Qu’il s’agisse de définir les critères d’hébergement des données de santé pour demain, de s’interroger sur la valeur de ces données et leur devenir, de définir le niveau de confiance des patients et du grand public, de mieux connaître leur attente vis-à-vis des données issues des objets connectés de santé ou intégrées dans le DMP (Dossier Médical du Patient) et le DP (Dossier pharmaceutique), la sécurité des données de santé n’a jamais été au centre de tant de discussions et d’enquêtes en ce moment.

En quoi la sécurisation des données de santé est-elle un enjeu ? Peut-on distinguer différents types de données de santé et donc niveaux de sécurisation ?

Au sein du Centre e-santé, nous avons défini différents enjeux vis-à-vis de la sécurisation.
Le premier se situe au niveau du patient ou de l’utilisateur en fonction du type de service d’e-santé utilisé. A ce stade, savoir que ses données sont sécurisées permet d’instaurer une relation de confiance entre l’utilisateur et les nouvelles solutions innovantes d’e-santé. Cet enjeu est crucial pour le développement des usages et de la e-santé en général.

Le deuxième enjeu découle du premier. Il faut éviter que les données de santé ne tombent entre de “mauvaises mains” et ne soient utilisées qu’à titre purement commercial. Les enjeux économiques derrière les données de santé sont connus. Il s’agit notamment des possibilités de réaliser des études, des essais cliniques. La sécurisation a donc également pour but d’éviter une commercialisation excessive et non encadrée des données de santé.

L’autre point, la différenciation des données de santé, amène à se placer sur le champ du droit. Aujourd’hui, il n’existe pas de définition légale des données de santé. Au final, si on regarde le Code de la santé publique, il n’est pas possible de faire de distinction en termes de données de santé. La notion de donnée de santé est interprétée de façon extrêmement large par la jurisprudence, et l’on peut considérer que dès lors que l’on développe un service de e-santé (application mobile par exemple), on est susceptible de rentrer dans le champ d’application juridique contraignant des données de santé. Par contre, il est vrai que plusieurs institutions commencent à faire des distinctions entre des données formelles et des données informelles. Cela mériterait d’être clarifié par le législateur.

D’autre part, l’e-santé est une avancée qui dépasse très largement nos frontières. L’internationalisation des solutions et des services est tout à la fois un avantage – chaque législation française ne s’applique pas toujours aux entreprises étrangères n’ayant pas d’établissement en France. Aujourd’hui, par exemple, un patient français peut utiliser une application mobile et voir ses données voyager facilement et donc dépendre d’autres législations, et ce même dans le cadre européen.

Actuellement, si l’on s’en tient à la législation européenne relative aux données personnelles en vigueur, je peux très bien, par exemple, être une entreprise polonaise et proposer un service de e-santé sur le territoire français et qui nécessite de recueillir des données de santé. Si je n’ai pas d’établissement en France, c’est la réglementation polonaise qui s’applique. Je n’aurai pas à avertir la CNIL française que je vais collecter des données de santé et je n’aurai pas d’obligation de stocker ces données auprès d’un hébergeur agrée.

Le statut d’hébergeur agréé de données de santé est une spécificité française. En quoi est-ce un « mieux » pour la protection des données ? Peut-on réellement dire que le niveau technique est suffisant ?

Le statut d’hébergeur agréé de données de santé est effectivement une spécificité française et oui c’est une avancée pour la protection des données de santé.

C’est un mieux car c’est indéniablement une protection technique supplémentaire. L’hébergeur doit respecter un certain référentiel mis en place par une agence d’état, l’ASIP Santé. Ce référentiel comprend de très nombreux critères qui exigent un certain niveau de protection, de conservation… car sécuriser les données de santé c’est les protéger dans tous les sens du terme.

Est-ce que techniquement le niveau de sécurisation est suffisant ? Dans l’absolu non, mais une sécurisation totale est impossible et il sera toujours possible à un hacker de trouver une faille.

Une spécificité de la loi française concerne les établissements de santé et les professionnels de santé, un médecin généraliste de ville notamment. Ceux-ci n’ont pas la nécessité de passer par un hébergeur agréé pour stocker les données de santé. Cela peut apparaitre comme un contresens au sein de la loi qui a créé les hébergeurs agréés de données de santé car on ne l’applique pas aux principaux hébergeurs.

En même temps, il faut faire attention à ne pas faire de surenchère vis-à-vis de la sécurisation des données de santé. Imposer des critères trop stricts peut être un frein à l’innovation, comme on le voit actuellement avec l’échec du DMP en France, et à la prise en charge du patient.

De plus, il ne faut pas oublier que les données de santé ont un potentiel commercial et économique énorme. En grand nombre, anonymisées, elles permettent, par exemple, de dresser des profils de populations à risque. Personnalisées, elles permettent à certains opérateurs économiques (assurance, banque…) de sélectionner leurs clients en limitant certains risques.

A quoi faut-il faire attention aujourd’hui vis-à-vis de ses données de santé lorsque l’on est un patient, un usager du système de santé ?

Concernant le système de santé au sens propre du terme, l’usager à peu de craintes à avoir concernant l’utilisation de ces données de santé. Certes, l’actualité a démontré que des dossiers patients pouvaient se retrouver sur Google, mais il s’agit de failles techniques, pas d’une volonté des acteurs du système de santé de commercialiser ces données ou d’en faire un mauvais usage.

Par contre, le raisonnement est différent quand on parle d’utilisation de services commerciaux type application mobile, site internet ou service de quantified self.

Tout d’abord je conseille de bien lire les conditions d’utilisation avant d’accepter d’acheter ou de se servir du produit. Ensuite, il est intéressant de se poser les questions suivantes, et encore plus quand le service est gratuit : “Quel est l’intérêt pour l’opérateur qui propose ce service de recueillir mes données de santé ? Ce recueil me procure-t-il un bénéfice en terme de soins, de prise en charge, de prévention… ?”.Il est à noter que les débats actuels au niveau européen permettront de clarifier la situation.

Mais ne préjugeons pas de l’issue de ceux-ci. Comme tout débat européen, il est l’objet de pression de la part des différents Etats. Certains sont pour une sécurisation forte, comme la France, d’autres pour une libéralisation vis-à-vis de l’usage des données de santé. Les enjeux économiques sont considérables. Certaines études estiment le marché des données personnelles sur le marché européen à plus de 1 000 milliards d’€ d’ici 2020, un chiffre qui laisse présager certaines pressions pour une libéralisation.

 

========
Yann Ferrari est chef de projet Affaires juridiques Platinnes / centre e-Santé de Toulouse