Version classiqueVersion mobile

Santé, numérique et droit-s

 | 
Isabelle Poirot-Mazères

La donne européenne

Santé, numérique, droit-s et Europe : interactions et conséquences

Michèle Thonnet

Texte intégral

1Le numérique : innovation et changements
Santé, numérique et droit (s) : les associations sont diverses, les confrontations actuelles et à venir multiples. Santé, protection sociale, bien-être, vie quotidienne : les intrusions et disruptions du numérique sont en tous domaines ici. Les métiers, les services, les relations, les modalités et procédures de décision sont en voie de transformation rapide, modifiant nos cadres de fonctionnement individuel, professionnel, sociétal et entraînant aussi des changements de valeurs. C’est un courant global que celui de la numérisation de la société.

2Du coup, le champ des bouleversements est plus large que celui-là même retenu pour ce colloque et suscite des réflexions à la fois centrées sur l’individu dans sa vie personnelle et sur l’humanité dans son destin collectif.

3Le numérique bouscule autant des thématiques en lien avec la souveraineté des Etats, la gouvernance des phénomènes mondialisés que la protection des droits de chacun. L’étendue des champs ainsi couverts tend à effacer ou à estomper les périmètres traditionnels, et impose de brasser des problématiques multisectorielles, multidisciplinaires autour d’objectifs divers. Un point est toutefois assuré dans cet environnement mouvant et parfois insaisissable : si les réflexions comme les cadres à fixer doivent l’être au niveau européen, dans un contexte international qui structure nos existences et dont il faut tenir compte, elles doivent rester à dimension humaine.

4Une autre difficulté émerge dans les débats en cours. Elle prend la forme d’un paradoxe qui traverse le recours au numérique, notamment en santé : les attentes y sont fortes, immédiates, parfois versatiles mais appelant toujours un développement effectif, qu’il s’agisse de traitement, de diagnostic ou de prise en charge. Mais dans le même temps, elles sont traversées de divergences d’approches et de tensions entre les revendications individuelles et les contraintes collectives, dans un entrelacs de niveaux d’analyse selon que l’on considère l’individu ou le citoyen, le professionnel ou l’autorité politique. A cet égard, il faut se garder de penser qu’avoir une vision globale avec des règles générales permettra forcément de dépasser les réticences et les frictions. En réalité, les attentes de chaque individu sont nombreuses et chacun pour lui s’interroge : pourquoi en santé, les technologies de l’information et de la communication comme l’IA ne sont-elles pas plus, mieux professionnalisées, plus intégrées dans les parcours de soins ? Les réponses sont d’autant plus difficiles à apporter que les réactions, les visions mêmes de la santé et des solutions à trouver, par exemple en matière de protection des données de santé ou de conduite des essais cliniques, sont différentes selon le point de vue de celui qui est en demande : malade ou personne en pleine santé, citoyen bien portant ou patient en attente de traitement, entourage en besoin de soutien…

5La complexité surgit ainsi de ces postures différenciées dans un monde lui-même mouvant et fortement évolutif.

6Conséquence de cela, on assiste à un éclatement des systèmes sociétaux, à l’avènement d’une société individuelle et fragmentée, phénomènes plus ou moins acceptés et compréhensibles.

7La fluidité des organisations et des systèmes permet une meilleure interpénétration mais engendre des questionnements sur la circulation notamment des informations et sur la maîtrise de leur devenir. Ainsi les Objets Connectés (OCs) et les applications recueillent des données personnelles sans que l’on sache souvent où elles vont, qui les traite et dans quelle finalité.

8L’émergence d’un patient acteur de sa santé, qui contrôle ses comportements et ses paramètres biologiques marque une avancée dans la responsabilisation et l’implication des personnes, dès lors toutefois qu’elles sont acceptées et intériorisées par lui. Mais que dire pour demain d’un consentement donné aujourd’hui ? Les nouveaux services personnalisés offerts par exemple par les mutuelles et assurances ou d’autres opérateurs privés à condition de leur faire remonter des informations personnelles, de façon non obligatoire mais ouvertement incitative, qui sont actuellement limités à des avantages et autres réductions, (Apple, Amazon, …) ouvrent ainsi la voie à une modulation de la protection et/ou des services en fonction de la conformité des comportements à des standards considérés comme « normaux ». Cette micro gestion personnelle de sa santé n’est finalement qu’un aspect de la personnalisation de la médecine, construite autour du patient et de ses caractéristiques.

