%20(2).jpg)
Les interrogations qui entourent la cybersécurité, les risques de piratage, le respect de la confidentialité, l'utilisation des données personnelles ou la fiabilité des recommandations sur Internet témoignent des inquiétudes qui accompagnent la digitalisation de nos existences.
Les craintes sont sans doute accentuées dans le domaine de la santé puisque les données manipulées sont sensibles et touchent à l’intimité de chacun.
Pour créer un climat de confiance, le législateur a d'une part agit pour renforcer les droits des patients, d'autre part imposer des règles aux éditeurs pour renforcer la protection et la sécurité des données.
Protection des données de santé : le renforcement du contrôle par les patients
Concernant la défense de leur vie privée, les patients bénéficient d’un contrôle sur leurs données personnelles puisqu’ils peuvent en théorie demander leur effacement. Cette possibilité est toutefois limitée dans le cas où les données « concernent un intérêt public dans le domaine de la santé » ou si leur utilisation est effectuée « à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques ». En outre, selon le Code de santé publique, le médecin qui engendre des données sur un patient a l’obligation de les conserver au moins une décennie, afin de se prémunir contre d’éventuelles poursuites : « Au titre de l’article L. 1142-28 du Code de la Santé publique, la durée de conservation des dossiers médicaux est établie à dix ans. Le point de départ de ce délai est fixé à la consolidation de la maladie ou de la blessure. Cela concerne donc des documents qui peuvent être plus anciens. Pendant ces dix années, le patient conserve un droit d’accès à ces données », le professionnel de santé devant les tenir à sa disposition. De plus, « au-delà de l’obligation légale, la conservation des archives constitue pour le professionnel une sécurité juridique», ces documents faisant office de preuves en cas de contentieux ou de réclamation. La justification des actes et des choix médicaux constitue une nécessité pour le médecin et les établissements de santé dans le cas où leur responsabilité légale se trouverait engagée. La liberté du patient de détruire ses données s’arrête là où commence le droit à la protection du praticien. Un équilibre a été trouvé entre ces deux exigences. De plus, les patients ont des droits en matière de traçabilité dans la mesure où ils peuvent savoir qui a accès à leurs données. Sauf cas d’urgence, ils doivent aussi pouvoir valider quand un professionnel de santé transfère une partie de ses informations à un confrère.
Ces exemples attestent que la digitalisation comporte plus d’effets positifs que négatifs dans le champ des droits individuels. La tendance est à un renforcement de la mainmise du patient sur ses données personnelles. Il s’agit d’une conséquence directe de la révolution numérique : désormais, on se pose des questions qui n’existaient pas auparavant – en dehors des cercles de spécialistes ou de juristes –, à l’époque où l’ensemble des informations médicales circulaient sur des papiers sans que l’on sache qui pouvait les consulter… De ce point de vue, nous sommes peut-être passés d’un extrême à un autre : nous basculons d’un univers où la confidentialité n’était pas un sujet à un monde où cette question devient omniprésente et suscite parfois des inquiétudes disproportionnées. Surtout quand on pense qu’actuellement, les dossiers papiers des patients sont accessibles sans contrôle ni traçabilité…
La sécurisation des données par les plateformes digitales
Certaines peurs paraissent d’autant plus excessives que les plateformes d’e-santé sont soumises à de multiples contraintes pour le stockage et la sécurisation des données. Il en va d’ailleurs de leur intérêt, la confiance numérique étant la clef de l’utilisation de leurs services et de leur réussite.
Un premier niveau de sécurité est mis en place au niveau du patient. Pour s’identifier, on lui demande une authentification forte, avec son login et son mot de passe, ainsi qu’une confirmation ou un code envoyé par SMS. Si ce processus est souvent vécu comme une entrave par l’utilisateur, cela offre une garantie de sécurité.
Deuxièmement, les plateformes du secteur se conforment à des normes drastiques qui vont bien au-delà du RGPD. Quand elles développent des applications d’e-santé, elles travaillent sur des serveurs répondant à la certification Hébergeur de données de santé (HDS) qui implique plusieurs obligations. D’abord, à chaque fois que quelqu’un accède à la plateforme, il est pisté par un tiers. Seuls les salariés disposant d’un certain niveau d’accréditation peuvent se connecter et leur activité est surveillée. Ensuite, toutes les données sont cryptées, ce qui n’est pas toujours le cas dans le domaine du e-commerce. Il arrive même que la data soit répartie sur deux serveurs afin d’éviter que les hackers, qui auraient réussi à pénétrer un système, ne puissent exploiter des données piratées.
