FR 2921737 A1 20090403 FR 0856404 A 20080923 B 08-2344 FR Société dite : GENERAL ELECTRIC COMPANY Système et procédé de détection d'usage abusif de données de patients Invention de : STOCKTON Matthew Sweeney HEVER Lorinc Priorité d'une demande de brevet déposée aux Etats-Unis d'Amérique le 28 septembre 2007 sous le n° 11/863.402 SYSTEME ET PROCEDE DE DETECTION D'USAGE ABUSIF DE DONNEES DE PATIENTS L'invention concerne globalement les systèmes d'information médicaux. En particulier, l'invention porte sur des systèmes d'information médicaux utilisables pour stocker et transmettre des informations de santé protégées. La loi HIPAA (Health Insurance Portability and Accountability Act) définit des normes pour l'échange électronique, la confidentialité et la sécurité d'informations de santé. La loi HIPAA protège toute "information de santé individuellement identifiable" stockée ou transmise par une entité assujettie ou son partenaire, sous n'importe quelle forme ou par n'importe quel support, qu'il s'agisse d'électronique, de papier ou d'oral. Le ministère de la santé et des services sociaux des Etats-Unis a publié: "The Standards for Privacy of Individually Identifiable Health Information" ("Privacy Rule" ou "règle de protection de la vie privée") afin d'établir, pour la première fois, un ensemble de normes nationales pour la protection de certaines informations de santé. Le ministère de la santé et des services sociaux des Etats-Unis a publié la règle de protection de la vie privée pour mettre en oeuvre les exigences de la loi HIPAA. Les normes de la règle de protection de la vie privée concernent l'utilisation et la divulgation d'informations de santé d'individus par des organismes assujettis à la règle de protection de la vie privée, et établissent des normes sur les droits privés des individus à comprendre et contrôler comment leurs informations de santé sont utilisées. La règle de protection de la vie privée protège toute "information de santé individuellement identifiable" stockée ou transmise à son partenaire par une entité assujettie, sous n'importe quelle forme ou par n'importe quel support, qu'il s'agisse d'électronique, de papier ou d'oral. Une "information de santé individuellement identifiable" est une information, incluant des données démographiques, qui concerne: la santé ou l'état physique ou mental passé, présent ou futur de l'individu, la prestation de soins de santé à l'individu, ou le paiement passé, présent ou futur des prestations de soins de santé à l'individu, et qui identifie l'individu ou dont on peut raisonnablement penser qu'elle peut être utilisée pour identifier l'individu. Les informations de santé individuellement identifiables comprennent de nombreux identifiants courants (par exemple nom, adresse, date de naissance, numéro de sécurité sociale). La règle de protection de la vie privée appelle ces informations "informations de santé protégées". Un but principal de la règle de protection de la vie privée est d'assurer que les informations de santé protégées d'un individu sont correctement protégées tout en permettant la circulation des informations de santé nécessaire à la fourniture et la promotion de soins de santé de haute qualité et à la protection de la santé et du bien-être publics. La règle de protection de la vie privée établit un juste milieu qui permet des utilisations importantes d'informations, tout en protégeant la vie privée des personnes qui demandent des soins et services. Etant donnée la diversité du marché des soins de santé, la règle de protection de la vie privée est conçue pour être flexible et intégrante afin de couvrir les diverses utilisations et divulgations qui doivent être visées. Le principal but de la règle de protection de la vie privée est de définir et limiter les circonstances dans lesquelles les informations de santé protégées d'un individu peuvent être utilisées ou divulguées par des entités assujetties. Une entité assujettie ne peut pas utiliser ou divulguer des informations de santé protégées, sauf: (1) comme le permet ou l'exige la règle de protection de la vie privée; ou (2) comme l'autorise par écrit l'individu qui est le sujet des informations (ou le représentant personnel de l'individu). Une entité assujettie doit divulguer des informations de santé protégées dans deux situations seulement: (a) à des individus (ou leurs représentants personnels) spécifiquement lorsqu'ils demandent d'accéder à, ou un compte-rendu des divulgations de, leurs informations de santé protégées; et (b) au ministère de la santé et des services sociaux lorsqu'il entreprend une enquête ou vérification de conformité ou une action coercitive. Il est permis à une entité assujettie, sans obligation, d'utiliser et divulguer des informations de santé protégées, sans autorisation de l'individu, dans les buts ou les situations qui suivent: (1) à l'individu (en dehors d'une demande d'accès ou de compte-rendu de divulgations); (2) thérapie, paiement, et opérations de soins de santé; (3) possibilité d'accord ou d'objection; (4) en conséquence d'une utilisation et d'une divulgation autrement permises; (5) activités d'intérêt et d'utilité publics; et (6) ensemble de données limité dans un but de recherche, de santé publique ou d'opérations de soins de santé. Une entité assujettie doit obtenir l'autorisation écrite de l'individu pour toute utilisation ou divulgation d'informations de santé protégées qui n'est pas pour une thérapie, un paiement ou des