L’IA et la santé : quels enjeux juridiques et éthiques ?

IA et la santéMarguerite Brac de la Perrière décrypte pour Planète Robots, les enjeux juridiques et éthiques de l’IA et la santé (1).

Le dernier numéro de Planète Robots (n°63, juin-juillet-août 2020, numéro double) consacre un très large dossier au secteur médical, intitulé « Les robots et l’IA, une chance pour la santé ? ».

Le marché mondial de l’intelligence artificielle dans le secteur de la santé est en plein essor. Il pourrait atteindre 6,6 Mds de dollars en 2021, contre 634 M$ en 2014 (2).

Les IA sont désormais très largement utilisées dans le secteur de la santé, et ont été d’un grand secours pendant la crise sanitaire. Elle a ouvert l’ère d’une médecine de précision et d’une médecine personnalisée, mais aussi une médecine prédictive et préventive.  

Ses applications telles que l’aide au diagnostic, l’aide à la définition des traitements, les traitements personnalisés à partir du séquençage à haut débit du génome, la chirurgie assistée, le suivi des patients à distance, les robots compagnons, les prothèses intelligentes, permettent d’améliorer significativement la qualité et l’efficience des soins

Les domaines d’application concernent toutes les spécialités, mais en premier lieu l’imagerie et la dermatologie, et l’oncologie, sans pour autant oublier la médecine générale et la gériatrie.

L’IA et la santé, une affaire de données…

Les progrès spectaculaires, qui révolutionnent les services et prestations de soins de santé, s’accompagnent d’épineuses questions éthiques, déontologiques, mais aussi relatives à la responsabilité.

En premier lieu, la valeur créée par l’IA provient davantage des données nécessaires à l’apprentissage que de l’algorithme. Ce qui suppose le respect des règles gouvernant la protection des données personnelles ; en premier lieu celles ayant trait à :

  • l’information et au consentement des personnes qu’elles concernent,
  • la sécurité des données, mais aussi
  • la compatibilité des finalités de l’IA avec les finalités initiales des traitements.

Mais surtout, selon Marguerite Brac de La Perrière :

Il ne saurait y avoir d’algorithmes sans recours à des données ».

L’avocate propose ainsi un éclairage sur les problématiques juridiques et éthiques de l’IA dans la santé articulées autour :

  • de la protection des données, tant au niveau de la conception de l’outil, que dans le cadre de son utilisation ;
  • du rôle et de la responsabilité des éditeurs et utilisateurs professionnels de santé, dans le respect du principe de garantie humaine consacré dans le projet de loi de bioéthique ;
  • de la qualification et la certification des outils.

Isabelle Pottier
Lexing Département Etudes et publications

(1) Marguerite Brac de la Perrière pour Planète Robots, « L’IA et la santé : quels enjeux juridiques et éthiques ? », n°63, Juin-Juillet-Août 2020.
(2) Intelligence artificielle : État de l’art et perspectives pour la France, Etude Atawao Consulting pour le compte de la Direction générale des entreprises (DGE), le Commissariat général à l’égalité des territoires (CGET) et TECH’IN France, février 2019, disponible sur https://www.entreprises.gouv.fr/




La mise en œuvre de StopCovid

mise en œuvre de StopCovidComment opérer la mise en œuvre de StopCovid ? Pour clarifier la situation, la Cnil a publié sur son site internet les réponses aux questions fréquentes (1). Le but : mieux comprendre ses avis et recommandations sur la mise en œuvre de l’application StopCovid (2),

Ainsi, au 8 juin, l’application a franchi le cap du million d’utilisateurs ; alors que le décret encadrant son déploiement n’est paru au journal officiel que le 30 mai 2020. Il a préalablement recueilli l’avis de la Cnil (3).

Le nombre d’activations de StopCovid a atteint 1,4 million en une semaine, selon les derniers chiffres du Monde provenant du cabinet de Cédric O. Cependant, c’est loin d’être suffisant. Au point qu’une campagne de communication va être lancée par le gouvernement pour relancer les téléchargements. Elle ciblera particulièrement les lieux à forte densité (transports en commun notamment).

