Version classiqueVersion mobile

Santé, numérique et droit-s

 | 
Isabelle Poirot-Mazères

L'impact du numérique sur le système de soins

Le cadre juridique du traitement des données de santé1

Fabrice Mattatia

Texte intégral

  • 1 Voir : F. Mattatia, Le droit des données personnelles, Eyrolles, 2e édition, 2016 (nouvelle éditio (...)

1Du fait de la sensibilité des données de santé, leur traitement informatisé est particulièrement encadré par le droit. En effet, les données de santé constituent des données à caractère personnel, et même des données dites « sensibles ». Elles relèvent donc à ce titre des dispositions concernant les données personnelles, harmonisées au niveau européen (I). A ce premier cadre s’ajoutent des dispositions spécifiques, justifiées par le caractère médical des données de santé, qui impose des contraintes particulières de fiabilité, de disponibilité et de sécurité, afin de garantir notamment la continuité des soins. La France a donc mis en place un régime spécial pour l’hébergement de ces données (II). On peut souligner à cette occasion à quel point le droit est évolutif et s’adapte aux évolutions technologiques, puisque, aussi bien pour les données personnelles que pour l’hébergement, le cadre juridique connaît une rupture majeure entre 2017 et 2018.

I – Le cadre général des données personnelles

2Le traitement des données à caractère personnel, qu’il s’agisse de leur collecte, de leur transmission, de leur utilisation ou de leur stockage, est encadré en France par la loi 78-17 « Informatique et Libertés » du 6 janvier 1978 modifiée. Au niveau européen, ce cadre est harmonisé par la directive 95/46/CE de 1995, abrogée et remplacée à partir du 25 mai 2018 par le règlement européen 2016/679 du 27 avril 2016 (Règlement général sur la protection des données ou RGPD).

3Jusqu’au 25 mai 2018, les données personnelles doivent être traitées selon les dispositions de la loi Informatique et Libertés, dans sa rédaction issue notamment des modifications de 2004 (pour la transposition de la directive de 1995) et de 2016 (loi 2016-1321 pour une République numérique). Après cette date, par primauté du droit européen d’application directe, c’est le RGPD qui s’applique fondamentalement ; toutefois il demeure une loi Informatique et Libertés modifiée, dont les dispositions complètent le RGPD.

A – Grands principes

1) Définitions

  • 2 Art. 2 de la loi Informatique et Libertés dans sa rédactio (...)

4Par définition, constitue une donnée personnelle toute donnée relative à une personne physique identifiée ou identifiable, directement ou indirectement2. L’identification indirecte peut par exemple consister dans le recours à un pseudonyme ou à un numéro de dossier, du moment qu’il existe toujours un moyen, quelque long et tortueux qu’il soit, de remonter à l’identité de la personne concernée. En fait, seule l’anonymisation non réversible, c'est-à-dire l’impossibilité définitive de retrouver l’identité de la personne concernée, fait perdre à la donnée son caractère personnel. On constate ainsi que toutes les données de santé entrent dans cette catégorie, tant qu’elles se rapportent, directement ou indirectement, à un patient. Seules les données de santé définitivement anonymisées ou les données de santé statistiques (concernant donc un grand nombre de personnes indiscernables) échappent à la loi Informatique et Libertés.

5La loi définit par ailleurs le traitement comme toute opération portant sur les données, notamment la collecte, l’enregistrement, la conservation, la modification, la consultation, la transmission ou l’effacement…

  • 3 Art. 8 de la loi Informatique et Libertés dans sa rédactio (...)

6En outre, les données de santé font partie des données personnelles que la loi considère comme sensibles, et auxquelles un régime de protection encore plus drastique est appliqué. Ainsi, tout traitement automatisé de ces données est par défaut interdit3. Bien évidemment, des exceptions à cette interdiction sont prévues, notamment en cas de consentement de la personne concernée, pour la sauvegarde des intérêts vitaux de cette personne ou d’une autre personne physique, ou pour les traitements nécessaires aux fins de la médecine préventive, des diagnostics médicaux, de l'administration de soins ou de traitements, ou de la gestion de services de santé et mis en œuvre par un membre d'une profession de santé.

2) Principes de base

7La protection des données personnelles repose depuis les années 1970 sur un certain nombre de grands principes :

  • La loyauté de la collecte et l’information des personnes concernées ;
  • La détermination de la finalité du traitement, et la proportionnalité de la collecte par rapport à cette finalité (on ne collecte pas des données sans justification « au cas où ») ;
  • Des droits d’accès, de rectification et d’opposition pour les personnes concernées ;
  • La sécurité des données, ce qui inclut la limitation des personnes y ayant accès ;
  • La limitation de la durée de conservation des données, en fonction de la finalité du traitement et des obligations légales ;
  • La libre circulation des données dans l’Union européenne, où leur protection est harmonisée, et l’interdiction du transfert des données vers des pays n’assurant pas une protection équivalente.

8Ces principes sont repris dans le RGPD.