opérations de soins de santé, ou autrement permise ou exigée par la règle de protection de la vie privée. Une entité assujettie doit maintenir des garanties administratives, techniques et physiques raisonnables et appropriées pour empêcher toute utilisation ou divulgation intentionnelle ou non d'informations de santé protégées en violation de la règle de protection de la vie privée et pour limiter leur utilisation et leur divulgation accidentelles par suite d'une utilisation ou divulgation autrement permise ou exigée. Dans de grands organismes tels que des hôpitaux, les informations de santé protégées sont stockées dans un système d'information auquel peuvent accéder un grand nombre d'utilisateurs. Cela offre l'avantage de permettre au personnel de santé d'accéder rapidement et facilement aux informations pour un diagnostic et une thérapie. Toutefois, la facilité d'accès aux informations de santé protégées offerte au personnel de santé engagé rend aussi plus difficile le maintien de garanties pour empêcher la divulgation d'informations de santé protégées, car la facilité d'accès offerte par un système d'information facilite aussi l'accès par des personnes mal intentionnées aux informations de santé protégées d'un patient. Malheureusement, même des professionnels de la santé autorisés ont été réputés user abusivement d'informations de santé protégées de patients. Par exemple, un professionnel de la santé autorisé peut accéder au système d'information pour rechercher les informations de santé protégées d'une célébrité ou d'une personnalité par curiosité, pour les divulguer publiquement dans une tentative de l'embarrasser, ou pour les vendre à un tabloïde. Dans ce scénario, une protection par mot de passe est insuffisante pour empêcher un usage abusif d'informations de santé protégées car l'usage abusif serait causé par un utilisateur autorisé à accéder aux informations et qui pourrait aussi, vraisemblablement, fournir le mot de passe nécessaire. Lorsqu'un usage abusif d'informations de santé protégées est rendu public, il devient possible d'enquêter sur l'usage abusif et d'identifier la personne responsable de l'usage abusif des informations de santé protégées. Toutefois, cela n'est possible qu'une fois que les informations de santé protégées ont été rendues publiques. Le préjudice a alors été déjà subi par le patient. Il existe donc un besoin d'une technique proactive pour identifier de possibles usages abusifs d'informations de santé protégées. De plus, il existe un besoin d'une technique pour détecter un possible usage abusif d'informations de santé protégées par une personne autorisée à accéder aux informations. En outre, il existe un besoin d'une technique pour détecter un usage abusif potentiel d'informations de santé protégées avant que l'usage abusif réel ne puisse se produire. Une technique est présentée pour détecter un usage abusif d'informations de santé protégées stockées dans un système d'information médical. Chaque fois qu'un utilisateur accède à des informations de santé protégées, un enregistrement de l'accès est stocké. L'enregistrement de l'accès est configuré pour fournir une base servant à déterminer si l'accès de l'utilisateur aux informations de santé protégées est pour des raisons légitimes ou est un possible usage abusif des informations de santé protégées. L'enregistrement peut contenir le nom du patient, le nom de l'utilisateur accédant aux informations de santé protégées, la localisation de l'utilisateur accédant aux informations de santé protégées, la date et l'heure auxquelles l'utilisateur a accédé aux informations de santé protégées, la nature des informations de santé protégées, les termes de recherche utilisés pour identifier les informations de santé protégées, etc. Un programme d'exploration de données est utilisé pour rechercher les enregistrements d'accès aux informations de santé protégées et identifier de possibles usages abusifs d'informations de santé protégées de patients. Un administrateur peut introduire les règles suivant lesquelles les enregistrements d'accès sont explorés. Lorsqu'un possible usage abusif d'informations de santé protégées d'un patient est identifié en résultat de l'exploration de données, une alerte est envoyée pour avertir une autorité responsable qu'un possible usage abusif d'informations de santé protégées d'un patient est en cours ou s'est produit. Selon la présente invention, il est proposé un procédé mis en oeuvre par ordinateur pour identifier un usage abusif d'informations de santé protégées stockées dans un système d'information, comprenant les étapes consistant à stocker un enregistrement de chaque accès aux informations de santé protégées dans un système d'information utilisable pour stocker une pluralité d'enregistrements de chaque accès aux informations de santé protégées, et identifier un possible usage non autorisé d'informations de santé protégées par tri automatique de la pluralité d'enregistrements de chaque accès en utilisant des règles de tri aptes à identifier un possible usage non autorisé d'informations de santé protégées. L'enregistrement de chaque accès aux informations de santé protégées peut comprendre une référence à l'utilisateur accédant aux informations de santé protégées et une référence au patient correspondant aux informations de santé protégées. Le procédé peut comprendre le fait de bloquer l'accès d'un utilisateur autorisé aux informations de santé protégées lorsqu'un possible usage non