La santé numérique en Belgique…

Introduction·

Une nouvelle maison médicale souhaite mettre en place une infrastructure numérique se reposant sur des logiciels libres¹ mais pour y faire fonctionner le logiciel Medispring qui est un logiciel privateur².

En 2017 Pricare³ était encore le logiciel utilisé par les maisons médicales depuis les années nonantes. Pricare aurait pu devenir un logiciel libre⁴ mais c'est vers le logiciel propriétaire Medispring⁵ que la fédération s'est tournée.

• Pourquoi mettre en place du libre pour faire fonctionner un logiciel privateur au quotidien ?
• Quel est le paysage numérique dans lequel s'inscrit Medispring et plus largement la santé numérique ?

Méthode·

Ce document n'est pas une évaluation approfondie et détaillée des conditions générales d'utilisation, ni des déclarations de confidentialité, ni des licences de propriété intellectuelle, ni des codes sources disponible publiquement ou non, ni des aspects techniques, ni des modèles économiques concernant les logiciels, les services Internet et les organisations dont il est fait mention.

Ce document en est un survol sur base d'informations publiquement disponibles.

En partant des sites web et des noms de domaines, il est possible de savoir où (et donc par qui) sont hébergés les différents services Internet et quels sont éventuellement les acteurs qu'il est possible de révéler.

La méthode consiste à ouvrir un site Internet, une plateforme web ou une application en ligne avec un navigateur pour y observer le nom de domaine et les appels vers des domaines externes à l'aide de l'extension uMatrix.

Pour obtenir des informations concernant les addresse IP et les fournisseurs d'hébergement (sites Internet, courrier électronique, applications en ligne), nous utiliseront les commandes host et whois dans un émulateur de terminal⁶.

Si cela ne suffit pas pour faire apparaître une information pertinente, d'autres outils en ligne tels que BGP.tools⁷ sont disponibles.

Notions·

domaine

Un nom de domaine est un identifiant de domaine sur Internet. Un nom de domaine peut servir à retrouver un simple site web mais aussi à regrouper un grand nombre de services, de machines et d'utilisateur·ice·s. Par exemple belgium.be, wikipedia.fr, microsoft.com, fsf.org etc. Lorsqu'une personne ou une organisation (association, entreprise, multinationnale et même un État) souhaite apparaître sur Internet, cela commence par l'aquisition d'un nom de domaine auprès d'un bureau d'enregistrement.

hébergement

Lorsqu'une personne ou une organisation souhaite mettre en place des services associés à un domaine dont elle est propriétaire, il faut que des machines hébergent ces services (site web, adresses email, applications, forum, …). Cet hébergement se fait de plus en plus auprès d'entreprises spécialisée qui mettent à disposition des machines physiques ou virtuelles ou des espaces de stockage et/ou de calculs dans leur centres de données. Il est possible d'héberger des services au sein même d'un domicile ou des bureaux d'une organisation mais cela requiert de prendre en compte le coût des machines, de l'électricité, des accès à Internet, des logiciels et des équipes techniques qui devront orchestrer le bon fonctionnement de l'ensemble.

appel externe

Dans le cadre de la navigation sur Internet, lorsqu'un navigateur affiche un page web, cette dernière peut être constituée d'éléments issus du domaine visité mais également de un ou plusieurs autres domaines qui ne sont pas celui de la page visitée. Une extension (plugin) du navigateur Firefox telle que uMatrix⁸ permet d'afficher les appels externes au domaine d'une page web. Un appel externe informe, en plus de l'hébergeur de la page demandée, le ou les hébergeur(s) des ressources concernées (image, police de caractère, javascript, etc) à chaque visite.

Dans l'exemple ci-dessus le navigateur d'une personne consultant le site internet de fsfe.org communique uniquement avec le domaine visité. Par contre celui qui visite www.ehealth.fgov.be communique également avec ehealthplatform.info et flexmail.eu.

Le choix de fsfe.org et www.ehealth.fgov.be se repose sur une association qui fait la promotion d'une informatique plus éthique (et donc leur site web se doit d'être plus regardant en ce qui concerne les appels externes) et celui d'un service fédéral belge à propos de la santé.

Outils utilisés·

Le navigateur Firefox, pour afficher les sites intrenet des différents domaines visités.

L'extension uMatrix, une extension du navigateur Firefox qui permet d'afficher les appels externes au domaine d'une page web visitée.

La commande host, utilisée dans un interpréteur de commande⁶ permet d'obtenir des informations publiques concernant un nom de domaine tel que les adresses IP hébergeant une application ou un site Internet et les adresses des serveurs de courrier électronique si le nom de domaine utilise du courrier.