3) Droits des personnes concernées

9De manière générale, les personnes concernées jouissent de plusieurs droits :

  • Droit à l’information sur le traitement, l’identité de son responsable, la nature des données collectées, leur durée de conservation, leur éventuel transfert hors de l’Union européenne…

  • Droit d’accès aux données collectées ;

  • Droit de rectification ou de mise à jour des données erronées ou périmées ;

  • Droit d’effacement des données inexactes ou périmées ;

    • 4 Art. 38 à 40 de la loi Informatique et Libertés dans s (...)

    Droit d’opposition au traitement, mais uniquement pour motif légitime (sauf cas des traitements de prospection, notamment commerciale, pour lesquels ce droit est absolu).4

B – Mise en œuvre

1) Formalités

a) Formalités anciennes

  • 5 Art. 6-II-8° et 23 de la loi Informatique et Libertés (...)

10La loi Informatique et Libertés prévoyait traditionnellement un régime de formalités préalables. De manière générale, les traitements nécessaires aux fins de la médecine préventive, des diagnostics médicaux, de l'administration de soins ou de traitements, ou de la gestion de services de santé et mis en œuvre par un membre d'une profession de santé, étaient soumis à une déclaration préalable auprès de la Commission nationale de l’informatique et des libertés (CNIL)5. Plusieurs cas particuliers bénéficiaient d’un régime simplifié, et notamment :

    • 6 Gestion administrative et médicale des patients, é (...)

    La gestion informatisée courante d’un cabinet médical ou paramédical (norme simplifiée NS‑050) 6 ;

    • 7 Délivrance des produits pharmaceutiques (dispensat (...)

    La gestion informatisée de la pharmacie et l’analyse statistique de ses ventes (NS‑052)7 ;

    • 8 Gestion du dossier des patients, transmission des (...)

    La gestion informatisée d’un laboratoire d’analyse de biologie médicale, à l’exclusion de certains laboratoires spécialisés et des laboratoires d’anatomo-cyto-pathologie (NS‑053)8 ;

    • 9 Gestion de clientèle, édition des feuilles de soin (...)

    La gestion de l'activité professionnelle des opticiens-lunetiers (NS‑054)9 ;

  • Les traitements ayant pour finalité le dépistage organisé du cancer du sein, du cancer colorectal et du cancer du col de l'utérus (NS‑059).

  • 10 Art. 8 IV de la loi Informatique et Libertés dans sa r (...)

11Les traitements de données de santé justifiés par l’intérêt public pouvaient relever de deux régimes différents10 :

  • 11 Art. 25 I 1° de la loi Informatique et Libertés dans s (...)

12– Soit une demande d’autorisation à la CNIL11. Des autorisations uniques (AU) ont été publiées par la CNIL pour certains traitements :

  • Le recueil et la gestion de données de santé dans le cadre de la pharmacovigilance par les entreprises ou organismes exploitants de médicaments (autorisation unique AU‑013) ;
  • La messagerie sécurisée entre professionnels et établissements de santé (AU‑037) ;
  • Le suivi social et médico-social des personnes handicapées et des personnes âgées (AU‑047) ;
  • 12 Art. 22 V de la loi Informatique et Libertés dans sa r (...)

13– Soit une simple déclaration à la CNIL, dans le cas particulier des traitements de données de santé mis en œuvre par les organismes ou les services chargés d'une mission de service public figurant sur une liste fixée par arrêté afin de répondre, en cas de situation d'urgence, à une alerte sanitaire12.

  • 13 Art. 27 I 1° de la loi Informatique et Libertés dans s (...)
  • 14 Art. 25 I 6° de la loi Informatique et Libertés dans s (...)

14Les traitements comportant le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques (« numéro de sécurité sociale ») faisaient l’objet d’une autorisation par décret en Conseil d’Etat pour les services publics13, et d’une demande d’autorisation à la CNIL dans les autres cas14. Ont ainsi été autorisés :

  • Le dépistage de la rétinopathie diabétique (décret n° 2014-1523, acte réglementaire unique ARU-039) ;
  • L'ouverture et le suivi des droits des bénéficiaires de l'assurance maladie et le versement des prestations (décret n° 2015-390, ARU-040) ;
  • La gestion des accidents du travail et des maladies professionnelles par les organismes d’assurance maladie obligatoire (décret n° 2015-393, ARU-041) ;
  • Les services médicaux des organismes d’assurance maladie obligatoire (décret n° 2015-391, ARU-042) ;
  • La lutte contre la fraude dans les organismes d’assurance maladie obligatoire (décret n° 2015-389, ARU-044) ;
  • Les expérimentations de télémédecine (décret n° 2015-1263, ARU-045) ;

15Les traitements de télémédecine relèvent du 1° du I de l’article 25.

b) Formalités nouvelles

  • 15 Art. 35(3) du RGPD.
  • 16 Art. 36 du RGPD.
  • 17 Art. 53 à 61 de la loi Informatique et Libertés da (...)
  • 18 Délibération n° 2016-262 du 21 juillet 2016 portan (...)
  • 19 Art. 89 du RGPD.