9Au-delà, si la médecine individuelle est désirable par les promesses qui sont les siennes, à condition toutefois de ne pas verser dans le transhumanisme, elle pose aussi la question de la prédictibilité versus solidarité. Quelles incidences potentielles une telle médecine peut-elle avoir, si l’on y prête garde, sur les systèmes de santé, de soins et de remboursement ? Faut-il commencer à apprivoiser une nouvelle vision de la sécurité sociale ? Ces questions restent ouvertes, appelant la définition de règles précises pour préserver les droits des personnes à l’aune du numérique, dans l’espace qui est nécessairement désormais celui de l’Union européenne.

I – Le contexte : la protection de la santé à la mesure des compétences de l’Union

A – Santé et Droit européen : les données des Traités

101. Le numérique n’a pas par nature de frontières mais en contrepoint, il faut rappeler que la santé relève juridiquement des Etats membres. Il s’agit en effet d’une prérogative nationale, chacun en déterminant les grands axes et les politiques publiques afférentes. Les textes sont clairs et depuis le Traité de Rome où la protection de la santé n’apparaît qu’en filigrane, elle s’impose surtout, qu’il s’agisse d’organisation ou de financement, comme un domaine propre et revendiqué des Etats, un domaine sensible de souveraineté. Les interventions de l'UE consistent alors essentiellement à proposer une harmonisation, assurer une coopération entre les EM et ainsi garantir la coordination des politiques de santé. À ce niveau, il n'y a pas de compétence sanitaire spécifique.

11Progressivement, toutefois, s’est construit un corpus dédié à partir du Traité de Maastricht en 1992 (art 129) qui introduit un titre X « Santé publique » dans les textes fondateurs, et le Traité d'Amsterdam qui, à la suite des crises sanitaires des années 90s, a renforcé les compétences de l'UE en assignant à la Communauté un objectif d’« amélioration de la santé publique ». De fait, au sein d’un marché important dominé par les quatre libertés de circulation des biens, des capitaux, des services et des personnes, il est apparu nécessaire de donner à l’Union la possibilité non seulement d’influer sur les politiques nationales mais aussi concrètement d’améliorer les services de santé, d’abord limitrophes puis transfrontaliers.

12Dans cet esprit, le Traité de Lisbonne dans son article 168, Titre XIV « Santé publique », rappelle tout à la fois que l’action de l’UE reste bornée par les responsabilités des Etats membres en ce qui concerne la définition de leur politique de santé, l’organisation et la gestion des services de santé et de soins médicaux et les ressources qui leur sont affectées. Mais il souligne que son action complète aussi les politiques nationales sur certains sujets comme l'amélioration de la santé publique, la prévention des maladies et des affections humaines et des causes de danger pour la santé physique et mentale, la lutte contre les grands fléaux, l'information et l'éducation en matière de santé, ou la surveillance, l’alerte et la lutte concernant les menaces transfrontières graves sur la santé. De surcroît, au-delà de cette compétence de soutien et de complément des politiques des États, il y est aussi précisé que l'UE partage ses compétences avec les États « lorsque sont en cause les enjeux communs de sécurité en matière de santé publique » : se trouve de la sorte consacrée, au-delà des compétences de soutien, une « compétence partagée » pour faire face « aux enjeux communs de sécurité » qui autorise l’UE à prendre des mesures pour fixer des normes élevées de qualité et de sécurité des organes et substances d’origine humaine, du sang et dérivés du sang comme en matière de médicaments et dispositifs à usage médical, et lui permet d’intervenir dans le domaine vétérinaire et phytosanitaire.

132. Ainsi, qu’il s‘agisse de services de santé transfrontaliers ou de dispositifs connectés, les compétences de l’UE peuvent être mobilisées sur le numérique et ses outils. A cet égard, les débats en matière de e‑santé ont démarré il y a longtemps, se sont un peu structurés dès 2007 avec des coopérations intergouvernementales entre Etats réfléchissant sur des thèmes communs et sur les bonnes pratiques des uns et des autres. Le sujet a fait l’objet de discussions au sein du Conseil « Emploi, politique sociale, santé et consommateurs » (EPSCO) et en 2009, une conclusion a mis en exergue le fait que les travaux autour de la e‑santé, visant à des actions sécurisées, fiables et efficientes grâce à l’utilisation des (N)TIC, devaient être soutenus et financés par des programmes de recherche, de développement et d’innovation.

