FR2871267A1 - Procede et dispositif pour fournir des informations confidentielles a un utilisateur identifie - Google Patents

Abstract

Il s'agit de fournir sélectivement des informations confidentielles Pour cela on prévoit une borne automate (1) comprenant un terminal d'ordinateur (3), un lecteur (5) de carte à puce (6), des moyens d'entrée de données (7a), et des moyens d'affichage (7,9,11); on stocke dans une base de données (21) d'un serveur (13) relié à la borne automate (1) des premières données personnelles concernant un utilisateur; on édite un code d'accès réservé à cet utilisateur et qui est archivé en mémoire; on stocke dans la base de données des secondes données concernant ce même utilisateur, telles que des résultats d'analyse(s) médicale(s); on réalise ensuite une signature électronique de ces données; ultérieurement, ledit utilisateur introduit sa carte à puce (6) dans la borne automate, qui la lit, et il entre par ailleurs son code d'accès réservé (12); enfin, si le code est correct, l'accès aux secondes données signées est autorisé et celles-ci sont éditées par la borne automate.

Description

L'invention a pour but de fournir sélectivement des informations (ou

données), dont certaines confidentielles, à un utilisateur identifié.

Pour cela, un procédé et un dispositif (ou unité de traitement de données) ont été définis.

Les problèmes consistent dans la définition et dans l'organisation des moyens (individuellement connus) pour fournir les données attendues, de façon de préférence ergonomique, sûre, fiable et à un coût attractif.

La sécurité de saisie, de transmission et d'affichage est particulièrement importante.

On souhaite éviter que des personnes non autorisées aient un accès à des données ne les concernant pas (ou pas directement), telles que des résultats d'analyse propres à une personne, dans l'hypothèse où l'invention serait appliquée dans un laboratoire d'analyse médicale ou, par exemple, des résultats radiologiques dans un cabinet médical équipé pour.

Dans ce contexte, et pour apporter une solution à tout ou partie des problèmes posés et buts à atteindre, le procédé de l'invention conseille d'opérer comme suit: a) on prévoit une borne automate comprenant un terminal d'ordinateur, de préférence en réseau, un lecteur de carte à puce des moyens d'entrée de données, tels qu'un clavier, et des moyens d'affichage comprenant de préférence un écran et au moins une imprimante, b) on stocke dans une base de données d'un serveur relié à la borne automate des premières données personnelles concernant au moins ledit utilisateur, c) on fait éditer, pour cet utilisateur et par la borne automate, de préférence par l'intermédiaire du terminal et des moyens d'affichage, un code d'accès réservé qui est archivé en mémoire, d) ultérieurement, on stocke dans la base de données des secondes données concernant ce même utilisateur, telles que des résultats d'analyse(s) médicale(s), e) de préférence, on réalise ensuite une signature électronique de ces secondes données, f) ultérieurement encore, ledit utilisateur introduit sa carte à puce personnelle dans le lecteur de la borne automate, qui la lit, et il entre par ailleurs dans cette borne, de préférence, par l'intermédiaire du clavier, son code d'accès réservé, g) le code d'accès réservé entré lors de l'étape f) et/ou certaines au moins des données de la carte à puce personnelle de l'utilisateur lues lors de cette même étape est (sont) comparé(es) avec respectivement le code d'accès archivé lors de l'étape c) et lesdits premières données, h) s'il y a concordance, l'accès aux secondes données est autorisé, i) et ces secondes données (signées si cela a été prévu) sont alors éditées par les moyens d'affichage de la borne automate.

De préférence: - l'étape b) de stockage de la première série de données comprend un stockage personnalisé, pour chaque utilisateur, des dites premières données dans une unité mémoire, - on fait ensuite lire la carte à puce personnelle de l'utilisateur concerné par le lecteur de la borne automate, - puis on compare certaines au moins des données d'identification de la carte à puce avec certaines au moins de celles, pour partie communes, constituant ladite première série de données concernant le même utilisateur, - et, s'il y a concordance des données lors de la comparaison, on fait effectivement éditer pour cet utilisateur, lors de l'étape c), le dit code d'accès réservé.