16A partir de mai 2018, le RGPD remplace les formalités préalables par une obligation de documentation interne à l’organisme responsable du traitement (principe dit d’accountability). Chaque responsable de traitement devra recenser l’ensemble de ses traitements et être en mesure d’en présenter à la CNIL la cartographie ainsi que les mesures adoptées pour assurer la conformité au RGPD. Pour ce faire, il pourra utilement s’inspirer des normes simplifiées et des actes réglementaires listés ci-dessus.
Toutefois pour les traitements susceptibles d'engendrer un risque élevé pour les droits et libertés des personnes, le RGPD exige une analyse d’impact préalable. Pour les traitements à grande échelle de données sensibles, l’analyse d’impact est obligatoire15. L’analyse a pour but d’évaluer les risques et les mesures de protection envisageables. Si l’analyse révèle un niveau de risque élevé, avant mesure de protection, le responsable du traitement doit consulter la CNIL avant toute mise en œuvre, pour lui faire valider les mesures envisagées16.
Par ailleurs, la loi Informatique et Libertés modifiée en 2018 contient de nouvelles dispositions concernant le traitement des données de santé d'intérêt public et les formalités éventuelles à mettre en œuvre. Ainsi, les traitements de données de santé d'intérêt public qui ne sont pas conformes à un référentiel ou à un règlement type ne peuvent être mis en œuvre qu’après autorisation par la CNIL. Une déclaration préalable à la CNIL demeure nécessaire pour les traitements conformes. La CNIL peut autoriser de manière unique plusieurs traitements similaires d'un même demandeur. Le consentement exprès et éclairé des personnes concernées doit être obtenu préalablement au traitement de données pour la recherche nécessitant l'examen des caractéristiques génétiques.
Enfin, les traitements de données personnelles pour la recherche dans le domaine de la santé sont soumis à des articles spécifiques de la loi Informatique et Libertés17. S’ils ne sont pas conformes à une méthodologie de référence homologuée par la CNIL, ils doivent obtenir une autorisation de la CNIL après avis le cas échéant, du comité compétent de protection des personnes pour les demandes d'autorisation relatives aux recherches impliquant la personne humaine, ou du comité d'expertise pour les recherches, les études et les évaluations dans le domaine de la santé. Dans le cas où la recherche nécessite le recueil de prélèvements biologiques identifiants, le consentement éclairé et exprès des personnes concernées doit être obtenu préalablement à la mise en œuvre du traitement de données. Des règles spécifiques s’appliquent lorsque les données concernent des mineurs.
La CNIL a publié plusieurs méthodologies de référence pouvant servir de guides pour la mise en œuvre de telles recherches18.
De manière générale, le RGPD prévoit que le droit des Etats membres peut établir des dérogations à certains des droits des personnes pour les traitements de données personnelles à des fins de recherche scientifique19.

2) Autres obligations

17Parmi les autres obligations, nous mentionnerons les suivantes :

a) Sécurité

  • 20 Art. 34 de la loi Informatique et Libertés dans sa réd (...)
  • 21 Art. 33 et 34 du RGPD.

18Le responsable du traitement a obligation de mettre en œuvre des mesures de sécurité afin d’assurer que les données ne sont pas détruites, modifiées ou divulguées indûment, que ce soit par accident ou suite à une action malveillante20. Ces mesures doivent être aussi bien techniques (installation d’antivirus sur les serveurs, mise à jour permanente des logiciels et des systèmes d’exploitation, chiffrement des échanges, journalisation des accès, attribution de codes d’accès personnels…) qu’organisationnelles (limitation des personnes ayant accès aux données, limitation des durées de conservation, sauvegarde régulière des données, redondance des serveurs et des alimentations…). Il s’agit d’une obligation de moyen, et non de résultat.
En cas de violation de sécurité (perte ou fuite de données), le RGPD impose une notification immédiate à la CNIL par le responsable du traitement. La notification décrit la nature de la violation, les données concernées, les conséquences probables et les mesures de remédiation adoptées ou envisagées. Si cette violation entraîne un risque élevé pour les personnes concernées, le responsable du traitement doit également avertir ces personnes21.

b) Exportation de données hors de l’Union

  • 22 Art. 68 à 70 de la loi Informatique et Libertés dans s (...)