14A la suite, de nombreux textes ont été adoptés, premières traductions d’une volonté politique en ce sens. C’est ainsi que des expérimentations à large échelle ont fait notamment l’objet d’accords contractuels entre les Etats membres parties prenantes (passées de 6 à 27 entre 2008 et 2015) afin de tester la faisabilité d’échanges de données médicales au sein de l’UE. Deux services e‑santé ont pu ainsi être testés : l’échange de résumés de dossier patient et de prescriptions électroniques.

B – (e)Santé et Europe : un domaine complexe et mal délimité

  • 1 Nathalie De Grove-Valdeyron (2011), « La directive relative aux droits des patients en matière de (...)

15L’un des textes les plus porteurs du sens des politiques européennes en santé est certainement la directive 2011/24/UE relative à l’application des droits des patients en matière de soins de santé transfrontaliers, dite directive ‘mobilité’/ droits des patients, qui vise à « garantir la mobilité des patients et la libre prestation de services de santé ». Elle pose les conditions dans lesquelles un citoyen/patient voyageant dans un autre pays de l’UE que le sien, peut y recevoir des soins et obtenir un remboursement. Elle porte sur les coûts des soins de santé, les prescriptions, la fourniture de médicaments et les dispositifs médicaux1. L’objectif est de donner aux citoyens de l’UE le droit de bénéficier de soins de santé dans n’importe quel pays de l’UE et d’être remboursés par leur pays d’origine pour des soins dispensés à l’étranger. C’est dans ce texte qu’est évoqué pour la première fois le droit de l’e‑santé, de la santé en ligne, incluant la santé mobile et que sont également formulés les questionnements sur la télémédecine. La définition des « soins de santé » par la directive est à cet égard intéressante par l’étendue qu’elle entend couvrir : il s’agit des « services de santé fournis par des professionnels de la santé aux patients pour évaluer, maintenir ou rétablir leur état de santé, y compris la prescription, la délivrance et la fourniture de médicaments et de dispositifs médicaux » (article 3).

16C’est alors bien une première ouverture subreptice aux compétences de l’UE en santé qui sera confirmée par les chapitres définissant d’une part les responsabilités respectives et d’autre part le champ concerné. En matière de responsabilités sont précisés les rôles et devoirs respectifs de l’Etat Membre d’affiliation et de celui de traitement ainsi que les principes généraux applicables au remboursement des coûts des soins de santé transfrontaliers (régime d’autorisation préalable uniquement nécessaire et proportionné) et aux procédures administratives correspondantes. S’agissant du champ couvert, le directive précise que les Etats membres se prêtent assistance mutuelle et coopèrent en matière de qualité, de sécurité et par l’échange d’informations.

17Le principe de la reconnaissance mutuelle des prescriptions est établi, comme est prévue la création de réseaux européens de référence entre prestataires de soins de santé et centres d’expertise dans les Etats Membres, en particulier pour les maladies rares.

  • 2 Recouvre l’ensemble des domaines où les technologies de l’information et de la communication (TIC (...)

18Dans la foulée, afin de pouvoir mettre en œuvre ces principes et de partager les données via des échanges électroniques a été mis en place le Réseau santé en ligne (eHealth Network)2, réseau volontaire d'autorités nationales responsables de la santé en ligne, créé en application de la directive européenne sur les soins de santé transfrontaliers. Les objectifs de départ de ce réseau européen en e‑santé semblaient assez modestes et consistaient à soutenir et faciliter l’échange d’informations entre les Etats Membres en œuvrant à la mise en place de systèmes et de services européens en ligne interopérables de manière à « atteindre un niveau élevé de confiance et de sécurité, à renforcer la continuité des soins et à garantir l’accès à des soins de santé de qualité élevée et sûrs ». C’est ainsi qu’il lui a été demandé d’élaborer des lignes directrices dans le domaine de la santé en ligne, de renforcer la coopération entre les systèmes électroniques de santé et donc de contribuer à améliorer la continuité des soins. Cette création a ainsi eu des répercussions importantes sur la manière dont pouvait être décliné au plan local, régional, ou national tout un ensemble de dispositifs permettant de faciliter l’accès aux soins et la coordination des soins transfrontaliers et ce, par la simplification et la fluidification de la circulation et de l’échange de données dématérialisées, notamment de santé.

19C’est ainsi que le réseau santé en ligne, en s’appuyant sur des comités et groupes de travail collaboratifs composés de représentants de chacun des Etats Membres, a d’abord concentré ses travaux sur un cadre commun européen d’interopérabilité (European Interoperability Framework) s’appuyant sur des normes et standards de fait et privilégiant la sécurisation des données. Afin de faciliter la mise en place des échanges, un modèle en « couches » (LOST : aspects Légaux, Organisationnels, Sémantiques et Techniques) a été conçu et adopté par le Réseau de manière à masquer la complexité du dispositif et à faciliter son évolution à l’heure des progrès cliniques et technologiques rapides et des nombreux changements réglementaires et organisationnels.