Exemple (sans les résultats pour ne pas nuire à la lisibilité de ce document):

$ host gnuragist.es
$ host 80.67.181.142

La commande whois, quand les informations obtenues par la commande host ne sont pas suffisamment explicite concernant le nom d'un fournisseur d'hébergement pour un service associé à un nom de domaine, la commande whois peut-être plus verbeuse.

Exemple (sans les résultats pour ne pas nuire à la lisibilité de ce document):

$ whois belgium.be
$ whois 193.191.245.121

Fédération des Maisons Médicales·

Pour ne pas critiquer que les fournisseurs, critiquons aussi le demandeur.

.

Hébergements·

host www.maisonmedicale.org
www.maisonmedicale.org is an alias for maisonmedicale.org.
maisonmedicale.org has address 35.205.53.94
maisonmedicale.org mail is handled by 0 maisonmedicale-org.mail.protection.outlook.com.

Les mails sont chez Microsoft®, le site je ne sais pas encore mais il est hébergé sur l'adresse 35.205.53.94.

host 35.205.53.94
94.53.205.35.in-addr.arpa domain name pointer 94.53.205.35.bc.googleusercontent.com.

Le site est hébergé chez Google®.

Medispring (medispring.be).·

Medispring propose un logiciel de gestion de dossier médical informatisé.

Notre logiciel est pensé et créé par des soignants, en coopérative, avec l’objectif d’assurer leur indépendance informatique face aux grandes firmes logicielles.

Sur la page d'accueil de Medispring⁹, à propos de « Notre Mission ».

La page d'acceuil mentionnée ci-dessus n'affiche rien de particulier concernant les ressources auxquelles elle fait appel.

Appels externes·

La même page affichée avec l'extension uMatrix montre les appels externes de la page.

Dans la capture d'écran ci-dessus apparaîssent les appels externes vers fonts.googleapis.com et youtube.com.

Hébergement·

La commande host nous fournit des informations publiquement disponibles pour le nom de domaine medispring.be.

$ host medispring.be
medispring.be has address 185.199.111.153
medispring.be has address 185.199.108.153
medispring.be has address 185.199.109.153
medispring.be has address 185.199.110.153
medispring.be mail is handled by 5 alt2.aspmx.l.google.com.
medispring.be mail is handled by 1 aspmx.l.google.com.
medispring.be mail is handled by 10 alt3.aspmx.l.google.com.
medispring.be mail is handled by 10 alt4.aspmx.l.google.com.
medispring.be mail is handled by 5 alt1.aspmx.l.google.com.

Les serveurs de courriels pour le domaine de medispring.be sont ceux de Google®.

Concernant le site internet, la commande host nous retourne plusieurs adresse IP. En utilisant encore la commande host avec chacune des 4 adresses IP obtenues en amont, nous en sauront peut-être plus sur le fournisseur d'hébergement.

$ host 185.199.111.153
153.111.199.185.in-addr.arpa domain name pointer cdn-185-199-111-153.github.com.

$ host 185.199.108.153
153.108.199.185.in-addr.arpa domain name pointer cdn-185-199-108-153.github.com.

$ host 185.199.109.153
153.109.199.185.in-addr.arpa domain name pointer cdn-185-199-109-153.github.com.

$ host 185.199.110.153
153.110.199.185.in-addr.arpa domain name pointer cdn-185-199-110-153.github.com.

Le site Internet de Medispring est hébergé par GitHub®, une entreprise qui appartient Microsoft® depuis juin 2018¹⁰.

Medispring gratuit (free.medispring.be)·

Il est fait mention d'une version gratuite sur la page d'accueil du site Internet de Medispring.

FreeMedispring : l'outil de prescription et de facturation en ligne totalement gratuit

Sur la page dédiée à la version gratuite¹¹ de Medispring.

Pas besoin d'outil particulier, il est clairement écrit sur la page de connexion de free.medispring.be le message suivant : « Nous vous recommandons fortement l'utilisation de Google Chrome en mode classique (et non privé) afin d'optimiser l'expérience utilisateur ».

Soulignons de plus le (et non privé), voulant dire qu'il est déconseillé par Medispring d'utiliser une fenêtre ou un onglet de navigation privée¹².

Appels externes·

Sur la capture d'écran ci-dessous apparaissent les appels externes vers icure.cloud (voir plus loin dans ce document).

Autre capture d'écran affichant le captcha¹³ de Google.

Hébergement·

C'est encore la commande host qui est utilisée pour le domaine free.medispring.be.