En bref, « l’application StopCovid est une application mobile mise à disposition par le Gouvernement dans le cadre de sa stratégie globale de déconfinement progressif. Disponible sur ordiphones (smartphones), son objectif est d’alerter les utilisateurs d’un risque de contamination lorsqu’ils ont été à proximité d’un autre utilisateur ayant été diagnostiqué ou dépisté positif à la COVID-19. Il s’agit d’un dispositif de suivi de contacts (contact tracing), qui repose sur le volontariat des personnes et utilise la technologie Bluetooth ».

Depuis son lancement, le gouvernement tente de développer l’usage de StopCovid au sein des clusters ou des départements particulièrement touchés. Il a par exemple, adressé un SMS courant juin, aux abonnés de téléphonie mobile guyanais les informant de l’existence de l’application. La Guyane est, en effet, la zone de France la plus touchée par le virus.

La mise en œuvre de StopCovid en quelques questions

Thématiques abordées Réponses apportées
Volontariat

– Absence de conséquences juridiques défavorables pour les personnes ne souhaitant pas installer l’application ;

– Absence de droit spécifique accordé aux personnes ayant installé le dispositif.

Anonymat

– Absence d’anonymat au sens de la réglementation relative à la protection des données :

– Echanges d’identifiants pseudonymes (suite de chiffres uniques pour chaque terminal) entre les smartphones, caractérisés de données à caractère personnel.

Mineurs – Invitation de la Cnil à insérer une information spécifique à destination des mineurs et de leurs parents
Conservation des données

– Durée de mise en œuvre du dispositif :

– 6 mois à compter de la fin de l’état d’urgence sanitaire, puis suppression.

– Durée de conservation des historiques de proximité des personnes diagnostiquées ou testées positives, des identifiants temporaires échangés entre les applications, des horodatages :

– 15 jours, puis suppression.

Transfert des données hors UE Non
Accès aux données Sous-traitants (hébergement, maintenance du système, etc.)
Droits

– Droit de s’opposer au traitement ;

– Droit de demander l’effacement des données.

Les contrôles à venir

La Cnil a annoncé procéder désormais à une série de contrôles de l’application StopCovid, ainsi que des fichiers SI-DEP et Contact Covid, mis en œuvre par le gouvernement afin de s’assurer du bon fonctionnement de ces dispositifs.

Pour rappel, les fichiers SI-DEP et Contact Covid permettent d’identifier les personnes contaminées ou susceptibles de l’avoir été. Ainsi, elles permettent de suivre les chaînes de contamination et d’assurer la prise en charge sanitaire des personnes ; de même que leur accompagnement. Enfin, elles permettent d’assurer la surveillance épidémiologique du virus.

La Cnil a aussi annoncé que les points de contrôle seront les suivants :

  • modalités de recueil de consentement et d’information des personnes ;
  • sécurité des systèmes d’information ;
  • flux de données et destinataires ;
  • respect des droits d’accès ou d’opposition des personnes.

Enfin, en cas de manquement graves ou répétées, la Cnil pourra prononcer des mises en demeure et/ou des sanctions.

Emmanuel Walle
Lexing Département social numérique

Isabelle Pottier
Lexing Département Etudes et publications

(1) « L’application mobile StopCovid en questions », 5 juin 2020, cnil.fr
(2) Délibération 2020-046 du 24 avril 2020 portant avis sur un projet d’application mobile dénommée « StopCovid » ; Délibération 2020-056 du 25 mai 2020 portant avis sur un projet de décret relatif à l’application mobile dénommé « StopCovid » ;
(3) Voir Isabelle Pottier, « Parution du décret encadrant l’application StopCovid », publié le 1er juin 2019.




Application StopCovid : libérons les technologies d’identification

Application StopCovidAlain Bensoussan a publié une tribune dans le quotidien L’Opinion.fr du 26 avril 2020, dans laquelle il livre son point de vue sur l’application StopCovid (1).