La sécurité d'accès aux données propres à un utilisateur déterminé (typiquement celui qui demande/subit l'analyse dans le cas d'une analyse médicale) est ainsi optimisée.

Dans l'application médicale déjà évoquée, et en France, on prévoit que la carte à puce de l'utilisateur est une carte VITALE (marque déposée) contenant des données d'identification médicales de l'utilisateur concerné.

Pour assurer une valeur effective, authentifiée, aux données (dites secondes données) récupérée par l'utilisateur, on prévoit donc comme indiqué ci-avant, et de préférence, que celles-ci soient signées électroniquement.

Pour cela, on conseille de procéder comme suit: - le signataire autorisé pour signer lesdites secondes données entre dans (la mémoire de) l'unité un code d'identification, - si ce code (personnel) d'identification est validé (c'est-à-dire reconnu comme appartenant au code déjà en mémoire de l'unité de traitement et individuellement attribué à tel ou tel signataire "autorisé"),ledit signataire identifie l'utilisateur dont il prévoit de signer les deuxièmes données, - si cet utilisateur est lui-même reconnu comme appartenant aux utilisateurs déjà identifiés en mémoire et comme ayant, en correspondance dans cette mémoire, des secondes données non encore "signées", alors le signataire réalise cette signature électronique (qui donne donc valeur de résultat officiel à ces données).

Outre un tel procédé de traitement et de fourniture d'informations, l'invention à donc pour objet une "unité de traitement" prévue pour fournir sélectivement des données pour partie au moins confidentielles à un utilisateur identifié.

Pour résoudre le(s) même(s) problème(s) que ci-avant, il est prévu que cette unité de traitement comprenne: - une borne automate comprenant un terminal d'ordinateur, de préférence en réseau, un lecteur de carte à puce, des moyens d'entrée de données tels qu'un écran tactile et/ou un clavier, et des moyens d'affichage comprenant de préférence un écran et des moyens d'édition (imprimante), - et un serveur informatique relié à la borne automate et comprenant une base de données comprenant des premières données personnelles propres à un utilisateur parmi une série d'utilisateurs, y compris un code d'accès réservé éditable par la borne automate, de préférence sur requête de l'utilisateur, consécutivement à la lecture, par la borne, de sa carte à puce personnelle, ainsi que de préférence des algorithmes de signature électronique de secondes données personnelles des utilisateurs identifiés de la série, pour alors signer électroniquement ces secondes données avant leur récupération par cet utilisateur, consécutivement dans ce cas à la communication au serveur de troisièmes données nécessaires à la signature et contenus dans une carte personnelle du signataire, le serveur récupérant alors des fichiers d'impression desdites secondes données provenant de la base de données, pour les éditer, si lesdites premières données (y compris le code d'accès réservé de cet utilisateur) contenues dans la base de données correspondent à certaines au moins de celles entrées par ledit utilisateur dans la borne automate, via de préférence le clavier, à partir de sa carte à puce et dudit code d'accès réservé (qui lui a été préalablement communiqué par la borne automate) lorsque cet utilisateur désire faire éditer par cette borne automate lesdites secondes données électroniquement signées qui le concernent.

Une description encore plus détaillée de l'invention suit, en référence à la figure unique annexée qui présente schématiquement la constitution de l'unité de traitement et permet de mieux comprendre son fonctionnement, dans le cas (présenté uniquement à titre d'exemple non limitatif) d'une utilisation de l'unité de traitement dans un laboratoire d'analyse médicale.

On y voit une borne automate 1 avec un calculateur (terminal d'ordinateur) 3 branché en réseau, un lecteur 5 de données (lecteur de carte magnétique / carte à puce) concernant l'utilisateur (patient qui doit subir l'analyse et qui doit ensuite pouvoir en obtenir les résultats), des moyens d'entrée de données 7 (définis ici par un écran tactile, donc un écran 7 pourvu d'un clavier 7a), une première imprimante 9 (prévue pour afficher/éditer les résultats de l'analyse médicale) et une deuxième imprimante 11 (pouvant en particulier consister dans une imprimante d'étiquettes ou de tickets, chaque étiquette porte un code d'accès personnel destiné à un patient déterminé et lui permettant, grâce à ce code, de pouvoir seul obtenir les résultats de son analyse).