autorisé d'informations de santé protégées est identifié, et/ou de communiquer à une autorité lorsqu'un possible usage non autorisé d'informations de santé protégées est identifié, et/ou d'imposer à un utilisateur de vérifier qu'il est un utilisateur autorisé avant de permettre à l'utilisateur d'accéder aux informations de santé protégées. Les règles de tri peuvent être aptes à ordonner au système d'information de trier la pluralité d'enregistrements de chaque accès afin d'identifier chaque accès aux informations de santé protégées d'un patient désigné et/ou chaque accès aux informations de santé protégées d'un patient désigné par un utilisateur désigné. L'enregistrement peut comprendre une référence à la date et à l'heure d'accès aux informations de santé protégées; les règles de tri peuvent alors être aptes à ordonner au système d'information de trier la pluralité d'enregistrements de chaque accès afin d'identifier chaque accès aux informations de santé protégées plus d'un laps de temps défini après les heures de travail normales d'un patient désigné. L'enregistrement peut aussi comprendre une référence aux informations de santé protégées consultées. D'autres caractéristiques, aspects et avantages de la présente invention ressortiront à l'étude de la description détaillée suivante de quelques formes de réalisation préférées, illustrée par les dessins annexés sur lesquels les mêmes références désignent les mêmes composants sur tous les dessins, et dans lesquels : la figure 1 est un schéma d'un système d'information médical selon un exemple de réalisation de la présente technique; la figure 2 est un schéma d'une technique pour empêcher l'usage abusif d'informations de santé protégées, aussi bien par des personnes non autorisées à accéder aux informations que par celles autorisées à accéder aux informations, selon un exemple de réalisation de la présente technique; la figure 3 est un exemple d'un enregistrement d'audit d'accès à des informations de santé protégées, selon un exemple de réalisation de la présente technique; la figure 4 est une liste représentative de règles d'exploration de données de fichiers d'audit pour le système de la figure 1, selon un exemple de réalisation de la présente technique; et la figure 5 est une liste représentative de règles d'alerte de fichiers d'audit pour le système de la figure 1, selon un exemple de réalisation de la présente technique. A propos maintenant de la figure 1, la présente invention va être décrite telle qu'elle pourrait être appliquée conjointement avec un exemple de système de stockage et de protection d'informations de santé protégées, globalement repéré 10. Toutefois, les techniques décrites dans la présente peuvent être utilisées dans un très grand nombre de systèmes d'information différents. Dans la forme de réalisation représentée, le système 10 de stockage et de protection d'informations de santé protégées comprend un système d'information médical, globalement repéré 12. Dans la forme de réalisation représentée, le système d'information médical 12 utilise des serveurs de base de données et d'application pour exploiter le système d'information médical 12 et pour stocker et transmettre des données. Toutefois, d'autres dispositifs peuvent être utilisés. Dans cette forme de réalisation, des informations de santé protégées sont stockées dans une base de données de patients 14 à l'intérieur du système d'information médical 12. Les informations de santé protégées comprennent des données démographiques qui concernent: la santé ou l'état physique ou mental passé, présent ou futur de l'individu, la prestation de soins de santé à l'individu, ou le paiement passé, présent ou futur des prestations de soins de santé à l'individu, et qui identifient l'individu ou dont on peut raisonnablement penser qu'elles peuvent être utilisées pour identifier l'individu et comprennent de nombreux identifiants courants (par exemple nom, adresse, date de naissance, numéro de sécurité sociale). Selon une autre possibilité, les informations de santé protégées peuvent être stockées sur plusieurs plateformes, et non une seule base de données. Le système 10 comprend aussi un réseau globalement repéré 18, qui permet à des utilisateurs 16 de communiquer avec le système d'information médical 12. Le réseau 18 peut être l'Internet, un réseau local (LAN) ou un autre type de réseau. Dans la forme de réalisation représentée, des utilisateurs 16 peuvent accéder à la base de données de patients 14 via le réseau 18. En plus de permettre à un utilisateur d'accéder à des informations de santé protégées dans la base de données de patients 14, le réseau 18 permet aussi à un utilisateur d'introduire des informations de santé protégées dans la base de données de patients 14. Toutefois, la technique peut aussi être utilisée sans réseau, par exemple avec un seul ordinateur. Dans cette forme de réalisation du système 10, l'accès aux données de patient est contrôlé par une application de contrôle d'accès aux données de patient 20. L'application de contrôle d'accès aux données de patient 20 sert de "portier" empêchant des utilisateurs non autorisés d'accéder aux données de patient contenues dans la base de données de patients 14. Par exemple, l'application de contrôle d'accès aux données de patient 20 peut imposer à un utilisateur 16 de fournir un mot de passe nécessaire avant de permettre à l'utilisateur 16 d'accéder aux informations de santé protégées contenues dans la base de données