A ses yeux, l’épisode actuel est l’occasion de rappeler deux règles directrices fondamentales du monde numérique dans lequel nous vivons :

« les technologies doivent être avant tout au service de la santé et du bien-être (…), et elles doivent prendre en compte « l’essence du droit à la protection des données personnelles ».

Quelle que soit la technologie utilisée (Bornage téléphonique, localisation GPS, Bluetooth), « l’application StopCovid interpelle légitimement en ce qu’elle repose sur un « contact tracing » permettant d’identifier les personnes ayant été en contact avec le virus. D’un point de vue juridique, le projet est aujourd’hui possible au regard du règlement européen sur la protection des données (RGPD) qui autorise la mise en œuvre de solutions de suivi dans certaines hypothèses de « sécurité publique » incluant évidemment l’urgence sanitaire ».

Dans le cas d’un état d’urgence tel que nous le vivons aujourd’hui, il est ainsi possible de prendre des règles d’exception par rapport aux principes généraux.

Pour Alain Bensoussan, les technologies d’identification permettent de répondre à la présente situation à condition toutefois de respecter quatre conditions : « l’utilisation doit être limitée à la pandémie actuelle, les données collectées devront être détruites à l’issue de la crise, la Cnil devra être investie d’une mission de contrôle, une infraction spécifique sanctionnant toute utilisation de ces données hors Covid-19 devra être créée ».

L’enjeu de l’application StopCovid

Selon Alain Bensoussan, l’enjeu n’est pas le caractère privé de la vie mais la vie en tant que telle :

« si l’on veut se donner toutes les chances d’un déconfinement dans les meilleures conditions, il est urgent de libérer les technologies du XXIe siècle en permettant à chacun de pouvoir les utiliser. Et mettre en place des garanties assurant une utilisation optimale de la data en crise épidémiologique. 

Il s’agit d’un enjeu crucial : participer à la protection de la vie des autres et empêcher la mise en danger « involontaire » d’autrui ».

Lors de la présentation de la stratégie nationale de déconfinement du Gouvernement, à l’Assemblée nationale le 28 avril 2020, le Premier ministre a déclaré : « lorsque l’application en cours de développement fonctionnera et avant sa mise en œuvre, nous organiserons un débat spécifique, suivi d’un vote spécifique ». Mais il juge que pour l’heure, « le débat est un peu prématuré ».

(1) Retrouvez le point de vue d’Alain Bensoussan dans L’Opinion du 26 avril 2020, « Application StopCovid: libérons le potentiel des technologies d’identification ».




Gestion du COVID-19 et analyse des données de localisation

analyse des données de localisation

La Cnil a été auditionnée par la commission des lois le 8 avril sur l’utilisation de technologies d’analyse des données de localisation pour repérer les personnes atteintes du COVID-19.

Les technologies proposant une analyse des données de localisation des individus

Les technologies fondées sur l’analyse les déplacements de la population sont multiples : reconnaissance faciale, utilisations de drones, tracking, applications de « suivi de contacts » en utilisant la technologie des smartphones, etc.

L’analyse des données de localisation des individus permet aux autorités de :

  • cartographier la propagation du virus ;
  • faire respecter les mesures prises par les gouvernements ;
  • faire du suivi de contacts.

La position de la Cnil  

Dans son propos liminaire lors de son audition (1), la Cnil rappelle les règles issues du Règlement européen sur la protection des données du 27 avril 2916 (RGPD) et de la loi informatique et libertés modifiée.