Connecté à la borne automate 1, mais non accessible directement aux personnes extérieures au cabinet d'analyses médicales (patients, accompagnateurs...), on voit en 13 un serveur informatique dans lequel est chargé le système général (ou logiciel) 15 de gestion du laboratoire (SGL).

La borne 1 (et donc le lecteur 5 et l'écran 7 en particulier) est reliée au serveur 13 qui récupère les fichiers d'impression en provenance du système de gestion du laboratoire 15. Ce serveur les remet en forme à l'identique des résultats papiers à un format standard: un format texte type PDF ou format image type BMP.

Les résultats sont donc stockés sous forme numérique permettant ainsi de les signer avec une signature électronique reconnue dans le domaine de la santé la signature par la carte CPS (carte professionnelle de santé) donnée à tous les professionnels de santé (médecins, pharmaciens, kinésithérapeutes, etc) permettant de réaliser des feuilles de soins électroniques en automatisant ainsi le remboursement des patients par les caisses de sécurité sociales. La CPS contient le PKI ( Private key infrastructure , infrastructure de clé privée) de signature propre au professionnel de santé considéré.

Les dossiers ainsi signés peuvent être rendus au patient, avec la même validité que la forme papier portant une signature manuscrite, soit sous forme numérique, via un réseau électronique type Internet, soit sous forme papier (via l'imprimante 9) en tant que copie authentique du document électronique stocké en mémoire dans la borne de résultats.

La confidentialité médicale nécessite une procédure d'identification forte, sûre/fiable.

Pour les résultats récupérés par la borne 1, l'identification se fait grâce à la carte VITALE (marque déposée) du patient. Le processus d'identification se fait en deux étapes en utilisant cette carte VITALE: arrivée au laboratoire: le patient met sa carte médicale à puce personnelle 6 dans la fente du lecteur 5 de la borne qui enregistre les données, lesquelles sont donc lue et enregistrer dans la mémoire 14 du serveur 13 (et/ou dans celle du terminal 3), et génère un code d'accès réservé qui est par exemple imprimé (par l'imprimante 11) sous forme d'étiquette 12. Ce code est stocké en mémoire (par exemple mémoire 14 du serveur 13). Le patient récupère et conserve l'étiquette 12.

- retour au laboratoire après que 1'(les) 35 analyse(s) ai(n)t été pratiquée(s) et les résultats signé(s) électroniquement par le responsable (voir ci- après): le patient met à nouveau sa carte 6 dans le lecteur 5 de la borne et saisi par exemple sur l'écran tactile 7 le code d'accès porté sur l'étiquette 12. Ses résultats (signés donc électroniquement) s'éditent.

Détails: a/ à son arrivée au Laboratoire, le patient introduit sa carte dans le lecteur de carte situé dans la borne, b/ le lecteur lit et enregistre les données de carte (par exemple sous format XML) c/ s'il y a plusieurs "ayant droits" présents sur la carte 6, l'ordinateur 3 relié au lecteur 5 demande au patient à qui sont destinées les analyses à pratiquer.

d/ le patient choisit dans ce cas qui est "l'ayant droit" e/ l'imprimante d'étiquettes 11 de la borne édite l'étiquette 12 ou se trouve donc le code d'accès utile pour récupérer ses résultats, f/ à son retour au laboratoire, le patient introduit donc à nouveau sa carte 6 dans le lecteur de carte qui en lit les données, g/ la borne 1 (écran tactile 7) demande son code au patient, h/ en réponse, le patient tape ce code sur la zone clavier 7a de l'écran et, si le code est correct (et les résultats signés), lesdits résultats s'éditent alors sur l'imprimante 9 de la borne.

La "carte VITALE" (ou toute carte à puce 6) contenant les premières données précitées propre à un patient renferme typiquement les informations relatives à l'assuré social concerné (nom, numéro d'affiliation, centre d'affiliation, taux de remboursement, éventuels ayant droits rattachés, mutuelle, exonération éventuelle Conformément à l'invention, cette carte d'identification 6 est lue et les informations qu'elle renferme sont stockées sur le serveur 13 (dans sa mémoire 14).