de patients 14. L'application de contrôle d'accès aux données de patient 20 peut aussi être utilisée pour diriger des informations de santé protégées vers la base de données de patients 14 depuis divers types d'équipement médical 22. Par exemple, des images numériques peuvent être envoyées d'un système d'imagerie médicale numérique à la base de données de patients 14, en vue d'un stockage et d'une récupération ultérieure, via l'application de contrôle d'accès aux données de patient 20. Selon une autre possibilité, la technique pourrait être utilisée dans le système d'imagerie médicale numérique. Dans la forme de réalisation représentée, un fichier d'audit est généré chaque fois qu'un utilisateur accède à des informations de santé protégées contenues dans la base de données de patients 14. Le fichier d'audit est un enregistrement d'accès d'un utilisateur aux informations de santé protégées d'un patient. En particulier, le fichier d'audit enregistre des informations qui peuvent permettre au système 10 de déterminer quelles informations de santé protégées ont été consultées, qui y a accédé, et le processus d'accès aux informations. Le fichier d'audit peut inclure des informations telles que le nom et le numéro d'identification du patient, le type d'informations de santé protégées consultées, le nom et le numéro d'identification de l'utilisateur, la date et l'heure de l'accès, l'ordinateur destinataire, et d'éventuelles informations de requête utilisées pour rechercher les informations de santé protégées d'un patient. Les fichiers d'audit sont stockés dans un référentiel de fichiers d'audit 24. Une application de surveillance de fichiers d'audit 26 surveille automatiquement les fichiers d'audit dans le référentiel de fichiers d'audit 24 pour soupçonner un usage abusif d'informations de santé protégées. Dans la forme de réalisation représentée, l'application de surveillance de fichiers d'audit 26 se livre à une exploration de données des fichiers d'audit contenus dans le référentiel de fichiers d'audit 24. De plus, l'application de surveillance de fichiers d'audit 26 est connectée au réseau 18 pour lui permettre d'accéder à des informations supplémentaires, telles qu'une base de données d'employés. Dans cette forme de réalisation, la base de données de patients, le contrôle d'accès aux données de patient 20, le référentiel de fichiers d'audit 24 et l'application de surveillance de fichiers d'audit 26 sont représentés comme faisant partie d'un seul système d'information médical 12. Toutefois, ils peuvent être dispersés parmi différents systèmes d'information, serveurs, ou ordinateurs. Un administrateur 28 fournit à l'application de surveillance de fichiers d'audit 26 les règles pour guider les opérations d'exploration de données. Les règles sont aptes à identifier des cas dans lesquels le comportement d'un utilisateur dans l'accès à des informations de santé protégées pourrait indiquer un usage abusif des informations de santé protégées d'un ou plusieurs patients. Dans la forme de réalisation représentée, lorsqu'une opération d'exploration de données effectuée par l'application de surveillance de fichiers d'audit 26 établit qu'un possible usage abusif des informations de santé protégées d'un patient s'est produit, comme défini par les règles, une alerte est envoyée à une sécurité 30. De plus, l'application de surveillance de fichiers d'audit 26 peut être programmée pour envoyer une instruction à l'application de contrôle d'accès aux données de patient 20 afin de refuser l'accès à un utilisateur 16 identifié comme possible usager abusif des informations de santé protégées d'un patient. En outre, la sécurité 30 peut aussi parcourir directement le référentiel de fichiers d'audit 24 afin d'interroger ou d'étudier les fichiers d'audit dans le référentiel de fichiers d'audit 24. Si une violation ou une activité douteuse est découverte par la sécurité, l'accès à la base de données de patients 14 peut être refusé à l'utilisateur contrevenant 16. Une technique pour protéger des informations de santé protégées stockées dans le système d'information médical 12 contre un usage abusif est présentée globalement sur les figures 1 et 2, et globalement repérée 32. La technique essaie d'établir un juste milieu qui permet des utilisations importantes des informations de santé protégées tout en protégeant la vie privée des personnes qui recherchent soins et soutien. La technique est décrite plus bas telle qu'elle serait utilisée par le système 10 de la figure 1. Toutefois, la technique peut être utilisée dans des systèmes autres que le système 10 de la figure 1. Dans cette forme de réalisation de la technique 32, un utilisateur 16 tente initialement d'accéder aux informations de santé protégées, comme indiqué globalement à une étape 34. Un utilisateur doit être autorisé à accéder à des informations de santé protégées avant que l'accès aux informations de santé protégées soit permis. Dans la forme de réalisation représentée, le système effectue une vérification initiale pour déterminer si l'utilisateur 16 est autorisé ou non à accéder aux informations de santé protégées, comme indiqué globalement à une étape 36. Dans cette forme de réalisation, les noms d'utilisateurs autorisés ainsi que leurs noms d'utilisateur et mots de passe correspondants sont stockés dans le système d'information médical 12. Pour pouvoir accéder aux informations de santé protégées, un utilisateur 16 doit fournir le nom d'utilisateur