$ host free.medispring.be
free.medispring.be has address 76.76.21.241
free.medispring.be has address 76.76.21.61

En utilisant encore la commande host avec chacune des 2 adresses IP obtenues en amont, nous en sauront peut-être plus sur le fournisseur d'hébergement.

$ host 76.76.21.241
Host 241.21.76.76.in-addr.arpa. not found: 3(NXDOMAIN)

$ host 76.76.21.61
Host 61.21.76.76.in-addr.arpa. not found: 3(NXDOMAIN)

Malheureusement pas mais la commande whois nous renseignera mieux sur l'organisation qui héberge le service du domaine free.medispring.be.

$ whois 76.76.21.241
…
OrgName:        Vercel, Inc
OrgId:          ZEITI
Address:        340 S LEMON AVE #4133
City:           Walnut
StateProv:      CA
PostalCode:     91789
Country:        US
RegDate:        2020-03-26
Updated:        2024-07-09
Comment:        https://vercel.com
…

Vercel Inc. est une entreprise installée en Californie et d'après leur site web¹⁴, elle fournit des services d'hébergement et de développement d'applications en ligne.

Pourtant, dans les Conditions Générales d'Utilisation¹⁵ de l'application free.medispring.be il est fait mention du respect de la légistlation européenne concernant l'hébergement sur le territoire européen, mais ce n'est pas le cas. L'application free.medispring.be est hébergée par Vercel aux USA, mais peut-être que la base de donnée est sur le vieux continent ou sous une montagne suisse ?

L'adresse IP de l'application ayant changé entre le 26/07/2024 et ce vendredi 16/08/2024, voici le résultat du jour.

host free.medispring.be
free.medispring.be has address 76.76.21.93
free.medispring.be has address 76.76.21.22

Medispring sur Windows®·

Après avoir fait le tour du web à la recherche d'informations sur la santé numérisée, après être repassé par le site de la fédération des maison médicales pour chercher des renseignements à propos de Pricare, Topaz et AssossCare, après avoir cherché sur la plateforme belge eHealth après iCure, kraken ou taktik, c'est en tapant ces mêmes termes dans un moteur de recherche¹⁶ qu'est apparu le dépôt logiciel de la société Medispring[^gitspring].

Le logiciels Medispring pour Windows® étant disponible au téléchargement[^downmedispring], cela permet d'explorer au moins son installation ou ses dépendances. Sur un PC avec Windows® 10 22H2, l'installateur ne foncitonne pas tel quel. Il faut lui définir une propriété de compatibilité pour Windows 8 ou utiliser l'assistant de résolution de problème, ce qui revient au même.

Même si un compte utilisateur est requis pour le faire fonctionner pleinement, cette version installée permet déjà de découvrir que deux autres logiciels sont nécessaires à son fonctionnement, CouchDB¹⁹ et le logiciel eID d'identité électronique belge²⁰.

Notons au passage que l'application Medispring est une application Electron²¹, cela se voit dans la barre de titre dans la capture d'écran ci-dessus.

:::warning Si le logiciel Medispring devait être installé sur un ordinateur GNU/Linux dans un émulateur, il faudra soit installer la version Windows® soit trouver comment faire parler l'émulateur avec une version native de ces deux logiciels (CouchDB et BeID) pour l'hôte GNU/Linux.

Rapellons toute fois que sur Ubuntu et les distributions qui en sont dérivée, le logiciel BeID ne fonctionnera pas²² avec les navigateurs Chromium ou Firefox qui sont installés en tant qu'applications Snap ! :::

iCure·

La version gratuite et en ligne de Medispring dépend de iCure[^https://icure.com/fr/about-us/] au travers des appels externes vers icure.cloud et kraken.icure.cloud, qu'en est-il ?

$ host icure.cloud
icure.cloud has address 35.205.145.231
icure.cloud mail is handled by 0 icure-cloud.mail.protection.outlook.com.

Les courriels étant gérés par icure-cloud.mail.protection.outlook.com, le fournisseur de courriel est donc Microsoft®

L'adresse IP obtenue concernant le domaine icure.cloud n'étant pas explicite c'est encore à l'aide de la commande host portant sur l'adresse 35.205.145.231 que nous en saurons peut-être plus sur l'organisation qui héberge les services pour icure.cloud.

# host 35.205.145.231
231.145.205.35.in-addr.arpa domain name pointer 231.145.205.35.bc.googleusercontent.com.

Le fournisseur d'hébergement pour le domaine icure.cloud est Google®.

Les fournisseurs d'hébergement sont les mêmes pour les domaines kraken.icure.cloud et pour icure.com, le site Internet de l'entreprise iCure²³.