Ainsi, le patient qui va subir l'analyse à été identifié dans l'unité de traitement 10 objet de l'invention.

Les prélèvements, analyses etc... sont ensuite effectués et les résultats sont chargés dans le système de gestion SGL 15, donc disponibles dans la mémoire du serveur 13.

Un exemple de système de gestion SGL vendu est le logiciel Netlam de la société Hexaflux .

La signature électronique du responsable du laboratoire est alors mise en oeuvre, la carte CSP (ou toute carte équivalente) qui comprend les algorithmes nécessaires pour la signature électronique, en l'espèce reconnue par les offices de santé/ de certification, est alors utilisée pour permettre cette signature. Typiquement, il s'agit d'une carte à puce dont la puce électronique et sa mémoire associée contiennent les algorithmes et les données nécessaires. Pour la signature, la carte à puce personnelle 6 du signataire est introduite et lue par le lecteur 5 de la carte relié au serveur 13. Les données utiles sont stockées en mémoire et utilisées pour signée les résultats d'analyse (déjà mémorisés).

Une fois cette opération effectuée, les données contenues dans le serveur (dites secondes données propre au patient) deviennent accessibles, car authentifiées.

Le système 15 de gestion du laboratoire assure, comme on l'a compris, l'enregistrement des patients devant ceux, d'une part super... les analyses et, d'autre part, être susceptibles ensuite confidentiellement les résultats sur la Il communique également avec 35 borne 1 tout en assurant en outre les d'en recupérer borne automate 1. (et contrôle) la tâches de gestion du laboratoire (comptabilité, gestion du personnel, des automates -tels la borne 1-, des analyses...).

Le calculateur 3 est un terminal d'ordinateur qui est donc relié au serveur 13 dans la mémoire duquel (base de données 21) sont stockées les informations ou données associées à chaque patient (en particulier celles qu'on a dénommées ci-avant les "premières données" et qui concernent donc les données personnelles du patient qui ont été obtenus via une opératrice du cabinet et/ou une lecture de la carte personnelle du patient- carte VITALE; marque déposée).

Lors de l'impression finale des secondes données liées à l'analyse qu'a subie ce patient, le serveur 13 récupère les flux d'impression. Pour fournir les données personnelles au patient qui le demande sur la borne 1, le serveur, après avoir mis en base de données les premières et secondes séries de données propres à ce patient (parmi d'autres), compare au moins certaines données de la carte à puce 6 avec les données mémorisées prêtes à être éditer à partir du fichier d'impression.

Au niveau de l'organisation du cabinet/laboratoire, un pré-enregistrement peut être effectué par une secrétaire connectée à l'unité de traitement 10, et donc au serveur central 13: à partir de l'ordonnance fournie par le patient, cette secrétaire entre en mémoire les analyses qui ont été prescrites au patient concerné. Elle identifie également ce patient (nom, numéro de sécurité sociale etc...). Une lecture de sa carte à puce personnelle 6 peut être effectuée. Une fiche (dite "fiche suiveuse") peut alors être éditée. Il peut s'agir d'une planche d'étiquette, avec des codes à barres différents pour les différents examens devant être effectués.

Le serveur 13 récupère alors les données d'identification de la personne (patient), de l'analyse à pratiquer, puis des résultats de celle-ci, une fois que, 2871267 10 ceux-ci connus, ces résultats sont entrés dans la mémoire 14 du serveur par un opérateur à partir par exemple du clavier 23. Une autre solution est qu'un automate d'analyses (non représenté) traite l'analyse et fournisse directement (informatiquement) les résultats au serveur 13 pour les stocker dans sa base de données 21.

Pour l'affichage/édition des secondes données (résultats d'analyse en l'espèce) sur la borne terminale 1, le patient se présente donc à nouveau avec sa carte à puce personnelle 6 qui est lue par le lecteur 5. Après comparaison avec les données préalablement enregistrées propres notamment à ce patient, la borne terminale 1, via le serveur 13, délivre ou non une autorisation d'accès. L'autorisation d'accès est délivrée si les données pré- enregistrées et celles contenues sur la carte 6 se correspondent (il peut par exemple s'agir d'une comparaison entre les numéros de sécurité sociale, nom, adresse, ...).

