L’obligation d’utiliser des mots de passe d’au moins 12 caractères pour accéder aux données médicales a été soulignée lors d’un congrès tenu ce 12 septembre à l'Université d'Anvers sur les enjeux juridiques liés au dossier patient. Cette règle s’appuie sur des décisions récentes de l’Autorité de protection des données (APD) et sur une note du Comité de sécurité de l’information.
Dans une décision du 17 décembre 2024, la Chambre contentieuse de l’APD a qualifié de « faibles » des mots de passe de 6 à 8 caractères utilisés dans un contexte médical. Elle a rappelé qu’un document sectoriel définit comme « suffisamment long » un mot de passe d’au moins 12 caractères. Cette référence, bien que non inscrite dans la loi, est désormais considérée comme une norme de facto dans les hôpitaux et cabinets.
L’APD insiste également sur la mise en œuvre d’autres mesures de sécurité complémentaires. Elle cite la limitation des tentatives de connexion pour éviter les attaques par force brute, l’authentification à deux facteurs lorsqu’elle est disponible, la gestion fine des droits d’accès en fonction du rôle des professionnels et la traçabilité systématique des accès aux dossiers.
Dans un avis rendu en 2023, l’APD avait déjà recommandé une « politique stricte » pouvant aller au-delà des 12 caractères dans les environnements à haut risque. Le portail de l’APD impose lui-même à ses utilisateurs un mot de passe d’au moins 14 caractères, illustrant la tendance au renforcement des standards de cybersécurité.
Les recommandations nationales suivent la même logique. Safeonweb, la plateforme coordonnée par le Centre pour la cybersécurité Belgique, conseille l’usage de mots de passe d’au moins 12 caractères combinant lettres, chiffres et symboles, et encourage la création de phrases de passe.
En pratique, ce plancher de 12 caractères devrait être appliqué aux comptes cliniques des médecins dans les hôpitaux et cabinets, tandis que des exigences renforcées pourraient concerner les comptes disposant de privilèges étendus ou administratifs.
Lire aussi: Internet : comment vérifier si vos données n’ont pas été piratées ?