Enfin, lorsque ces plateformes proposent une application à un médecin, des sécurités supplémentaires sont mises en œuvre. Primo, le régulateur impose de ne donner accès au praticien que s’il est parfaitement identifié par un tiers de confiance à l’hôpital, ou via sa carte professionnelle de santé (CPS) en ville, pour prouver qu’il est bien médecin et qu’il a le droit de consulter ces datas. Secundo, la plateforme est censée avoir collecté au préalable l’autorisation du patient de partager ses données avec le professionnel de santé. Tertio, si le médecin a rempli ces conditions, il est lui aussi tracé sur la plateforme : on sait quelles données il a consultées, modifiées, etc. C’est dire si le degré de vigilance est élevé !
Toutes ces normes complexifient la tâche des codeurs et des développeurs que nous sommes, mais elles assurent une sécurité maximale aux patients quant à l’utilisation de leurs données personnelles. Pour les plateformes d’e-santé, le principal défi est de concilier cette exigence de sûreté avec les canons de l’expérience utilisateur. Depuis que nous sommes habitués à surfer sur Internet ou à commander des biens sur Amazon, nous sommes en quête de simplicité, de fluidité et d’ergonomie. Les services d’e-santé doivent répondre à cette attente sans sacrifier l’impératif de protection des données.
Les atouts et limites de la réglementation actuelle
L’enjeu réglementaire se situe au carrefour de ces deux mouvements. D’un côté, il paraît essentiel d’instaurer un cadre rassurant pour les patients en les protégeant contre la violation de leur vie privée et en leur démontrant qu’ils pourront utiliser ces plateformes en toute confiance. Mais d’un autre côté, il ne faut pas entraver l’innovation en ajoutant sans cesse des contraintes qui freinent l’activité des start-up. En la matière, les équilibres sont précaires.
Ce qui est certain, c’est que la réglementation actuelle fait tout pour que les patients jouissent d’une sécurité optimale. Sans s’attarder sur toutes les normes auxquelles sont astreintes les plateformes digitales, précisons que celles-ci doivent également respecter la Politique Générale de Sécurité des Systèmes d’Information de Santé (PGSSI-S) ainsi que diverses obligations en fonction des solutions qu’elles proposent. Par exemple, les exigences requises ne sont pas les mêmes pour un logiciel d’aide à la prescription (LAP) et un outil accompagnant le médecin dans sa prise de décision, lequel est considéré comme un dispositif médical (DM), dont le processus de validation, assez lourd, est encadré par l’Europe (le fameux marquage CE identique à celui que vous trouvez sur votre thermomètre) .
L’instauration de Mon Espace Santé obéit à une philosophie similaire. A terme, cet espace sera non seulement un coffre-numérique sécurisé pour les patients, mais aussi un « hub » pour les plateformes et les applications digitales d’e-santé : l’utilisateur aura accès à une foule de services en se connectant à son compte. Mais pour qu’un opérateur soit présent sur Mon Espace Santé et puisse en utiliser les données, il devra se plier à la Doctrine du numérique en santé qui regroupe une série de normes et de référentiels. Seuls les start-up et les acteurs les plus vertueux seront certifiés par les pouvoirs publics. Cela crée dès à présent un processus d’écrémage qui décourage les plateformes les moins sérieuses. Une sélection naturelle s’opère puisqu’il faut être compatible avec une myriade de contraintes.
A l’aune de ces éléments, les patients doivent se sentir protégés quant au vol ou à l’utilisation abusive de leurs données. Le vrai débat se situe ailleurs. Il est plutôt de déterminer un juste milieu, selon une logique de bénéfices/risques : instaurer une architecture réglementaire empêchant les entreprises d’e-santé de faire n’importe quoi, sans pour autant les pénaliser. En l’occurrence l’alternative est assez claire. Doit-on mettre en place des carcans très rigides avec une régulation a priori qui prévienne toute dérive potentielle ? Ou doit-on favoriser une réglementation plus souple avec des contrôles a posteriori et des sanctions dissuasives contre les contrevenants ? La seconde voie est sans doute plus efficace au sens où il ne faut pas dresser trop de barrières à l’innovation. Sinon, on risque que des acteurs plus puissants sur le plan technologique et financier raflent la mise. Les GAFAM et autres géants du numérique ont les moyens de s’adapter à de très fortes contraintes, ce qui n’est pas forcément le cas de plateformes françaises et européennes de taille plus modeste.