Sur son site Internet, Icure se vante d'être certifié ISO 27001:2013²⁴, mais cette norme est retirée et remplacée par la norme ISO 27001:2022²⁵.

Sur le dépôt GitHub® de iCure, il est fait mention de FHIR®²⁶ et de d'un module KMHER.

EBM, Evidence Based Medecine·

Cela peut se traduire par médecine se reposant sur les preuves ou médecine basée sur les faits, ce n'est pas très clair. Puisque c'est un vaste sujet qui dépasse le cadre de ce document, autant élargir le débat en vous renvoyant vers un article traitant d'EBM et d'expertise clinique²⁸.

FHIR, Fast Healthcare Interoperability Resources·

Comment traduire cela ? Ressources d'interopérabilité de soins de santé rapides ? Ou peut-être ressources pour une interopérabilité rapide des soins de santé ? Peu importe.

FHIR® (notons au passage la marque déposée), est un standard intégré à la plateforme belge eHealth²⁹, décrivant un format ouvert de ressources (les données médicales) et d'interface de programmation applicative (API) créé par Health Layer Seven International³⁰.

Les guides d'implémentation (implementation guides) sont disponibles³¹ directement sur la plateforme eHealth du SPF santé pulbique.

FHIR (+kmehr en Belgique ) considérant chaque élément d'un dossier médical comme étant des ressources, cela me semble bien rentrer dans l'EBM. Et il suffit de chercher un peu sur le site du HL7 pour trouver plusieurs exemple d'EBM.

KMEHR, Kindly Marked-Up Electonic Health Care Record·

Cela peut se traduire par dossiers de santé électroniques proprement annotés. C'est l'implémentation de le la quatrième recommendation³² de la Commission Belge des Soins de Santé Télématiques qui permet l'échange de données médicales structurées, utilisé depuis 2002, en amont des standards internationnaux.

La plate-forme eHealth·

La plate-forme eHealth a pour but d'optimaliser la qualité et la continuité des prestations de soins de santé et la sécurité du patient, de promouvoir la simplification des formalités administratives pour tous les acteurs des soins de santé et de soutenir la politique en matière de santé, et ce par des prestations de services et des échanges d'informations électroniques mutuels entre tous les acteurs des soins de santé, organisés avec les garanties nécessaires sur le plan de la sécurité de l'information et de la protection de la vie privée³⁴.

Piqure de rappel·

Peut-être est-il nécessaire de rapeller qu'en Belgique, un personnage clé de l'économie des API fut aux manœuvre de plusieurs postes −aux responsabilités contradictoires− pour faciliter l'émergence de la santé digitale du Royaume. En 2018, Frank Robben³⁵ était encore administrateur général de la plate-forme eHealth³⁶.

Dilemme sans conclusion·

« Je vous la mets sur votre carte d'identité pour le pharmacien ? » dit un médecin à ma mère en parlant de sa prescription. Elle ne comprend pas la question et répond « Oui. ». Elle a certainement répondu de la même manière lorsque ce même médecin, ou un autre, lui aura demandé son consentement éclairé³⁷ concernant son dossier médical informatisé.

En ce qui me concerne j'ai tenu le plus longtemps possible avant d'accepter d'aller chercher ma carte d'identité électronique après avoir hésité longtemps à renoncer à ma citoyenneté belge. Habitant Bruxelles, en 2023 je me suis senti encore moins bien lorsque j'ai dû scanner mes empreintes digitales parce que c'est la Loi. Cela souligne au combien nous sommes toutes et tous de potentiels criminels aux yeux de l'État.

Quel rapport avec la santé ?

Les solutions techniques dépendent de logiciels et d'infrastructures qui sont de plus en plus privatisées. Si je perds mes libertés d'étudier, de modifier et de partager au même titre que mon devoir de redistribuer les modifications que j'apporterais à un logiciel et ce dans l'intérêt général, l'État duquel je ne suis qu'un humble citoyen, perd également ces libertés face à la privatisation de ses choix techniques.

Il en est de même pour la santé et pour tous les patients qui rendront leurs données médicales accessibles à leurs prestataires de soins de façon électronique et sécurisée. La notion de donnée médicale elle-même étant une variable qui s'ajustera au fil du temps comme c'est le cas de « Vos données confidentielles psychologiques bientôt stockées pour 30 ans et potentiellement partagées? »³⁸.

Le libre est un projet technique et politique. La « liberté d’améliorer le programme et de publier les améliorations » est un devoir éthique et moral bien plus qu'une liberté. Et installer du libre pour faire fonctionner un logiciel privateur qui s'inscrit dans un vaste programme d'interroperabilité des ressources médicales dans une vision globalisée du marché de la santé, ça me dérrange.