et le mot de passe qui correspondent à un utilisateur autorisé. Le contrôle d'accès aux données de patient 20 est utilisé pour déterminer si le nom d'utilisateur et le mot de passe correspondent ou non au nom d'utilisateur et au mot de passe, stockés dans le système 10, d'un utilisateur autorisé. Si l'application de contrôle d'accès aux données de patient 20 détermine que l'utilisateur 16 n'est pas autorisé à accéder aux informations de santé protégées, l'accès aux informations de santé protégées est refusé, comme indiqué à une étape 38. Cet événement créera aussi un enregistrement d'audit qui peut être utilisé dans l'exploration de données. D'autre part, si l'application de contrôle d'accès aux données de patient 20 détermine que l'utilisateur 16 est autorisé à accéder aux informations de santé protégées, l'accès aux informations de santé protégées est permis et l'utilisateur pourra accéder aux informations de santé protégées stockées dans la base de données de patients 14, comme indiqué à une étape 40. Comme indiqué plus haut, chaque fois qu'un utilisateur 16 accède à des informations de santé protégées, un fichier d'audit de l'accès est créé et stocké dans le référentiel de fichiers d'audit, comme indiqué globalement à une étape 42. Des informations concernant l'accès de l'utilisateur aux informations de santé protégées sont stockées dans le fichier d'audit pour permettre au système 10 de déterminer si les informations de santé protégées sont utilisées abusivement par un utilisateur 16. Le fichier d'audit peut inclure des informations telles que le nom et le numéro d'identification du patient, le médecin traitant du patient, ou tout autre médecin affecté aux soins du patient, le nom et le numéro d'identification de l'utilisateur, la date et l'heure d'accès, l'ordinateur de l'utilisateur, d'éventuelles informations de requête, des numéros d'image, etc. Les informations peuvent aussi être utilisées pour déterminer si un utilisateur non autorisé a piraté le système d'information médical 12. Dans cette forme de réalisation, des usages abusifs potentiels des informations de santé protégées sont identifiées par exploration de données des fichiers d'audit contenus dans le référentiel de fichiers d'audit 24 en utilisant l'application de surveillance de fichiers d'audit 26, comme indiqué globalement à une étape 44. L'exploration de données consiste à faire un tri dans de grandes quantités de données et à extirper des informations pertinentes. Dans la forme de réalisation représentée, les données d'accès contenues dans les fichiers d'audit stockés dans le référentiel de fichiers d'audit 24 sont explorées sur la base de règles établies par l'administrateur 28. Les règles d'exploration de données sont aptes à identifier des activités d'utilisateur dans l'accès à des informations de santé protégées contenues dans la base de données de patients 14 qui indiquent un possible usage abusif d'informations de santé protégées. Les règles sont conçues pour identifier de subtils usages abusifs des informations de santé protégées d'un patient, ainsi que des usages abusifs plus évidents des informations de santé protégées d'un patient. De plus, les règles sont conçues pour identifier un possible usage abusif des informations de santé protégées d'un patient survenant par un seul accès d'un utilisateur aux informations de santé protégées d'un patient, par exemple une tentative d'accès aux informations de santé protégées d'une célébrité, ainsi que par examen du comportement d'un utilisateur dans l'accès aux informations de santé protégées d'un ou plusieurs patients sur un certain laps de temps. L'application de surveillance de fichiers d'audit 26 détermine si l'accès d'un utilisateur aux informations de santé protégées d'un patient est un possible usage abusif des informations de santé protégées du patient, comme indiqué globalement à une étape 46. Si, en résultat de l'exploration de données, l'application de surveillance de fichiers d'audit 26 n'identifie aucun fichier d'audit qui puisse être une preuve d'un possible usage abusif des informations de santé protégées du patient, l'utilisateur peut continuer à avoir accès aux informations de santé protégées, comme indiqué globalement à une étape 48. Si l'application de surveillance de fichiers d'audit 26 identifie un fichier d'audit contenant une preuve d'un possible usage abusif des informations de santé protégées d'un patient par un utilisateur, des procédures de sécurité sont mises en oeuvre selon des règles d'alerte programmées dans l'application de surveillance de fichiers d'audit 26, comme indiqué globalement à une étape 50. Les règles d'alerte sont aptes à protéger les informations de santé protégées du patient. Les règles d'alerte peuvent ordonner au système de répondre de diverses manières à un possible usage abusif des informations de santé protégées d'un patient. Un message peut être envoyé de l'application de surveillance de fichiers d'audit 26 à la sécurité 30 pour lancer une enquête afin de déterminer si l'accès aux informations de santé protégées était réellement un usage abusif des informations de santé protégées du patient. L'enquête peut permettre de découvrir que l'accès de l'utilisateur aux informations de santé protégées était pour un usage normal. Le système peut être programmé pour envoyer un message de refus d'accès de l'application de surveillance de fichiers d'audit 26 à l'application de contrôle d'accès aux données de patient 20 