19Puisque le droit européen assure une harmonisation de la protection des données personnelles dans les différents Etats membres, les données peuvent circuler librement au sein de l’Union européenne. Le transfert de données personnelles hors de l’Union est interdit, sauf si une protection équivalente est apportée. Plusieurs mécanismes sont possibles pour des transferts à grande échelle (le consentement de la personne concernée n’est suffisant qu’à petite échelle)22 :

  • Certains pays offrent un cadre juridique équivalent à celui de l’Union (Suisse, Norvège, Canada, Israël…) ;le transfert de données vers ces pays est donc autorisé.
  • Le contrat signé avec l’entreprise destinataire contient des mesures de protection approuvées par la CNIL ou par la Commission européenne (clauses contractuelles type ou clauses ad hoc).
  • Les données sont transférées au sein d’une entreprise multinationale dont les règles internes de protection ont été approuvées par la CNIL.
  • Concernant l’exportation de données vers les Etats-Unis, suite à l’invalidation du Safe Harbor par la Cour de justice de l’Union européenne en 2015, un nouvel accord de Privacy Shield permet le transfert par les entreprises adhérentes au mécanisme. Comme pour les clauses contractuelles, l’entreprise destinataire s’engage à protéger les données ;la différence est que l’administration du pays de destination surveille le respect de leurs engagements par les entreprises.

c) Délégué à la protection des données

  • 23 Art. 22 de la loi Informatique et Libertés dans sa réd (...)
  • 24 Art. 37 à 39 du RGPD.

20Il était possible depuis 200423 de nommer dans un organisme, de manière facultative, un correspondant à la protection des données (également dit Correspondant Informatique et Libertés ou CIL). Le CIL avait pour mission de conseiller le responsable du traitement dans la mise en œuvre de la loi, et de contrôler en interne la conformité à celle-ci. En 2016, près de 18.000 organismes avaient désigné un CIL.
Le RGPD confie cette mission à un Délégué à la protection des données24. La désignation d’un délégué est désormais obligatoire dans plusieurs cas, et notamment si le traitement est effectué par une autorité publique ou par un organisme public, ou si les activités de base du responsable du traitement consistent en un traitement à grande échelle de données sensibles, dont font partie les données de santé. Les professionnels de santé, les établissements de santé, et plus largement toutes les professions et tous les organismes dont l’activité consiste à traiter des données de santé, doivent donc désigner obligatoirement un délégué à partir de 2018.
Cela ne signifie pas qu’il faut embaucher un délégué à temps plein dans chaque cabinet médical : le délégué peut en effet être mutualisé (il peut exercer cette activité à temps partiel, en complément d’une autre activité, et peut dans certains cas être désigné par plusieurs organismes publics ou par plusieurs entreprises d’un même groupe), ou bien externalisé (il peut proposer une prestation de services à plusieurs clients). Ce mode de fonctionnement avait déjà été celui des CIL. Ainsi, en 2017, il n’y avait que 5.100 CIL pour les près de 19.000 organismes en ayant désigné un.

3) Sanction du non-respect de la loi

  • 25 Art. 45 à 47 de la loi Informatique et Libertés dans sa ré (...)
  • 26 Art. 83 du RGPD.
  • 27 Art. 47 de la loi Informatique et Libertés dans sa rédacti (...)
  • 28 Conseil constitutionnel, décisions 89-260 DC, 97-395 DC, 2 (...)
  • 29 TGI Marseille, 6e ch. corr., 7 juin 2017.
  • 30 CNIL, décision n°2013-037 du 25 septembre 2013, procédure (...)

21Le non-respect de la loi peut être sanctionné administrativement et pénalement.
Les articles 226-16 à 226-24 du code pénal punissent de 5 ans de prison et 300.000 euros d’amende un certain nombre d’infractions à la loi Informatique et Libertés.
En parallèle, la CNIL dispose d’un pouvoir de sanction25 : après une mise en demeure non suivie d’effet, elle peut infliger une sanction pécuniaire et également ordonner l’interruption du traitement non-conforme. Le RGPD porte le montant maximal des amendes administratives à 20 millions d’euros ou, pour une entreprise, 4% de son chiffre d’affaires mondial (le plus élevé des deux)26.
La possibilité de cumuler une sanction pénale et une sanction administrative pour la même infraction est contraire au principe de base du droit Non bis in idem. Néanmoins, cette dérogation figure explicitement dans la loi Informatique et Libertés27 ainsi que dans d’autres domaines du droit. Elle est étroitement encadrée par le Conseil constitutionnel, qui l’a admise tout en en précisant les limites, avec notamment l’exigence que le cumul des sanctions prononcées ne dépasse pas le montant le plus élevé des sanctions encourues28.
Ainsi, pour les sanctions pénales, un médecin hospitalier a été condamné à 5.000 euros d’amende pour avoir mis en œuvre un traitement des données de ses patients sans avoir effectué les formalités légales auprès de la CNIL29.
Pour les sanctions administratives, en 2013, la CNIL a mis en demeure un centre hospitalier de mettre en œuvre des mesures de sécurité permettant de garantir la sécurité et la confidentialité des patients30. Elle a par ailleurs sanctionné plusieurs établissements non médicaux dont les fichiers contenaient indûment des données de santé sur leurs clients ou sur leurs employés, et notamment :

    • 31 CNIL, délibération n° 2006-173 du 28 juin 2006, (...)

    des études d’huissiers (« maladie alcoolique et syndrome dépressif », « deb en maladie cancer avec métastase », « dépression nerveuse » ou « +++ du pancréas », « Séropositif depuis 23 ans »), auxquelles ont été infligées des sanctions pécuniaires de 5.000 à 10.000 euros31 ;

    • 32 CNIL, délibération n° 2010-113 du 22 avril 2010, confi (...)

    un organisme de cours de soutien à domicile pour élèves (« hospitalisé en urgence pour une tumeur cancéreuse au cerveau de grade 3 », « narcoleptique ; hypersomniaque, tentatives de suicide, varie de la boulimie & anorexie »), qui a reçu un avertissement public32.

