octobre. PowerPoint sous le bras, il entend bien convaincre les francophones que le niveau 350 offre toutes les garanties d’un niveau 400. Raté. Rebelote, du coup, le 22 octobre. Avec, cette fois, une proposition pour le moins surprenante. On résume : puisque vous refusez d’accepter un moyen d’authentification à 350, élevons celui d’Helena à 400. Mais… sans rien changer à son mode d’authentification ! L’idée ne passera pas la rampe. Méfiants, les partenaires autour de la table exigeront finalement la désignation d’un expert indépendant pour les aider à trancher. Robben berné ? Cette « obstination à favoriser le produit d’une firme privée » reste un mystère pour nos sources. Nous avons posé la question à Frank Robben. Il n’y répond pas directement, mais, par mail, nous rappelle toutes les raisons qui l’ont conduit à faire confiance à Helena. Notamment, le fait qu’Itsme (consortium entre quatre banques et les télécoms) est aussi une organisation privée. Rappelons toutefois qu’il ne s’agit pas d’une entreprise active dans le secteur de la santé, « concurrente », donc. Ensuite, Frank Robben rappelle qu’Helena répond au règlement européen (le eIDAS) « qui détermine des critères auxquels des moyens d’authentification doivent répondre pour être suffisamment sécurisés ». Sauf que la décision du CSI exige seulement que l’application Helena respecte un « niveau substantiel » de sécurité. « Par un tour de passe-passe juridique », nous dit-on à bonnes sources, « des articles clés du eIDAS, comme la vérification formelle de l’identité lors de la création du compte Helena, ont été ignorés ». La question peut donc se poser. Frank Robben, visiblement convaincu par les garanties de sécurité d’Helena, aurait-il été berné par Corilus et Jos Vranken ? Ce qui, pour certains, apparaissait comme « un abus de pouvoir » ne serait-il pas en réalité qu’un abus de confiance. Il nous revient, en off, qu’à la suite de nos questions liées au dépôt de la plainte, Frank Robben aurait bien dû se résoudre à acter les failles. La décision débrancher la prise d’Helena, et de le sortir du FAS, a été prise dare-dare, ce mardi. Juste avant la sortie de cet article.

Votre compte

Frank Robben et le bâton de pèlerin

Découvrez la suite, 1€ pour 1 mois (sans engagement)

Avec cette offre, profitez de :

Le fil info

0 Commentaire

Aussi en Belgique

La Belgian Pride est de retour à Bruxelles après deux ans d’absence (photos)

Malades professionnels: trois nouvelles pathologies reconnues en Belgique

Comité de concertation: ce qui change pour les voyageurs à partir de ce lundi

Météo: voici les prévisions de ce week-end

Entretien Sammy Mahdi: «Si j’étais wallon, je serais plus volontariste au lieu de regarder la tirelire fédérale»

Allez au-delà de l'actualité

À la Une

La Belgian Pride est de retour à Bruxelles après deux ans d’absence (photos)

Les crimes de guerre en Ukraine «ne resteront pas impunis», affirme Didier Reynders

Risques, contagion, traitement… six questions pour comprendre la variole du singe

Allemagne: une tempête fait un mort et près de 60 blessés (photos et vidéo)

Entretien Sammy Mahdi: «Si j’étais wallon, je serais plus volontariste au lieu de regarder la tirelire fédérale»

L’institut Vias se positionne sur la proposition d’amendes «exponentielles» du ministre Gilkinet

« Nos collaborateurs sont des empereurs, les clients sont rois »

6 Belges sur 10 sont de plus en plus sensibles à la politique climatique de leur emploi

« Nous donnons de la valeur aux idées et encourageons à les transformer en projets concrets »

Les sections du site

Les services

Groupe Rossel