II – La construction progressive d’un cadre juridique européen de la e‑santé

A – Des éléments à prendre en considération

1) L’articulation des compétences

20L’importance de la numérisation et son caractère inéluctable sinon indispensable pose néanmoins la question de l’articulation du droit de l’Union Européenne (qui détient des compétences notamment dans les domaines de la protection des consommateurs, en matière de recherche-développement, mais aussi dans le domaine de l’innovation et des nouvelles technologies) et de celui émergent du droit numérique de la santé prenant appui sur l’existence de défis communs des Etats à propos desquels une mutualisation des efforts est à rechercher.

21Par ailleurs, la Santé est actuellement présentée comme l’une des priorités du marché unique (européen) numérique (Digital Single Market) alors même que l’organisation et la fourniture de services de santé et de soins médicaux donc les systèmes de santé, demeurent des prérogatives nationales, la santé n’étant pas en tant que telle partie prenante du TFUE (hors l’article 168 consacrant le niveau élevé de protection de la santé publique).

22Cette évolution ainsi donne de nouvelles compétences à l’UE sur tout ce qui peut être considéré comme une prestation de e‑santé, à partir d’une définition très large qui va permettre à la Commission de proposer et d’essayer de mettre en place une vision d’un marché intérieur des soins de santé basée sur les quatre libertés de circulation notamment celle des biens et produits et celle des personnes en tant que patients, professionnels ou industriels. Bien plus encore, aujourd’hui, le « plan Junker », plan d'investissement pour l'Europe, formule dix priorités et définit un marché unique numérique dont l’un des axes est également la santé quand bien même que celle-ci ne relève pas principalement des compétences de l’UE.

23C’est là l’une des réactions aux réponses de la société civile, qui lors d’une consultation publique de la Commission Européenne sur les priorités du futur marché numérique européen, a mis en avant l’importance du secteur de la santé et plus particulièrement les diverses attentes des citoyens en matière de santé en ligne, de télémédecine ainsi que des questionnements autour des applications de santé mobile et des objets connectés.

2) Un cadre européen en pleine évolution qui touche tous les secteurs et dont la dimension numérique s’affirme de plus en plus

24En particulier l’avènement du numérique permet de prétendre à mettre à jour, simplifier ou même proposer de nouveaux textes européens autour des normes et standards, méthodes, cadres communs d’évaluation, de validation, d’application, de réutilisation.

25Plus largement, ce nouveau corpus juridique prévoit dans de nombreux cas des actes d’implémentation ou d’exécution nécessaires à sa mise en application (permettant par exemple la définition commune d’attributs ou de critères d’évaluation, de sécurité, de conformité) sous la responsabilité de la Commission européenne, les représentants volontaires des Etats membres ne disposant que d’un avis consultatif).

26Enfin, l’influence des normes européennes s’impose de plus en plus, sur tout secteur (économique ou non). Aujourd’hui le nombre de textes de l’UE est inflationniste en ces matières, débordant hors du cadre strict de la santé sur le domaine du social et plus globalement sur de multiples domaines de nature à concerner plus ou moins directement la santé. On assiste ainsi à une prolifération de textes « horizontaux » susceptibles d’intéresser le système de soins et à la montée en puissance d’un cadre juridique « transverse » impactant la Santé.

B – De quelques de textes « transverses » impactant le secteur de la santé

27Il en est ainsi des textes suivants :

  • 3 Directive 2013/55/UE du Parlement européen et du Conseil du 20 novembre 2013 modifiant la directiv (...)

28• La Directive (UE) 2013/55 du Parlement européen et du Conseil, du 20 novembre 12013, dite « Qualifications professionnelles »3 :

29Cette directive intersectorielle a pour ambition d’intégrer l’évolution et la transformation des métiers ainsi que de permettre une comparabilité des qualifications professionnelles, prélude à leur reconnaissance européenne, facilitant ainsi la mobilité des professionnels au sein de l’Union. Pour celui de la santé, ces dispositions conduisent d’abord à connaître la durée et le contenu de la formation, l’éventail des missions dévolues à un médecin, à tel professionnel de santé dans chacun des pays de l’UE, les fonctions et activités couvertes, le niveau de responsabilité afférent. Il s’agit aussi de préciser les conditions de reconnaissance des compétences et diplômes délivrés et du droit à l’exercice correspondant afin d’envisager leur comparabilité et ainsi de gérer des équivalences permettant l’établissement dans un autre pays de l’Union sous réserve d’adoption de critères communs (cf paragraphe infra). 