II – Le cadre spécifique de l’hébergement des données de santé

22Les données de santé présentent des caractéristiques qui justifient des mesures de protection spécifiques, au-delà du cadre général des données personnelles. D’une part, il s’agit de données particulièrement intimes, dont la divulgation peut porter gravement atteinte à la vie privée d’une personne. D’autre part, leurs usages exigent une fiabilité supérieure : s’il est éventuellement admissible qu’un compte sur un réseau social soit indisponible pendant quelques heures, on ne peut tolérer qu’un dossier médical soit altéré ou inaccessible lors d’une intervention. L’exactitude des données de santé et leur accessibilité sont vitales en cas d’urgence. C’est pourquoi la loi a institué des obligations particulières pour l’hébergement de données de santé.

A – Une situation préoccupante

1) Multiplication et banalisation des données de santé

  • 33 CNIL, Cahiers IP, Le corps, nouvel objet connecté, 2012, p (...)
  • 34 Exemple de futur possible : (...)

23L’informatisation des hôpitaux, des cabinets médicaux et paramédicaux, des pharmacies et des laboratoires, est une réalité depuis plusieurs années. Tant que les données restaient stockées localement, sans connexion à internet, le risque de fuite de données, qu’elle soit accidentelle ou intentionnelle, était faible. Mais avec le recours croissant aux échanges en ligne entre acteurs de santé, à la télémédecine et au stockage dans le cloud, les données de santé sont appelées à circuler mondialement et à être hébergées chez de nombreux prestataires. Les risques sont multipliés dans les mêmes proportions.
Au-delà de ces échanges entre professionnels, se développe également le quantified self, pratique consistant à mesurer en continu son activité physique (nombre de pas…), voire ses paramètres (tension, rythme cardiaque, mais aussi glycémie…), en vue d’adopter un mode de vie sain ou de surveiller un marqueur particulier. Il peut donc s’agir d’outils de bien-être comme d’outils de santé. La frontière entre les deux n’est pas toujours nette : si le contrôle de la glycémie est clairement médical, que dire du comptage du nombre de pas quotidien ?
Comme l’écrit la CNIL : « Alors qu’en est-il du quantified self ? Certes, l'Organisation Mondiale de la Santé définit la santé comme « un état de complet bien-être physique, mental et social et ne consiste pas seulement en une absence de maladie ou d'infirmité ». Nombre de pas, poids, heures de lever et de coucher..., dans une première approche, on pourrait être tenté de considérer comme anodines ces données prises isolément et en dehors de tout contexte. On ne peut semble-t-il considérer que les données collectées dans le cadre des outils et applications du quantified self sont toutes, par nature, des données de santé. Cependant, certaines informations, prises indépendamment et en valeur absolue, peuvent dans des situations précises être considérées comme données de santé, en raison de l'information objective qu'elles sont susceptibles de transmettre. Par exemple, un poids objectivement excessif peut révéler une pathologie telle que l'obésité. Néanmoins, dans la plupart des cas, il faut au minimum obtenir une moyenne de ces données ou la variation de ces données sur une certaine période de temps pour obtenir une réelle information relative à la santé de cette personne. Ainsi, une mesure de rythme cardiaque sans indication complémentaire notamment sur l'activité de la personne au moment où ce rythme cardiaque a été mesuré peut ne révéler aucune information utile sur cette personne33. »
Or ces données sont souvent transférées à l’entreprise qui commercialise le capteur, et qui fournit des applications d’analyse des résultats sur mobile ou sur ordinateur. Elles sont parfois également publiées sur un réseau social, dans un objectif d’émulation (ex : perte de poids).
Ces données intéressent de nombreux acteurs, et au premier rang desquels les assureurs et mutuelles de santé. Des assureurs américains proposent déjà des tarifs préférentiels pour les clients acceptant de porter des objets connectés afin de prouver leur activité physique. Faut-il réguler cette activité ?34

2) Multiplication des attaques

24Corollaire de la multiplication des échanges de données de santé, les fuites accidentelles ou les attaques deviennent monnaie courante.

a) Les fuites de données

25Des données de santé peuvent se retrouver en ligne suite à une négligence ou à un accident. Cette fuite de données ne résulte pas d’une malveillance, mais d’une insuffisance de mise en œuvre des règles de sécurité. Des dossiers peuvent ainsi se retrouver référencés par un moteur de recherche comme Google et consultables par tout un chacun.