Etant donné que certaines carte d'assuré comporte plusieurs ayants droit (parent(s) + enfant(s) ...), le patient concerné entre également dans la borne automate, via par exemple l'écran tactile 7a, son code d'accès personnel qui lui a été préalablement délivré, comme déjà indiqué (étiquette 12).

Avec cette double vérification (carte à puce 6 et code personnalisé, en 12), on est a priori sûr que les informations relatives à l'analyse médicale (secondes données) ne seront fournies qu'au patient concerné.

Bien entendu, la mémoire 11 du serveur 13 a, pour fournir l'autorisation de communication des secondes données, comparé le code d'accès qui vient d'être entré avec celui qui a été fourni à l'origine.

S'il y a concordance entre les données de la carte 6 et le code, alors les secondes données sont éditer, par exemple sur l'imprimante 9, via la base de données 21 du serveur 13 (qui a déjà associée les données de la carte électronique 6, les résultats de l'analyse et la signature électronique qui a été effectuée entre temps par le responsable du cabinet).

Le code personnel peut donc avoir été imprimé sur une petite étiquette éditée par l'imprimante 11 sur commande du serveur 13. Cette étiquette peut porter un numéro de dossier (utile pour les laboratoires) et un code d'accès à plusieurs chiffres. Cette étiquette est facile à transporter et évite au patient d'avoir à se souvenir de ses données principales et en particulier du code.

Concernant le mode de récupération des données, on peut encore noter ce qui suit. la récupération des donnés venant du système de gestion du laboratoire 15 (donc du serveur 13) passe par les fichiers d'impression. Le serveur 13 est déclaré sur le système de gestion 15 comme une imprimante virtuelle. Le pilote d'impression déclaré sur le système de gestion 15 est typiquement un pilote postscript (PS) ou PCL ( Printer control langage , langage de contrôle de l'imprimante), selon le modèle d'imprimante utilisée.

Les impressions s'éditent dans un fichier au format adapté. Ces fichiers sont ensuite transformés en format PDF ou format BMP, avec un logiciel utilitaire connu effectuant les conversions nécessaires.

Un logiciel utilisable est le logiciel "ghostscript" (marque déposée). Ces documents électroniques, à l'identique des documents papier ayant valeur d'original, peuvent être signés grâce aux algorithmes de signature électronique déjà évoqués contenu dans la carte à puce personnelle 17 du professionnel de santé concerné.

Ces signatures sont validées par le GIP-CPS (Groupement d'intérêt public Carte professionnel de santé), donnant ainsi une valeur légale aux données informatiques, à l'identique donc d'une signature manuscrite d'un compte-rendu médical.

A noter qu'on entend par carte à puce ou carte électronique , tout support contenant des données sous forme électronique lisibles par un lecteur de telles données, tel un lecteur de carte bancaire ou de carte de santé vitale (marque déposée), pour être chargées et donc traitées dans un ordinateur.

L'invention pourrait ainsi s'appliquer par exemple à la récupération sécurisée de photographies, sur une borne dédiée. Dans ce cas, la carte à puce pourrait être une carte personnelle d'identification (voire d'affiliation - membre privilégié - et/ou de paiement) délivrée par le centre de tirage photo et lesdites secondes données (stockées dans la base de données 21 et qui concernent l'utilisateur) être les tirages attendus de ces photographies. Il n'y aurait alors pas nécessairement de signature électronique de ces secondes données.

