This website requires JavaScript.

Numérique Ethique vous est utile (ou pas) ? Dites-nous tout en 5 minutes ici

Risque et sécurité
Article

Données de santé, pourquoi plus de sécurité ?

17.02.2017

La circulation de nos données de santé est un enjeu majeur qui impose de considérer avec attention la manière dont ces informations sensibles sont collectées, stockées, utilisées. Analyse avec Pierre Desmarais, avocat au Barreau de Paris.

Santé & internet, un marché de 308 milliards.

Depuis quelques années, les géants du Web multiplient les acquisitions de sociétés traitant, directement ou indirectement, des données à caractère personnel relatives à la santé (plus communément appelées des « données de santé »). Et pour cause, le marché de l’e-santé serait évalué à 308 milliards de dollars. Et encore ne parle-t-on là que du marché officiel. Sur le darkweb circuleraient déjà des millions de données de santé, dont la valeur est difficilement estimable, même si l’on sait qu’un numéro de sécurité sociale américain vaut, à lui seul, quelques centaines de dollars.

Qui fait attention à ses données de santé ?

Pour autant, les internautes font relativement peu de cas de leurs données de santé. Les requêtes sur les moteurs de recherche – qui extrapolent pour en déduire des informations sur l’état de santé – sont légions, les messages sur les réseaux sociaux ne se comptent plus et certains hébergeurs sont obligés de stipuler dans leurs conditions générales qu’ils refusent que leur service soit utilisé pour conserver des données de santé. Interrogez vos proches, vos amis, vos collègues, la plupart vous répondront qu’ils n’ont de toute façon rien à cacher. Rien à cacher ? Dans la vie quotidienne, exposeraient-ils vraiment la totalité de leurs données de santé à toute personne, de leur conjoint à un illustre inconnu rencontré sur le quai d’une gare ?

Mais qu’est-ce qu’une donnée de santé, au juste ?

Les juges européens ont défini la notion de donnée relative à la santé comme toute information relative à l’état de santé passé, présent et futur, physique ou psychique d’une personne. Un règlement européen, applicable à compter du 25 mai 2018, va jusqu’à préciser que l’origine de la donnée n’influe en aucun cas sur son régime juridique. L’information confiée à votre médecin reçoit la même qualification que celle que vous pourriez publier sur un réseau social pour dire que vous avez un rhume.

L’affaire à l’origine de la définition de la donnée de santé est à cet égard particulièrement éloquente. Une association indique sur son site internet qu’une bénévole ne pourra pas participer à une réunion, celle-ci ne pouvant pas se déplacer du fait d’une entorse. L’information est d’une banalité affligeante, non ? Pourtant, la personne concernée a porté l’affaire devant les tribunaux qui, in fine, ont considéré que même banale, une information sur l’état de santé d’une personne est une donnée à caractère personnel relative à la santé devant être protégée.

Une interprétation aussi large est une nécessité.

La définition donnée par les juges européens conduit à considérer que le simple fait de se déclarer en bonne santé est une donnée de santé. Peu importe, contrairement à ce qu’avaient estimé les juges français, que l’information soit neutre ou imprécise. Si elle est relative à l’état de santé, elle doit être protégée. La position européenne peut sembler extrême, mais elle permet d’avoir un régime uniforme pour toutes les informations relatives à l’état de santé. Un exemple ? L’Indice de Masse Corporel (IMC). Imaginez le casse-tête d’une compagnie d’assurance calculant l’IMC de ses assurés. Elle ne devrait considérer que les IMC trop faibles ou trop élevés comme des données de santé et ces considérations pourraient varier au fil du temps, l’IMC étant rarement un indice stable. Difficilement gérable, non ? Un autre exemple, les gribouillis décorant le premier bout de papier à portée de main, lors de longs entretiens téléphoniques ? Un psychiatre ne pourrait-il pas en tirer quelques conclusions ?

Le régime juridique applicable aux données de santé doit être identique pour toutes les informations relatives à l’état de santé, indifféremment du degré de précision ou de gravité afin de garantir prévisibilité juridique pour les entreprises traitant des données et sécurité juridique pour les personnes concernées. On évite en effet de la sorte qu’une entreprise puisse jouer avec la qualification applicable aux données pour écarter le régime spécifique aux données de santé.

Un régime juridique d’exception pour les données de santé.