  • Respect du principe de licéité : Le traitement devra reposer sur une base légale : consentement, obligation légale, mission d’intérêt public ou sauvegarde des intérêts vitaux des personnes. Si un suivi individualisé des personnes était mis en œuvre, la Cnil privilégie le volontariat, avec un consentement réellement libre et éclairé. Le fait de refuser l’application ne devra avoir aucune conséquence préjudiciable.
  • Possibilité de collecter des données de santé : La collecte de données de santé, en principe interdite, pourrait être autorisée par l’une des exceptions prévues à l’article 9 du RGPD et l’article 44 de la loi informatique et libertés modifiée, comme le consentement, la nécessité de la prise en charge sanitaire, l’intérêt public dans le domaine de la santé publique, etc.
  • Limitation des finalités : Les données ne pourront pas être traitées ultérieurement à des fins autres que la gestion de la crise sanitaire.
  • Respect du principe de minimisation des données : L’idée est de consommer le moins de données personnelles possible. Seules les données adéquates, pertinentes et limitées à ce qui est nécessaire pourront être collectées. La Cnil propose à titre d’exemple de collecter un identifiant unique généré lors de l’installation de l’application de suivi des contacts plutôt que de collecter des informations nominatives.
  • Limitation de la durée de conservation : La durée de conservation des données devra être limitée à la finalité. Ainsi, la Cnil recommande de détruire les données ou de les conserver un temps limité et de façon protégée, pour ne servir qu’à des finalités complémentaires de recherche ou de gestion d’éventuels contentieux.
  • Information des personnes concernées : Les personnes concernées devront être informées de manière transparente sur le dispositif mis en œuvre : données collectées, destinataire, finalité, etc.
  • Garantie d’une sécurité appropriée : Le stockage des données en local, sur le terminal de l’utilisateur doit être privilégié.
  • Dispositif adéquate, nécessaire et proportionné : Le dispositif mis en place devra être utile pour traiter la crise sanitaire et sans qu’aucune autre alternative efficace ne soit possible.

La Cnil recommande le traitement des données de localisation anonymisées, moins intrusif que le suivi individuel.

Ainsi, la Cnil fournit une première analyse « informatique et libertés » sur le recours à des technologies proposant une analyse des données de localisation des individus pour assurer un déconfinement le plus sécurisé possible. Les solutions numériques peuvent être un des éléments de ce déconfinement mais elles ne doivent pas être utilisées au détriment de la vie privée et des libertés individuelles.

Emmanuel Walle
Oriane Maurice
Lexing Département Social Numérique

(1) Cnil, Propos liminaire, audition commission des lois Assemblée nationale, 8 avril 2020.

 




Sécurité des SI de santé : les évolutions réglementaires récentes

Sécurité des SI de santé

Quelles sont les évolutions réglementaires récentes en matière de sécurité des SI de santé ?

Marguerite Brac de La Perrière, directrice du  département Droit de la santé numérique du cabinet Lexing Alain Bensoussan Avocats,  évoque pour  l’APSSIS (Association pour la sécurité des systèmes d’information de santé) les récentes évolutions réglementaires, leur dynamique, et les bonnes pratiques en matière de sécurité des systèmes d’information de santé.

Elle est interrogée par le Président de l’APSSIS Vincent Trely, en compagnie de son confrère Omar Yahia, Avocat au Barreau de Paris.

sécurité des

En ce qui concerne les systèmes d’information hospitaliers, on voit une évolution depuis la certification des hébergeurs de données de santé qui suivait elle-même l’agrément des hébergeurs, puis l’arrivée du RGPD jusqu’à la certification des systèmes d’information hospitaliers dont on parle pour l’année 2020…

La sécurité des SI de santé en pleine évolution

Pour Marguerite Brac de La Perrière, « il est intéressant de constater que toutes ces strates de réglementations convergent vers des objectifs communs de sécurité ». Par exemple, dans le programme HOP’EN pour « Hôpital numérique ouvert sur son environnement » (1) et dans le programme e-Parcours sur la transformation numérique du parcours de santé de l’usager, sont intégrées des obligations issues du RGPD :

  • avoir un DPO ;
  • respecter les droits des personnes, etc.

mais également des objectifs en termes de partage et d’échange des données de santé et de confidentialité des données.

Cela offre aux acteurs de la santé une homogénéité et une meilleure lisibilité des obligations de sécurité que l’on retrouve dans différents contextes ».

Par ailleurs, les nombreux débats qui ont pu avoir lieu notamment autour du périmètre des activités d’hébergement de données de santé relevant de la certification (activité numéro 5 de la certification HDS) (2) ont abouti à englober l’administration et l’exploitation du système d’information contenant les données de santé.

