Le Privacy Commissioner néo-zélandais met en demeure le portail patients Manage My Health et Health NZ de corriger leurs failles de sécurité
Le 23 septembre 2026, le Privacy Commissioner néo-zélandais a annoncé des mises en demeure obligeant Health NZ et le portail patients Manage My Health à corriger les failles de sécurité qu'il a constatées au moment du cyberincident subi par Manage My Health fin décembre 2025. Health NZ doit effectuer ses modifications d'ici le 29 janvier 2027, et Manage My Health doit avoir terminé d'ici le 31 août 2027.
Les mises en demeure font suite au rapport de phase 1 du Commissioner, publié en mai 2026. Il a relevé sept domaines où les protections de sécurité étaient inefficaces, et Manage My Health en a depuis amélioré trois : l'efficacité des contrôles d'authentification multifacteur (MFA), la restriction de l'accès des utilisateurs aux informations et le contrôle des accès externes non autorisés. La mise en demeure de Health NZ porte sur la règle 5(1)(b), qui impose à un organisme de faire tout ce qui est raisonnablement en son pouvoir pour empêcher toute utilisation ou divulgation non autorisée avant de confier des informations de santé à un prestataire.
Les équipes de protection des données des organismes de santé qui transmettent des informations de patients à des prestataires devraient vérifier et documenter ce qu'elles font pour en empêcher l'usage abusif avant leur transmission.
Le Commissioner a rappelé que les informations de santé sont par nature des données personnelles sensibles et que la violation a touché de nombreuses personnes, whānau et communautés.
OPC Compliance Notices under the Health Information Privacy Code
- Qui cela engage
- Health NZ et Manage My Health en Nouvelle-Zélande doivent mettre en œuvre des modifications de sécurité obligatoires au titre du Health Information Privacy Code.
- Ce qui a changé
- Le Commissioner passe des constats aux mises en demeure contraignantes : les deux organisations ont désormais des délais fixes pour respecter la règle de sécurité du Code.
- Ce qu'il faut vérifier
- Les équipes de protection des données qui accompagnent un portail patients ou une plateforme similaire devraient d'abord tester ces trois mêmes domaines : MFA, limitation des accès utilisateurs et contrôle des accès externes.
- Ce que cela ne signifie pas
- Cette mesure d'exécution ne modifie pas les règles légales régissant la communication de données de santé en dehors des relations avec les prestataires de services.
À transmettre à votre équipe
Le Commissioner a souligné la situation des Māori du Northland, où vivent 90 % des patients touchés dont les données ont été volées.