afin de refuser l'accès de l'utilisateur aux informations de santé protégées du patient particulier dont l'utilisateur est suspecté d'user abusivement ou de bloquer l'accès de l'utilisateur aux informations de santé protégées de tous les patients. D'autres mesures peuvent aussi être prises lorsqu'un usage abusif des informations de santé protégées d'un patient est indiqué. La figure 3 représente globalement un exemple d'un fichier d'audit, globalement repéré 52. Un fichier d'audit est enregistré chaque fois qu'il existe une tentative d'accès à des informations de santé protégées. Dans la forme de réalisation représentée, le fichier d'audit 52 enregistre le nom du patient dont les informations de santé protégées ont été consultées, comme globalement repéré 54. De plus, un numéro d'identification associé au patient est aussi enregistré, comme globalement repéré 56. Le nom de l'utilisateur ayant accédé aux informations de santé protégées est aussi enregistré, comme globalement repéré 58. Un numéro d'identification associé à l'utilisateur est aussi enregistré, comme globalement repéré 60. La date et l'heure auxquelles l'utilisateur a accédé aux informations de santé protégées sont aussi enregistrées, comme globalement repéré 62. Un numéro d'identification associé à l'ordinateur utilisé pour accéder aux informations de santé protégées est aussi enregistré, comme globalement repéré 64. Un numéro d'identification associé à l'ordinateur utilisé pour produire les informations de santé protégées est aussi enregistré, comme globalement repéré 66. Des informations de recherche/requête sont aussi enregistrées, comme globalement repéré 68. Les informations de recherche/requête sont les moyens et méthodes utilisés pour la recherche de données. Il peut s'agir de la suite d'actions effectuées par l'utilisateur pour atteindre les informations de santé protégées, par exemple des clics de souris, des sélections dans des menus, etc. Il peut aussi s'agir des mots-clés ou opérateurs logiques utilisés dans la recherche. Si les informations de santé protégées correspondent à une image médicale, le numéro d'identification d'image associé à l'image est aussi enregistré, comme globalement repéré 70. Le numéro d'identification d'image peut être un numéro d'identification d'image DICOM, ou un autre numéro d'identification médicale. DICOM, acronyme de Digital Imaging and Communications in Medicine (imagerie et communication numériques en médecine), est une norme pour l'exploitation, le stockage, l'impression et la transmission d'informations en imagerie médicale. La norme DICOM comprend une définition de format de fichier et un protocole de communication en réseau. Des fichiers DICOM peuvent être échangés entre deux dispositifs qui sont capables de recevoir des données d'image et de patient dans le format DICOM, tels que des dispositifs de balayage, serveurs, stations de travail, imprimantes, afin de créer un système d'archivage et de transmission d'images (PACS). De plus, le nombre d'images transférées est aussi enregistré, comme globalement repéré 72. Toutefois, si les informations de santé protégées ne sont pas une image médicale ou ont un autre numéro d'identification médicale, tel qu'un numéro d'identification Health Level Seven (HL7), ce numéro d'identification peut être enregistré. HL7 est un organisme de normalisation qui est accrédité par l'American National Standards Institute (ANSI). HL7 et ses membres fournissent un cadre (et des normes apparentées) pour l'échange, l'intégration, le partage et la récupération d'informations de santé électroniques. Les normes HL7 supportent des pratiques cliniques et la gestion, la prestation et l'évaluation de services de santé. De plus, un certain nombre d'autres normes de Dossier Médical Informatisé (DMI) peuvent être utilisées et leurs numéros d'identification peuvent être stockés dans les fichiers d'audit. Le type d'action effectuée est aussi enregistré, par exemple importation, exportation, alerte de sécurité, etc., comme globalement repéré 74. En outre, le résultat de la tentative d'accès aux informations de santé protégées, globalement repéré 76, est enregistré, par exemple "tentative réussie" ou "tentative rejetée". Des informations supplémentaires peuvent aussi être enregistrées dans le fichier d'audit. La figure 4 représente globalement une liste non exclusive d'exemples de règles d'exploration de fichiers d'audit, globalement repérée 78. L'application de surveillance de fichiers d'audit 26 peut être programmée par l'administrateur 28. Dans la forme de réalisation représentée, l'application de surveillance de fichiers d'audit 26 est programmée pour identifier des cas dans lesquels un utilisateur 16 a recherché ou visualisé des informations de santé protégées pour plus de dix patients, comme globalement repéré 80, en tant que possible usage abusif d'informations de santé protégées. De plus, l'application de surveillance de fichiers d'audit 26 peut aussi identifier des cas dans lesquels les mêmes informations de santé protégées sont consultées en même temps depuis des machines différentes et/ou des lieux différents, comme globalement repéré 82. L'application de surveillance de fichiers d'audit 26 peut aussi identifier des cas dans lesquels un utilisateur a recherché ou visualisé des informations de santé protégées de personnalités, de hauts personnages publics, ou de célébrités, comme globalement repéré 84, en tant que possible usage abusif d'informations de