Les données de santé sont considérées comme sensibles et font donc l’objet d’un régime juridique d’exception. En principe, il est interdit à toute personne d’en collecter. Ce n’est que par exception que cette collecte est autorisée soit par la personne concernée elle-même, soit du fait de la profession de la personne les collectant. On ne peut en effet pas sérieusement imaginer qu’un hôpital se voit refuser la possibilité de collecter des données de santé, si ? En pratique, ce régime juridique ne s’avère pas trop contraignant. Les données de santé peuvent être recueillies et traitées, dès lors que l’objectif de l’auteur de ce recueil et de ce traitement est légitime et exprès.

Un besoin de sécurité renforcée.

Ce qui s’avère plus contraignant en revanche, ce sont les mesures de sécurité devant être mises en place pour traiter des données de santé. Si toute personne collectant des données personnelles doit en assurer la sécurité, la loi indique clairement que cette obligation est plus prégnante pour des données de santé.

Pourquoi ce renforcement de la sécurité ? Parce que la santé touche à l’intimité de la personne ? Parce que tout ce qui touche à la santé doit être strictement confidentiel ? En fait, deux justifications sont envisageables. La première consiste à dire que dès lors qu’il n’existe qu’un seul régime juridique pour toutes les informations relatives à la santé, le niveau de sécurité applicable au dossier médical et aux informations aussi banales qu’une entorse de la cheville doit être identique. Une sorte de transposition de l’adage « Qui vole un œuf, vole un bœuf ». La seconde repose sur une vision peut-être trop noire de la société.

Il s’agirait dans cette hypothèse de se prémunir contre une utilisation déviante de données apparemment anodines pour la personne qu’elle concerne. Une photographie montrant un lobe d’oreille pourrait ainsi devenir une donnée de santé, et plus précisément une information sur la présence ou l’absence d’un gène.

Sécurité, c’est-à-dire ?

Comment la personne recueillant des données de santé peut-elle en assurer la sécurité ? Suffit-il qu’elle en assure la confidentialité ? Non, la confidentialité est un élément important de la sécurité, mais elle ne suffit pas. La loi Informatique et Libertés considère ainsi que la sécurité inclut l’obligation d’empêcher la déformation ou l’endommagement des données.

Assurer la sécurité de données, c’est donc les tenir secrètes, mais également assurer leur intégrité et leur disponibilité et être en mesure de tracer toute manipulation de ces données.

La complémentarité de ces quatre éléments (Disponibilité, confidentialité, intégrité et preuve) est particulièrement évidente en présence de données de santé. N’auraient ainsi aucun intérêt pour un professionnel de santé des données non disponibles ou corrompues, volontairement ou non, ou des données dont la confidentialité ne serait pas assurée ou dont on ne pourrait retracer les accès et modifications.

Concrètement, quelles mesures sont prises ?

Les mesures de sécurité peuvent être :

  • Physiques : verrouiller le local où sont conservées les données de santé paraît une bonne idée, non ?
  • Logiques : il s’agit ici de la mise en place de mots de passe forts – c’est-à-dire ceux s’avérant casse-pieds à mémoriser, car ils doivent contenir des majuscules et caractères spéciaux – ou du chiffrement des communications, sur internet (le petit « s » que vous pouvez voir après le « http » d’un site internet).
  • Organisationnelles : les personnes pouvant accéder à vos données doivent avoir signé un accord de confidentialité et, fréquemment, cet accès doit se faire en présence d’un professionnel médical, garant du respect de la confidentialité des données de santé.

En France, des mesures encore plus spécifiques existent. C’est ainsi que les informations de santé produites ou recueillies par des professionnels ou établissements de santé ne peuvent être hébergées que par des prestataires agréés par le Ministre de la Santé. L’objectif de cet agrément – relativement difficile à obtenir – est de s’assurer que les mesures prises par l’hébergeur assurent un degré maximal de sécurité.

Que retenir de tout ça ?

Evidemment, il ne s’agit pas de sombrer dans une forme de paranoïa technologique. Ecrire sur un réseau social qu’on a un rhume ne prête a priori pas à conséquence.

Pour autant, mieux vaut faire preuve de bon sens et ne mettre sur internet que des données que l’on sait peu sensibles et dont on ne craint pas l’éventuelle divulgation. Dans le cas contraire, vérifiez au préalable les mesures de sécurité proposées par la personne souhaitant recueillir vos données de santé !

Retour