  • 4 Ex : Si une infirmière a dans son pays (B) le droit de réaliser une prescription médicamenteuse, u (...)

30C’est ainsi par exemple que les missions et compétences attachées et reconnues pour tel professionnel de santé dans son pays d’exercice doivent être connues et reconnues comme telles dans un autre pays de l’Union, sans toutefois qu’aujourd’hui il n’y ait harmonisation. S’agissant de prescriptions ou de la délivrance d’actes dans le pays de traitement, les rôles et responsabilités respectives doivent être précisés afin que les soins prodigués au patient hors son pays d’affiliation le soient sans entrave tant sur le plan clinique qu’organisationnel ou financier4.

  • 5 Règlement du 23 juillet 2014 sur l’identification électronique et les services de confiance pour l (...)

31• Le règlement (UE) 2014/910, du Parlement européen et du Conseil dit ‘eIDAS’, relatif à la signature et l’identification électroniques et aux services de confiance5 :

32Ce règlement trans-sectoriel, qui remplace l’ancienne directive sur la signature électronique s’intéresse aux moyens d’identification électronique des personnes physiques et morales afin de simplifier leur reconnaissance mutuelle en en fixant les conditions. Il permet ainsi d’augmenter la confiance à leur accorder au sein de l’Union et reconnait également différents niveaux de signature électronique en fonction du niveau de sécurisation des transactions à réaliser. Ce texte, intersectoriel par essence, ne s’intéresse pas au rôle de la personne considérée. Pour le secteur de la santé, il convient donc de le compléter afin de pouvoir par exemple spécifier si la personne physique identifiée dans un échange électronique particulier à l'instant t, y figure en tant que patient ou en tant que professionnel de santé. Cette fonction d’identification/authentification fine doit s’articuler avec le règlement eIDAS. Ces fonctionnalités et contraintes devront donc être intégrées par les applications et systèmes d’information du secteur de la santé. En effet patient, professionnel de santé, établissement hospitalier, aidant, ne seront donc plus identifiés à partir des seuls standards ou procédures du secteur de la santé mais devront être conformes au règlement eIDAS.

  • 6 Règlement 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection de (...)

33• Le règlement général pour la protection des données à caractère personnel 6, RGPD ou ‘GRDP’ (UE) 2016/679, est entré en vigueur le 25 mai 2018. Plus de quatre ans de négociations ont présidé à l’adoption de ce texte, des questions politiques s’ajoutant à des aspects juridiques et techniques de taille, comme en ont témoigné les quatre mille et quelques amendements déposés lors des discussions au Parlement.

34Avec l’avènement des technologies nouvelles, le cadre existant (la directive 95/46/CE) s’avérait inadapté au regard de l’évolution de la collecte, du traitement, du stockage et de l’usage des données personnelles. Ce nouveau règlement vise à renforcer la protection des données à caractère personnel par la mise en place d’un cadre européen rénové, plus strict et unifié, garantissant un niveau élevé de protection.

35Le règlement poursuit plusieurs objectifs : (i) renforcer le droit des personnes (notamment par la réaffirmation de droits déjà existants mais également de par la création d’un droit à la portabilité et d’un droit à l’oubli) ; (ii) responsabiliser les acteurs traitant les données (responsable des traitements et sous-traitants) qui devront être en mesure d’assurer une protection appropriée des données dès la conception et par défaut ainsi que de démontrer leur conformité au règlement ; (iii) crédibiliser la régulation grâce à une coopération renforcée entre les autorités de protection des données (contrôles plus réguliers et sanctions alourdies).

36Le règlement renverse la charge de la preuve par rapport à la Directive de 1995, qui reposait sur des formalités préalables (déclaration ou autorisation). Il s’inscrit dans une logique de responsabilisation des acteurs qui doivent mettre en place des ressources, mécanismes et moyens (désignation d’un responsable de traitement, tenue d’un registre de traitements, mise en œuvre d’une analyse d’impacts, maintien à jour de documentation, obligation de notification en cas de failles de sécurité, de violation de données…) afin de pouvoir justifier que les actions réalisées sur les données sont et demeurent au fil du temps conformes au règlement. Les démarches administratives ont donc été simplifiées. Encore faut-il néanmoins a posteriori que les autorités, dont le métier va largement évoluer, disposent de ressources, de compétences et de moyens dédiés qui n’existent toutefois pas encore avec l’ampleur nécessaire. Afin de faciliter la mise en application du RGPD, les acteurs de la chaîne de traitement des données sont encouragés à utiliser des outils tels des mécanismes de certification, labellisation ou agrément voire d’adhérer à des codes de conduite reconnus et validés.