26Les exemples récents abondent. Le mauvais paramétrage d’un prestataire de services de gestion des dossiers patients a ainsi entraîné la mise en ligne, pour la quarantaine de centres hospitaliers clients, de tous ses mots de passe en clair35. Plus récemment, une société américaine spécialisée dans la surveillance de patients à domicile a laissé son espace de stockage cloud en accès libre, exposant ainsi plus de 300.000 fichiers contenant les coordonnées et les résultats d’analyses de leurs clients36. C’est une négligence de ce type qui a entraîné la condamnation d’un médecin hospitalier à l’amende pénale évoquée plus haut37.
Il est à noter que les professionnels de santé peuvent signaler un tel incident sur le portail dédié https://signalement.social-sante.gouv.fr. La loi prévoit par ailleurs que « les établissements de santé et les organismes et services exerçant des activités de prévention, de diagnostic ou de soins signalent sans délai à l'agence régionale de santé les incidents graves de sécurité des systèmes d'information. Les incidents de sécurité jugés significatifs sont, en outre, transmis sans délai par l'agence régionale de santé aux autorités compétentes de l'Etat. »38 « Sont considérés comme incidents graves de sécurité des systèmes d'information les événements générateurs d'une situation exceptionnelle au sein d'un établissement, organisme ou service, et notamment :

  • les incidents ayant des conséquences potentielles ou avérées sur la sécurité des soins ;

  • les incidents ayant des conséquences sur la confidentialité ou l'intégrité des données de santé ;

    • 39 Art. D1111-16-2 à D1111-16-4 du code de la santé p (...)

    les incidents portant atteinte au fonctionnement normal de l'établissement, de l'organisme ou du service. »39

b) Les piratages, destructions et rançonnages de données

  • 40 www.zataz.com/fuite-de-donnees-medicales/
  • 41 www.theguardian.com/technology/2016/feb/17/los-angeles (...)
  • 42 www.lesechos.fr/13/05/2017/lesechos.fr/0212077825043_c (...)

27Les données de santé peuvent également faire l’objet d’attaques délibérées. La motivation peut être le vol d’informations. L’attaque peut également avoir pour but de les rendre inutilisables, que ce soit pour entraver le fonctionnement des soins ou pour rançonner la victime.
Aux États-Unis, plus de 200 millions de dossiers médicaux auraient ainsi été dérobés par piratage des systèmes40.
Les attaques de « rançongiciels » deviennent courantes : l’attaquant bloque les données en les chiffrant, et réclame une rançon pour permettre le déchiffrement. En 2016, l’hôpital Hollywood Presbyterian Medical Center de Los Angeles avait dû payer 17.000 dollars pour récupérer ses données41. Ces attaques se sont multipliées en 2017 avec le virus Wannacry, qui a touché des dizaines d’hôpitaux, notamment au Royaume-Uni. « L'attaque a sérieusement désorganisé des dizaines d'hôpitaux, contraints d'annuler certains actes médicaux et de renvoyer des ambulances vers d'autres établissements »42.
On ne peut donc que rappeler l’importance d’une application stricte des règles de sécurité des systèmes d’information, pour éviter ce type de situation et limiter les dégâts en cas d’attaque : mise à jour permanente des applications et des systèmes d’exploitation, limitation des droits utilisateurs, gestion des mots de passe d’administrateur, systématisation des pare-feux et des antivirus, sauvegardes régulières des données sur un serveur distinct…

B – Les procédures pour les hébergeurs

  • 43 Art. L1111-8 du code de la santé publique.
  • 44 Art. L1115-1 du code de la santé publique.
  • 45 CNIL, communiqué de presse du 9 janvier 2012. La société préte (...)

28Afin de garantir la sécurité, la confidentialité, la pérennité et l’accessibilité des données des patients, le code de la santé publique43 impose des obligations aux sociétés et aux organismes qui hébergent des données de santé pour le compte de tiers, qu’il s’agisse des établissements de santé, des professionnels de santé ou des patients. Aucune formalité spécifique n’est en revanche exigée pour un hébergement en interne de ses propres données de santé (à part bien sûr le respect des exigences de la loi Informatique et libertés, et notamment ses obligations de sécurité, etc.).
A priori, les prestataires de quantified self à but médical (contrôle de la glycémie…) devraient être concernés par ces obligations d’hébergeurs, puisqu’elles visent également les données de santé recueillies à l'occasion d'activités de prévention ou de diagnostic.
Depuis 2002, les hébergeurs devaient être titulaires d’un agrément du ministre de la santé. Cette procédure évolue : l’ordonnance n° 2017-27 du 12 janvier 2017 remplace la procédure d’agrément par une procédure de certification.
La loi44 punit de 3 ans de prison et 45.000 euros d’amende le fait de proposer une prestation d’hébergement de données de santé, sans être titulaire de l’agrément ou de la certification, ou sans respecter les conditions de l’agrément. Toutefois, aucune sanction n’a jamais été prononcée sur ce fondement. Le code de la santé publique prévoit un contrôle de l’agrément par l'Inspection générale des affaires sociales, mais peu de contrôles ont été réalisés. Tout au plus la CNIL a-t-elle, de par sa compétence de contrôle de la conformité à la loi Informatique et libertés, adressé en 2012 un avertissement à l'encontre d'un hébergeur de données de santé, au sujet d'une déclaration mensongère contenue dans son dossier de demande d'agrément45. Mais cet avertissement, qui préservait l’anonymat du coupable, ne constituait pas une sanction très dissuasive…
Précisons enfin que jusqu’en janvier 2016, le consentement exprès du patient était nécessaire. Depuis cette date, l’hébergement peut avoir lieu après que la personne prise en charge en a été dûment informée et sauf opposition pour un motif légitime.