Claims (1)

13 REVENDICATIONS

1. Procédé pour fournir sélectivement des informations, dont certaines confidentielles, à un utilisateur identifié, ce procédé comprenant des étapes dans lesquelles: a) on prévoit une borne automate (1) comprenant un terminal d'ordinateur (3) de préférence en réseau, un lecteur (5) de carte à puce (6), des moyens d'entrée de données, tels qu'un clavier (7a), et des moyens d'affichage comprenant de préférence un écran (7) et au moins une imprimante (9, 11), b) on stocke dans une base de données (21) d'un serveur (13) relié à la borne automate (1) des premières données personnelles concernant au moins ledit utilisateur, c) on fait éditer, pour cet utilisateur et par la borne automate, de préférence par l'intermédiaire du terminal (3) et des moyens d'affichage {11), un code d'accès réservé qui est archivé en mémoire, d) ultérieurement, on stocke dans la base de données (21) des secondes données concernant ce même utilisateur, telles que des résultats d'analyse(s) médicale(s), e) de préférence, on réalise ensuite une signature électronique de ces secondes données, f) ultérieurement encore, ledit utilisateur introduit sa carte à puce personnelle (6) dans le lecteur de la borne automate, qui la lit, et il entre par ailleurs dans cette borne, de préférence par l'intermédiaire du clavier (7a), son code d'accès réservé (12), g) le code d'accès réservé entré lors de l'étape f) et/ou certaines au moins des données de la carte à puce personnelle (6) de l'utilisateur lues lors de cette même étape est (sont) comparé(es) avec respectivement le code d'accès archivé lors de l'étape c) et lesdits premières données, h) s'il y a concordance, l'accès aux secondes données est autorisé, i) et ces secondes données sont alors éditées par les moyens d'affichage (9) de la borne automate.

2. Procédé selon la revendication 1 caractérisé en ce que: - l'étape b) de stockage de la première série de données comprend un stockage personnalisé, pour chaque utilisateur, desdites premières données dans une unité mémoire (14), - on fait ensuite lire la carte à puce personnelle (6) de l'utilisateur concerné par le lecteur (5) de la borne automate, - puis on compare certaines au moins des données d'identification de la carte à puce avec certaines au moins de celles, pour partie communes, constituant ladite première série de données concernant le même utilisateur, - et, s'il y a concordance des données lors de la comparaison, on fait effectivement éditer pour cet utilisateur, lors de l'étape c), le dit code d'accès réservé (12).

3. Procédé selon la revendication 1 ou la revendication 2, caractérisé en ce que la carte à puce (6) de l'utilisateur est une carte VITALE (marque déposée) contenant des données d'identification médicales de l'utilisateur concerné.

4. Procédé selon l'une quelconque des revendications précédentes caractérisé en ce que pour réaliser la signature électronique des secondes données, un signataire autorisé entre en mémoire (14) un code d'identification, identifie l'utilisateur dont il prévoit de signer les deuxièmes données, puis réalise ladite signature, si l'accès lui a été autorisé.

5. Unité de traitement de données pour fournir sélectivement des informations, dont certaines confidentielles, à un utilisateur identifié, l'unité comprenant: - une borne automate (1) comprenant un terminal (3) d'ordinateur, de préférence en réseau, un lecteur (5) de carte à puce, des moyens d'entrée de données, tels qu'un écran tactile et/ou un clavier (17a) , et des moyens d'affichage comprenant, de préférence, un écran (7) et des moyens d'édition (9, 11), - et un serveur informatique relié à la borne automate (1) et comprenant une base de données (21) comprenant des premières données personnelles propres à un utilisateur parmi une série d'utilisateurs, y compris un code d'accès réservé éditable par la borne automate (1), de préférence sur requête de l'utilisateur, consécutivement à la lecture, par la borne, de sa carte à puce personnelle (6), ainsi que de préférence des algorithmes de signature électronique de secondes données personnelles des utilisateurs identifiés de la série, pour alors signer électroniquement ces secondes données avant leur récupération par cet utilisateur, consécutivement dans ce cas à la communication au serveur {13) de troisièmes données nécessaires à la signature et contenus dans une carte personnelle du signataire, le serveur récupérant alors des fichiers d'impression desdites secondes données provenant de la base de données (21), pour les éditer, si lesdites premières données, y compris le code d'accès réservé de cet utilisateur, contenues dans la base de données correspondent à certaines au moins de celles entrées par ledit utilisateur dans la borne automate, via de préférence le clavier (7a), à partir de sa carte à puce (6) et dudit code d'accès réservé qui lui a été préalablement communiqué par la borne automate, lorsque cet utilisateur désire faire éditer par cette borne automate lesdites secondes données électroniquement signées qui le concernent.