santé protégées. Dans la forme de réalisation représentée, l'application de surveillance de fichiers d'audit 26 peut aussi identifier des cas dans lesquels un utilisateur a recherché ou visualisé des informations de santé protégées n'ayant pas été recherchées ou visualisées pendant une longue période, par exemple un an, deux ans, etc., en tant que possible usage abusif d'informations de santé protégées, comme globalement repéré 86. De manière similaire, l'application de surveillance de fichiers d'audit 26 peut aussi identifier des cas dans lesquels un utilisateur a recherché ou visualisé des informations de santé protégées plus d'un laps de temps défini après les heures de travail normales, par exemple trois heures, quatre heures, etc. en tant que possible usage abusif d'informations de santé protégées, comme globalement repéré 88. De plus, l'application de surveillance de fichiers d'audit 26 peut aussi identifier des cas dans lesquels un utilisateur a recherché ou visualisé des informations de santé protégées en ayant obtenu un accès depuis l'extérieur d'un réseau hospitalier en tant que possible usage abusif d'informations de santé protégées, comme globalement repéré 90. Dans la forme de réalisation représentée, l'application de surveillance de fichiers d'audit 26 peut aussi identifier des cas dans lesquels un utilisateur a recherché ou visualisé des informations de santé protégées d'un patient qui est un collègue de l'utilisateur en tant que possible usage abusif d'informations de santé protégées, comme globalement repéré 92. De manière similaire, l'application de surveillance de fichiers d'audit 26 peut aussi identifier des cas dans lesquels un utilisateur a recherché ou visualisé des informations de santé protégées d'un patient qui est un ancien collègue de l'utilisateur ayant cessé ses fonctions en tant que possible usage abusif d'informations de santé protégées, comme globalement repéré 94. Selon l'exemple final des règles d'exploration de données de fichiers d'audit, l'application de surveillance de fichiers d'audit 26 peut aussi être programmée pour identifier des cas de multiples tentatives de connexion avec authentification illégitime en tant que possible usage abusif d'informations de santé protégées, comme globalement repéré 96. Comme mentionné plus haut, les règles d'exploration de données de fichiers d'audit décrites plus haut ne sont pas destinées à être une liste exclusive des règles d'exploration de données de fichiers d'audit. Par exemple, une règle d'exploration de données de fichiers d'audit peut être établie pour identifier des cas dans lesquels un utilisateur a tenté d'identifier des patients ayant un état médical spécifique, par exemple cancer, VIH, troubles mentaux, etc. De plus, une règle d'exploration de données de fichiers d'audit peut être établie pour identifier des cas dans lesquels un utilisateur a accédé à des informations de santé protégées relatives à des informations d'assurance de patient, par exemple un refus d'assurance basé sur une condition préexistante, ou un historique ou une situation d'emploi d'un patient. De plus, une règle d'exploration de données de fichiers d'audit peut être établie pour identifier chaque fois que quelqu'un d'autre que le médecin traitant d'un patient, ou d'autres personnes désignées, accède aux informations de santé protégées d'un patient. La figure 5 représente globalement une liste non exclusive d'exemples de règles d'alerte de fichiers d'audit, globalement repérée 98. Lorsque l'application de surveillance de fichiers d'audit 26 identifie un possible usage abusif d'informations de santé protégées, elle est programmée pour envoyer un certain nombre d'alertes différentes. Dans la forme de réalisation représentée, l'application de surveillance de fichiers d'audit 26 peut être programmée par l'administrateur 28 pour envoyer un courriel à une personne ou entité désignée, telle que la sécurité 30, lorsqu'un possible usage abusif d'informations de santé protégées est détecté, comme globalement repéré 100. De manière similaire, l'application de surveillance de fichiers d'audit 26 peut être programmée pour envoyer un message textuel à une personne ou entité désignée, lorsqu'un possible usage abusif d'informations de santé protégées est détecté, comme globalement repéré 102. L'application de surveillance de fichiers d'audit 26 peut aussi être programmée pour passer un appel téléphonique automatique à une personne ou entité désignée dans le cas où un possible usage abusif d'informations de santé protégées est détecté, comme globalement repéré 104. De manière similaire, l'application de surveillance de fichiers d'audit 26 peut aussi être programmée pour laisser un message vocal destiné à une personne ou entité désignée dans le cas où un possible usage abusif d'informations de santé protégées est détecté, comme globalement repéré 106. De plus, l'application de surveillance de fichiers d'audit 26 peut aussi être programmée pour envoyer un message contextuel à l'ordinateur de la personne ou entité désignée dans le cas où un possible usage abusif d'informations de santé protégées est détecté, comme globalement repéré 108, ou envoyer un message instantané à une personne ou entité désignée, comme globalement repéré 110. Selon une autre possibilité, l'application de surveillance de fichiers d'audit 26 peut être programmée pour envoyer une alerte comme partie d'un fil de syndication (RSS), comme globalement repéré 112. L'exemple