  • 7 Le législateur subordonne tout usage non strictement intime de données à caractère personnel à l’e (...)

37S’agissant du secteur de la santé, les données à caractère personnel qui s’y rattachent sont des données dites « sensibles » ce qui entraîne des obligations renforcées au regard de leur collecte et de leur traitement, qui ne peuvent être autorisés que dans le cadre d’exceptions7 répertoriées de façon exhaustive dans le règlement. Dans ce cadre, les études d’impact sur la vie privée par exemple deviennent obligatoires pour tout traitement à risque de données sensibles (telles que les données de santé).

  • 8 Art 4 §15 : « données concernant la santé », les données à caractère personnel relatives à la sant (...)

38Plus généralement la définition retenue dans le règlement pour les données concernant la santé est très large8. Le RGPD a un impact très important sur la « e‑santé » qui consiste justement à échanger des données sous forme dématérialisée. C’est la raison de ce développement préalable sur un texte de portée importante dont l’application complète prendra sans doute un peu de temps.

39C’est ainsi qu’en France, la CNIL, afin d’aider les organismes à se mettre en conformité, publie des guides et outils afin de simplifier et d’harmoniser les démarches nécessaires, en parallèle de la nécessaire mise à jour de notre loi Informatique et libertés qui avait à l’origine inspiré les rédacteurs du texte du règlement afin d’en respecter toutes les dispositions. S’agissant de ce « toilettage » de la loi afin de la mettre en conformité avec le RGPD, le premier semestre 2018 devrait voir son adoption par le Parlement, afin de donner une visibilité à l’ensemble des acteurs avant la date d’application du règlement.

  • 9 Directive (UE) 2016/1148 du Parlement européen et du Conseil du 6 juillet 2016 concernant des mesu (...)

40• La directive (UE) 2016/1148 du Parlement européen et du Conseil promulguée le 6 juillet 2016 dite directive « Network and Information Security », ou Directive ‘NIS’9, doit être transposée en droit français le 9 mai 2018 au plus tard. Elle a pour objet d’assurer un niveau élevé commun de sécurité des réseaux et des systèmes d’information dans l’Union européenne.

  • 10 Service numérique : « tout service fourni à distance, contre rémunération ».

41Si le RGPD est présent dans tous les esprits aujourd’hui, il n’en est pas de même pour la directive NIS qui a pourtant un rôle important à jouer avec le renforcement des capacités nationales de cybersécurité et l’établissement d’un cadre formel, mais volontaire, de coopération entre les Etats membres portant sur les aspects politiques et opérationnels de celle-ci. La définition au niveau national de règles de cybersécurité auxquels devront notamment se conformer les « opérateurs de services essentiels » (OSE) créés par la directive, avec obligation pour ceux-ci de notifier les incidents ayant un impact sur la continuité des services essentiels au maintien de l’activité économique et sociétale des pays européens, ainsi que l’instauration de règles européennes communes en matière de cybersécurité des fournisseurs /prestataires de services numériques10 (FSN) dans le domaine constituent le socle d’un dispositif visant à augmenter le niveau de confiance des échanges dématérialisés au sein de l’UE et à faciliter la mise en œuvre du RGPD. L’on pressent ainsi que l’analyse de risques mise en place par le RGDP va pouvoir s’enrichir d’éléments complémentaires afin de répondre à la directive NIS mais que les impacts organisationnels et financiers ne doivent pas être sous-estimés (notamment pour les établissements de santé par exemple).

42La France a adopté la directive NIS sans modifications par rapport au texte initial. En effet la directive était inspirée de la loi de programmation militaire française (2013). En France, l’ANSSI, l’agence nationale de la sécurité des systèmes d’information, est responsable de cette transposition. Le projet de loi français « portant diverses dispositions d’adaptation au droit de l’Union européenne dans le domaine de la sécurité » a été déposé au Sénat le 22 novembre 2017.

43• Enfin, si les sanctions prévues pour le RGPD et la directive NIS devraient entrer en vigueur sensiblement à la même période, d’autres règlementations sectorielles vont devoir être appliquées. En effet chaque secteur d’activité doit répondre d’obligations spécifiques. C’est en particulier le cas pour le secteur de la santé.