Le développement d'une culture et d'une éducation numérique au service de l'e-santé
En outre, il faut compter sur l’intelligence des soignants et des patients qui peuvent jouer un rôle de filtrage entre plateformes, en plus de l’homologation par le régulateur. Eux aussi ont une responsabilité dans le choix des services qu’ils utilisent et auxquels ils confient la gestion de leurs données personnelles. Il s’agit là encore d’une affaire de confiance qui s’applique à tous les domaines de l’économie digitale : normalement, nous n’effectuons pas de paiement sur un site marchand qui nous semble suspect ; nous ne confions pas nos numéros de carte bancaire à une application peu connue ou mal référencée ; et nous évitons de fournir des informations privées à un site non sécurisé.
Au fil du temps, nous acquérons une culture numérique et des réflexes qui nous protègent contre certaines menaces. Bien que des progrès restent à effectuer, nous sommes de plus en plus attentifs à notre sécurité numérique, à la préservation de nos données et au respect de notre vie privée. Nous nous éduquons à des usages qui nous étaient autrefois étrangers. Ce sont des habitudes et des comportements que nous pouvons transposer à l’e-santé afin de renforcer les protections déjà offertes par les pouvoirs publics et les plateformes.
En tant que plateformes d’e-santé, nous avons d’ailleurs une mission à remplir dans la vulgarisation de ces enjeux et l’éducation numérique du patient. Il faut sans doute mieux communiquer sur la gestion et l’utilisation des données afin de conjurer certaines peurs et de rassurer les utilisateurs. C’est en faisant preuve de transparence que nous installerons un climat de confiance. Cela peut notamment passer par une meilleure information sur la politique de confidentialité, en faisant en sorte que celle-ci soit lisible en une seule page, dans un langage non juridique et intelligible pour le plus grand nombre. Tout ce qui peut concourir à renseigner davantage le patient mérite d’être encouragé.
Si les patients sont informés et éclairés sur leurs choix, ils sont ensuite libres de décider et de prendre leurs responsabilités. Il revient à chacun de s’interroger sur les bénéfices et les risques que l’on retire quand on recourt à des services digitaux liés à la santé. Par exemple, si l’on envoie de la salive à la société californienne 23andme afin de connaître son génome, qu’en fera cette entreprise ? Si l’on porte une AppleWatch, quel sera l’usage de nos données ? Si l’on prend rendez-vous avec son médecin via le système de réservation de Google, quelles informations seront récoltées, seront-elles croisées avec nos dernières recherches sur le moteur ? A-t-on envie de confier des données médicales à ces plateformes au regard du service rendu ? Ce sont là des arbitrages que chacun a la possibilité d’effectuer en conscience… en gardant cependant à l’esprit un principe de cohérence : peut-on, en toute insouciance, éparpiller sa data sur le web en se servant des applications des GAFAM et, en parallèle, être sourcilleux sur l’utilisation des données de santé par des plateformes françaises ou européennes très réglementées ?
Les prochaines années permettront sans doute de surmonter cette dichotomie. A mesure que nous nous approprierons les usages digitaux de la santé, nous hésiterons de moins en moins à octroyer notre confiance à certains acteurs. Plus nous aurons le réflexe d’utiliser ces plateformes en toute sécurité, en profitant de services correspondant à nos besoins médicaux, moins nous aurons la crainte de voir nos données personnelles voler ou détourner à des fins malveillantes.
Au fond, nous avons tous l’opportunité d’améliorer le système de santé grâce au digital. Que nous soyons patients, médecins, paramédicaux ou opérateurs de plateformes, nous pouvons tous contribuer à cette ambition. Confrontés à un risque d’explosion dû à la singularité, nous sommes collectivement obligés de changer de braquet. La transformation du système suppose bien sûr une remise en cause des pratiques des médecins et des personnels soignants qui doivent s’ouvrir à d’autres méthodes et se servir du potentiel du digital. Mais la clef de cette mutation appartient aux patients qui ont le pouvoir d’insuffler le changement. Si nous leur offrons sécurité et confiance, toutes les conditions seront réunies pour qu’ils soient les fers de lance de cette révolution positive.