1) Dispositif d’agrément (2002-2018)

  • 46 En 2016, l’auteur a été nommé président de ce comité.

29La procédure d’agrément en vigueur depuis 2002 était précisée aux articles R1111-9 à R1111-15-1 du code de la santé publique dans leur rédaction de l’époque.
Les candidats à l’agrément devaient offrir toutes les garanties de sécurité des données et d’un usage conforme à la loi. Ils devaient déposer deux dossiers, l’un auprès de la CNIL et l’autre auprès d’un comité d’agrément placé auprès du ministre de la santé46. Le comité examinait la demande sous les angles économique (pérennité du candidat), juridique (conformité à la loi) et technique (sécurité des données), avant de délivrer un avis au ministre de la santé. L’agrément était délivré par le ministre pour une durée de 3 ans. Le renouvellement nécessitait une nouvelle démarche.
Au 18 octobre 2017, 96 décisions d’agrément avaient été rendues par le ministre.

2) Dispositif de certification

30A partir du 1er avril 2018, la procédure d’agrément est remplacée par une procédure de certification (décret 2018-137 du 26 février 2018).
La nouvelle rédaction de l’article R1111-9 précise la définition de l’hébergement de données de santé recueillies à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social : cette prestation consiste à assurer, pour le compte d’un professionnel ou du patient, tout ou partie des opérations suivantes :

  • La mise à disposition et le maintien en condition opérationnelle des sites physiques permettant d'héberger l'infrastructure matérielle du système d'information utilisé pour le traitement des données de santé ;
  • La mise à disposition et le maintien en condition opérationnelle de l'infrastructure matérielle du système d'information utilisé pour le traitement de données de santé ;
  • La mise à disposition et le maintien en condition opérationnelle de l'infrastructure virtuelle du système d'information utilisé pour le traitement des données de santé ;
  • La mise à disposition et le maintien en condition opérationnelle de la plateforme d'hébergement d'applications du système d'information ;
  • L'administration et l'exploitation du système d'information contenant les données de santé ;
  • La sauvegarde des données de santé.

31Selon la nouvelle procédure, les hébergeurs doivent être titulaires d’un certificat de conformité délivré par un organisme de certification accrédité, sur le fondement d’un référentiel de certification approuvé par arrêté. Les candidats doivent donc désormais s’adresser à un organisme de certification du secteur privé, et non plus à l’administration. Les référentiels de certification sont disponibles sur le site esante.gouv.fr.
Pour les services d’archivage électronique des données de santé, le III de l’article L1111-8 prévoit un agrément par le ministre de la culture.
Avec le RGPD et la certification des hébergeurs de données de santé, un nouveau cadre juridique se met donc en place, afin d’assurer une meilleure protection des données de santé.

Bibliographie

Comité d'agrément des hébergeurs de données de santé, Rapport d'activité 2012-2013.

Comité d'agrément des hébergeurs de données de santé, Premier rapport d'activité 2006-2011.

A. Debet, J. Massot, N. Metallinos, Informatique et libertés, la protection des données à caractère personnel en droit français et européen, Lextenso, 2015.

F. Mattatia, Le droit des données personnelles, Eyrolles, 2e édition, 2016.

F. Mattatia, RGPD et droit des données personnelles, Eyrolles, nouvelle édition prévue en 2018.

Références

Loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés.

Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données).

Code de la santé publique (articles L1111-8, L1115-1, R1111-8-8, R1111-9 et suivants).

Décret 2018-137 du 26 février 2018.

Notes

1 Voir : F. Mattatia, Le droit des données personnelles, Eyrolles, 2e édition, 2016 (nouvelle édition RGPD et droit des données personnelles prévue en 2018), pour une analyse plus approfondie du sujet.

2 Art. 2 de la loi Informatique et Libertés dans sa rédaction de 2017 et art. 4 du RGPD.

3 Art. 8 de la loi Informatique et Libertés dans sa rédaction de 2017 et art. 9 du RGPD.

4 Art. 38 à 40 de la loi Informatique et Libertés dans sa rédaction de 2017 et art. 12 à 21 du RGPD.

5 Art. 6-II-8° et 23 de la loi Informatique et Libertés dans sa rédaction de 2017.

6 Gestion administrative et médicale des patients, établissement et télétransmission des feuilles de soins, et tenue de la comptabilité.

7 Délivrance des produits pharmaceutiques (dispensation), traçabilité des produits, télétransmission des feuilles de soins et facturation.

8 Gestion du dossier des patients, transmission des prélèvements, gestion des analyses et des résultats et participation à des études épidémiologiques.