final d'une règle d'alerte de fichiers d'audit que l'application de surveillance de fichiers d'audit 26 peut être programmée pour suivre consiste à envoyer un signal pour refuser l'accès d'un utilisateur aux informations de santé protégées lorsqu'un usage abusif d'informations de santé protégées est détecté. L'application de surveillance de fichiers d'audit 26 peut être programmée pour refuser à un utilisateur l'accès aux informations de santé protégées pour certains ou tous les possibles usages abusifs d'informations de santé protégées qui sont détectés. L'effet technique des techniques décrites plus haut est de permettre des utilisations importantes d'informations de santé protégées, tout en protégeant contre un usage abusif les informations de santé protégées. Bien que seules certaines caractéristiques de l'invention aient été représentées et décrites dans la présente, l'homme du métier pourra imaginer de nombreuses modifications et variantes. LISTE DES COMPOSANTS 10 Système de stockage et de protection d'informations de santé protégées 12 Système d'information 14 Base de données de patients 16 Utilisateur 18 Réseau 20 Application de contrôle d'accès aux données de patient 22 Equipement médical 24 Référentiel de fichiers d'audit 26 Application de surveillance de fichiers d'audit 28 Administrateur 30 Sécurité 32 Technique de protection 34 Tentative d'accès 36 Accès autorisé ? 38 Accès refusé 40 Accès obtenu 42 Enregistrement de l'accès 44 Surveillance automatique des enregistrements 46 Possible usage abusif de données de patient ? 48 Prolongation d'accès 50 Mise en oeuvre de procédures de sécurité 52 Fichier d'audit 54 Nom du patient 56 Identification du patient 58 Nom de l'utilisateur 60 Identification de l'utilisateur 62 Heure/Date 64 Identification de la machine source 66 Identification de la machine destinataire 68 Informations de recherche/requête 70 Identification d'image DICOM 72 Nombre d'images transférées 74 Type d'événement 76 Résultat de l'événement 78 Règles d'exploration de données de fichiers d'audit 80-96 Règles 98 Règles d'alerte de fichiers d'audit 100 Envoi de courriel 102 Envoi de message textuel 104 Appel téléphonique automatique 106 Envoi de message vocal 108 Envoi de message contextuel 110 Envoi de message instantané 112 Envoi de fil de syndication 114 Refus d'accès REVENDICATIONS 1. Procédé mis en oeuvre par ordinateur pour identifier un usage abusif d'informations de santé protégées 14 stockées dans un système d'information 12, comprenant les étapes consistant à: stocker un enregistrement 52 de chaque accès aux informations de santé protégées 14 dans un système d'information 12 utilisable pour stocker une pluralité d'enregistrements 52 de chaque accès aux informations de santé protégées; et identifier un possible usage non autorisé d'informations de santé protégées 14 par tri automatique de la pluralité d'enregistrements 24 de chaque accès en utilisant des règles de tri aptes à identifier un possible usage non autorisé d'informations de santé protégées 14. 2. Procédé mis en oeuvre par ordinateur selon la revendication 1, dans lequel un enregistrement de chaque accès aux informations de santé protégées 14 comprend: une référence à l'utilisateur 16 accédant aux informations de santé protégées 14; et une référence au patient correspondant aux informations de santé protégées 14. 3. Procédé mis en oeuvre par ordinateur selon la revendication 1, comprenant l'opération consistant à: bloquer l'accès d'un utilisateur autorisé aux informations de santé protégées 14 lorsqu'un possible usage non autorisé d'informations de santé protégées 14 est identifié. 4. Procédé mis en oeuvre par ordinateur selon la revendication 1, comprenant l'opération consistant à: communiquer à une autorité 30 lorsqu'un possible usage non autorisé d'informations de santé protégées 14 est identifié. 5. Procédé mis en oeuvre par ordinateur selon la revendication 1, comprenant l'opération consistant à: imposer à un utilisateur 16 de vérifier qu'il est un utilisateur autorisé avant de permettre à l'utilisateur 16 d'accéder aux informations de santé protégées 14. 6. Procédé mis en oeuvre par ordinateur selon la revendication 5, dans lequel les règles de tri sont aptes à ordonner au système d'information 12 de trier la pluralité d'enregistrements de chaque accès 24 afin d'identifier chaque accès aux informations de santé protégées 14 d'un patient désigné. 7. Procédé mis en oeuvre par ordinateur selon la revendication 5, dans lequel les règles de tri sont aptes à ordonner au système d'information 12 de trier la pluralité d'enregistrements de chaque accès 24 afin d'identifier chaque accès aux informations de santé protégées 14 d'un patient désigné par un utilisateur 16 désigné. 8. Procédé mis en oeuvre par ordinateur selon la revendication 2, dans lequel 10 l'enregistrement 52 comprend une référence à la date et à l'heure 62 d'accès aux informations de santé protégées 14. 9. Procédé mis en oeuvre par ordinateur selon la revendication 8, dans lequel les règles de tri sont aptes à ordonner au système d'information 12 de trier la pluralité d'enregistrements de chaque accès 24 afin d'identifier chaque accès aux informations de 15 santé protégées 14 plus d'un laps de temps défini après les heures de travail normales d'un patient désigné. 10. Procédé mis en oeuvre par ordinateur selon la revendication 2, dans lequel l'enregistrement 52 comprend une référence aux informations de santé protégées 14 consultées.