44Parmi ceux-ci on peut citer la Communication de la Commission européenne relative à la télémédecine, le second plan d’actions en e‑santé (2014-2020), le programme d’actions triennal (2018-2021) en e‑santé ou encore le règlement récent sur les dispositifs médicaux applicable à certains objets connectés et applications de santé mobile.

III – Perspectives 

A – Des constats pour une construction en cours

45Comme l’on a pu l’entrevoir, le cadre européen récent est complexe, transverse, pas toujours aligné avec les caractéristiques et textes sectoriels et de surcroît tout juste en cours de mise en place, ce qui accroît les difficultés. S’agissant notamment du RGPD et des services numériques sus mentionnés, une partie des dispositions n’est pas encore mise en œuvre. Les textes sont publiés mais n’entreront en vigueur pour certains des plus récents qu’en 2018. Cette proximité temporelle explique que nous n’ayons sur leur application aucun recul et que peu d’outils au-delà des premiers « guides génériques » ne puissent être disponibles.

46A ce stade où même les interprétations sont en cours d’analyses croisées, seuls des constats font l’objet d’un consensus.

47C’est ainsi que les Etats membres, tout en saluant l’importance d’une coopération accrue et d’une simplification des échanges électroniques garantissant un haut niveau de qualité et de sécurité, regrettent l’étroitesse de leur marge de manœuvre s’agissant de dispositions contraignantes et à fort impact organisationnel, technique et financier au niveau national, y compris dans des secteurs, tels la santé où la subsidiarité est indispensable et en principe garantie par les textes. A présent l’on voit que l’emprise de l’Europe s’étend de plus en plus au travers de la mise en place d’un marché numérique européen dans des secteurs jusque-là exclus du TFUE.

  • 11 Cette cadence se poursuit au même rythme avec notamment les propositions de nouveaux règlements te (...)

48C'est ainsi que le nombre et la rapidité de promulgation de textes européens transversaux impactant à des degrés divers l’ensemble des politiques, liés à des calendriers de mise en application très (trop ?) rapprochés11, n’ont pas laissé le temps pour une analyse d’impact globale raisonnée ni même dans certains cas à une analyse sectorielle d’ensemble. Il n’est donc pas exclu que, même si juridiquement les textes ont fait l’objet de concertations et de compromis nombreux, leur mise en application soulève plus de problèmes qu’escomptés.

B – Des mécanismes à repenser

49Si ce diagnostic est partagé par les Etats membres, ceux-ci essayent de s’organiser afin de mettre en commun leurs efforts en allant au-delà de la coopération intergouvernementale classique. Afin d’influer sinon anticiper la production inflationniste de textes, ou du moins les conséquences opérationnelles qui en découleront, se sont instaurés depuis quelques années des mécanismes de co‑construction permettant la mutualisation de solutions allant de la conception de cadres de référence communs au partage de composants de base logicielles réutilisables par chaque pays, en passant par la publication de critères permettant la labellisation ou la certification de dispositifs numériques en santé.

50Cette co‑construction, qui facilite une mise en application homogène plus rapide, peut être dans certains cas facilitée par la Commission Européenne au travers de dispositifs d’incitation trans-sectoriels visant à améliorer les services numériques européens tel le CEF (Connecting Europe Facility ou MIE : mécanisme pour l’interconnexion en Europe).

51L’une des premières déclinaisons de celui-ci l’a été dans le secteur de l’e‑santé où de nombreux pays collaborent au travers du comité européen en e‑santé (eHealth Network) mis en place dès 2012 sous l'égide de la directive sur les droits du patient en matière de soins transfrontaliers comme mentionné précédemment. C’est ainsi qu’ont été instaurés une gouvernance collégiale adaptée, un mécanisme de co‑construction d’un cadre global d’interopérabilité et de sécurité ainsi que la mise en place d’un point de contact national par pays garantissant la qualité, la sécurité et la confidentialité des échanges dématérialisés de données personnelles. Ces derniers sont illustrés au travers de premiers services numériques tels que l’échange de résumé de dossier patient et la reconnaissance de prescription électronique, suivis par la mise en place de réseaux européens de référence permettant le partage de connaissances et la conception de registres cliniques nationaux de structuration comparables en Europe.