9 Gestion de clientèle, édition des feuilles de soins et télétransmission aux organismes d’assurance maladie, gestion des fournisseurs, traçabilité des produits et des intervenants, gestion des prospects, enquêtes de satisfaction, établissement de statistiques. Toute exploitation commerciale de ces données est interdite.

10 Art. 8 IV de la loi Informatique et Libertés dans sa rédaction de 2017.

11 Art. 25 I 1° de la loi Informatique et Libertés dans sa rédaction de 2017.

12 Art. 22 V de la loi Informatique et Libertés dans sa rédaction de 2017.

13 Art. 27 I 1° de la loi Informatique et Libertés dans sa rédaction de 2017.

14 Art. 25 I 6° de la loi Informatique et Libertés dans sa rédaction de 2017.

15 Art. 35(3) du RGPD.

16 Art. 36 du RGPD.

17 Art. 53 à 61 de la loi Informatique et Libertés dans sa rédaction de 2017.

18 Délibération n° 2016-262 du 21 juillet 2016 portant modification de la méthodologie de référence pour les traitements de données personnelles opérés dans le cadre des recherches biomédicales (MR-001), Délibération n° 2015-256 du 16 juillet 2015 portant homologation d'une méthodologie de référence relative aux traitements de données à caractère personnel mis en œuvre dans le cadre des études non interventionnelles de performances en matière de dispositifs médicaux de diagnostic in vitro (MR-002), Délibération n° 2016-263 du 21 juillet 2016 portant homologation d'une méthodologie de référence relative aux traitements de données à caractère personnel mis en œuvre dans le cadre des recherches dans le domaine de la santé ne nécessitant pas le recueil du consentement exprès ou écrit de la personne concernée (MR-003).

19 Art. 89 du RGPD.

20 Art. 34 de la loi Informatique et Libertés dans sa rédaction de 2017 et art. 32 du RGPD.

21 Art. 33 et 34 du RGPD.

22 Art. 68 à 70 de la loi Informatique et Libertés dans sa rédaction de 2017 et art. 44 à 47 du RGPD.

23 Art. 22 de la loi Informatique et Libertés dans sa rédaction de 2017.

24 Art. 37 à 39 du RGPD.

25 Art. 45 à 47 de la loi Informatique et Libertés dans sa rédaction de 2017.

26 Art. 83 du RGPD.

27 Art. 47 de la loi Informatique et Libertés dans sa rédaction de 2017.

28 Conseil constitutionnel, décisions 89-260 DC, 97-395 DC, 2014-453/454 QPC, 2015-462 QPC.

29 TGI Marseille, 6e ch. corr., 7 juin 2017.

30 CNIL, décision n°2013-037 du 25 septembre 2013, procédure clôturée par décision CNIL du 17 octobre 2013.

31 CNIL, délibération n° 2006-173 du 28 juin 2006, délibérations n° 2009-466 et 2009-469 du 9 juillet 2009.

32 CNIL, délibération n° 2010-113 du 22 avril 2010, confirmée par le Conseil d’État, 10ème et 9ème sous-sections réunies, décision du 27 juillet 2012.

33 CNIL, Cahiers IP, Le corps, nouvel objet connecté, 2012, p. 54.

34 Exemple de futur possible : >www.youtube.com/watch?v=N55kgh9W1jI

35 www.datasecuritybreach.fr/fuite-de-donnees-concernant-une-quarantaine-de-centres-hospitaliers-francais/, 31 octobre 2013.

36 www.dsih.fr/article/2672/les-dossiers-medicaux-de-150-000-patients-americains-en-acces-libre-sur-le-cloud-d-amazon.html, 12 octobre 2017.

37 TGI Marseille, 6e ch. corr., 7 juin 2017.

38 Art. L1111-8-2 du code de la santé publique.

39 Art. D1111-16-2 à D1111-16-4 du code de la santé publique.

40 www.zataz.com/fuite-de-donnees-medicales/

41 www.theguardian.com/technology/2016/feb/17/los-angeles-hospital-hacked-ransom-bitcoin-hollywood-presbyterian-medical-center

42 www.lesechos.fr/13/05/2017/lesechos.fr/0212077825043_cyberattaques---les-hopitaux-britanniques--principales-cibles-atteintes.htm

43 Art. L1111-8 du code de la santé publique.

44 Art. L1115-1 du code de la santé publique.

45 CNIL, communiqué de presse du 9 janvier 2012. La société prétendait chiffrer les données médicales hébergées, ce qui était inexact.

46 En 2016, l’auteur a été nommé président de ce comité.

Auteur

Ingénieur général des mines, docteur en droit, Président du comité d’agrément des hébergeurs de données de santé, Chercheur associé à l’université Paris-I Panthéon-Sorbonne

© Presses de l’Université Toulouse 1 Capitole, 2018

Conditions d’utilisation : http://www.openedition.org/6540

Rechercher dans OpenEdition Search

Vous allez être redirigé vers OpenEdition Search