52En conclusion et en guise d’ouverture : des premiers « chantiers » parcellaires

53Le Droit du numérique en santé ou de la santé numérique se construit pas à pas, en lien avec tous les acteurs, publics et privés, et toutes les organisations institutionnelles des Etats membres, et ses premières traductions commencent à être mises en place. L’enjeu actuel est en pratique d’accompagner et simplifier la mise en place de services de santé pérennes et de fluidifier les échanges de données personnelles au sein de l’UE en prenant en compte la mobilité des acteurs et l’utilisation de nouveaux outils nomades (mHealth), tout en garantissant qualité, sécurité, fiabilité, performance de ceux-ci et leur pérennité économique.

54Mais au-delà de la mise en avant des atouts du numérique, il convient -particulièrement dans le secteur de la santé- de demeurer vigilant quant aux droits des personnes et plus précisément à la réalité opérationnelle du renforcement de ces droits promis par les textes récents. En effet ces nouveaux services numériques doivent être d’abord mis en œuvre pour le bénéfice des citoyens et des patients. La place de plus en plus prégnante du numérique et la position dominante de certains acteurs internationaux doivent nous inciter encore plus que précédemment à ne pas perdre de vue les risques inhérents à la multiplication d’échanges de données personnelles et à l’utilisation d’algorithmes de traitement non publiés (voire non maîtrisés) particulièrement dans le secteur de la santé où les premiers intéressés aux échanges (les malades) sont en position de faiblesse.

55Si le dispositif juridique européen contribue à contingenter ces risques et accroître la transparence, le devoir de chacun à tous niveaux consiste à rester vigilant quant à son déploiement à grande échelle et à la rigueur de sa mise en application.

Notes

1 Nathalie De Grove-Valdeyron (2011), « La directive relative aux droits des patients en matière de soins de santé transfrontaliers : Véritable statut juridique européen du patient ou simple clarification d'un régime de mobilité ? », Revue trimestrielle de droit européen (RTDE), 2 (2). p. 299-327.

2 Recouvre l’ensemble des domaines où les technologies de l’information et de la communication (TIC ou ICT) sont mises au service et vise à améliorer les activités du secteur de la santé .

3 Directive 2013/55/UE du Parlement européen et du Conseil du 20 novembre 2013 modifiant la directive 2005/36/CE relative à la reconnaissance des qualifications professionnelles et le règlement (UE) n° 1024/2012 concernant la coopération administrative par l’intermédiaire du système d’information du marché intérieur, JOUE, 28 décembre 2013, L 354/132.

4 Ex : Si une infirmière a dans son pays (B) le droit de réaliser une prescription médicamenteuse, un patient en mobilité dans le pays B doit pouvoir se voir délivrer et rembourser (le cas échéant) les médicaments prescrits de retour dans son pays d’origine (A), quand bien même dans celui-ci le corps des infirmières ne dispose pas de ce droit.

5 Règlement du 23 juillet 2014 sur l’identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur et abrogeant la directive 1999/93/CE, JOUE 28 août 2014, L 257/73.

6 Règlement 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), JOUE 4 mais 2016, L 119/1. « Le présent règlement s'applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu'au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier. ».

7 Le législateur subordonne tout usage non strictement intime de données à caractère personnel à l’existence d’une finalité considérée comme légitime par celui-ci. A défaut, le traitement est illicite :

Art 9 du RGPD : Traitement portant sur des catégories particulières de données à caractère personnel : « …le traitement des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique sont interdits. ».

8 Art 4 §15 : « données concernant la santé », les données à caractère personnel relatives à la santé physique ou mentale d'une personne physique, y compris la prestation de services de soins de santé, qui révèlent des informations sur l'état de santé de cette personne.

9 Directive (UE) 2016/1148 du Parlement européen et du Conseil du 6 juillet 2016 concernant des mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et des systèmes d'information dans l'Union, JOUE 19 juillet 2016, L 194/1.

10 Service numérique : « tout service fourni à distance, contre rémunération ».

11 Cette cadence se poursuit au même rythme avec notamment les propositions de nouveaux règlements tels que :

REG… on free flow of non personal data (pour compléter le cadre juridique sur les données non personnelles).

REG… on e-Privacy (visant à « assurer un niveau élevé de protection des données issues des communications électroniques, telles celles en provenance des terminaux collectées par les fournisseurs de services et de logiciels (cookies) permettant de telles communications ».

Auteur

Membre du réseau européen e‑santé, Chair "global positioning & coopération" TF, e‑Santé Europe et International

© Presses de l’Université Toulouse 1 Capitole, 2018

Conditions d’utilisation : http://www.openedition.org/6540

Rechercher dans OpenEdition Search

Vous allez être redirigé vers OpenEdition Search