A travers les différentes certifications ainsi mises en place en matière de sécurité des SI de santé,

Il se profile une autre manière d’encadrer les diverses activités qui vont de la maintenance à l’infogérance complète ». (…)

Isabelle Pottier
Avocat, Lexing Alain Bensoussan Avocats
Directeur du département Etudes et publications

(1) Voir notre post du 25 avril 2019, « Santé numérique: les enjeux du programme Hop’EN« .
(2) Voir notre post du 3 juin 2019, « Le retrait annoncé de l’activité numéro 5 de la certification HDS« .

Avec l’aimable autorisation de l’APSSIS, Voir la vidéo « Conversation avec Maîtres Marguerite Brac de la Perrière et Omar Yahia » sur notre chaîne YouTube Lexing Alain Bensoussan – Avocats.




Covid-19 et données personnelles

Covid-19 et

Covid-19 et données personnelles : la collecte et le traitement des données personnelles pour endiguer la pandémie du Covid-19 sont particulièrement encadrés.

Covid-19 et données personnelles : le cadre légal

Les moyens de lutter contre la pandémie reposent sur certains outils susceptibles de collecter de nombreuses données personnelles, pour la plupart, « sensibles » :

  • traitements à des fins d’investigation par les autorités sanitaires (1) ;
  • questionnaires médicaux à des fins de gestion des suspicions d’exposition au virus par les employeurs (2) ;
  • jusqu’au « document » permettant de justifier d’un déplacement dérogatoire qui avait initialement été accepté en format numérique sur smartphone avant d’être finalement refusé, la Cnil ayant mis en garde contre les risques de phishing ou d’hameçonnage face aux nombreux sites non officiels proposant des solutions sans sécurisation du processus numérique…

La collecte et le traitement des données personnelles pour endiguer le virus pose de nombreuses questions liées à la sécurité et la confidentialité des données mais également au respect de la vie privée.

Ces données font par ailleurs l’objet d’une protection toute particulière par les dispositions du Code de la santé publique, le Code du travail ou encore le Code des postes et communications électroniques.

La collecte et le traitement des données

L’une des principales conditions à la licéité de la collecte des données et de leur traitement est le consentement des personnes concernées.

Il est l’une des six bases légales posées par le RGPD pour considérer qu’un traitement est licite. C’est même l’une des clés de voûte de la protection des données à caractère personnel.

Ce principe fait toutefois l’objet de dérogations. Ainsi, il est possible de traiter légalement des données personnelles malgré l’absence de consentement des personnes, notamment si le traitement est nécessaire

  • « à la sauvegarde des intérêts vitaux de la personne concernée ou d’une autre personne » ou
  • « à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement » (RGPD, art. 6, 1 d et e).

La collecte et le traitement de données dans le contexte de lutte contre la propagation du coronavirus, s’inscrit clairement dans ce cadre dérogatoire.

Néanmoins, il ne doit pas être porté atteinte au respect de la vie privée des personnes, notamment par la collecte de données de santé qui iraient au-delà de la gestion des suspicions d’exposition au virus.

Face aux interrogations des salariés et des employeurs, la Cnil a fait le point dans un communiqué daté du 6 mars dans lequel est abordé tout ce qui est interdit et autorisé en matière de collecte de données personnelles relatives à la gestion du Covid-19.

La sécurité des données

La loi Informatique et libertés met à la charge de toute personne qui traite des données à caractère personnel (responsable du traitement et sous-traitant), l’obligation d’en assurer la sécurité et la confidentialité, afin de garantir le respect de la vie privée des personnes au sujet desquelles ces informations sont enregistrées.

En outre, la loi applique deux principes nouvellement consacrés par le RGPD : la confidentialité des données personnelles dès la conception et par défaut.

Ces principes impliquent notamment que les données traitées soient limitées à ce qui est strictement nécessaire à la finalité du traitement, que des durées de conservation aient été fixées, qu’il existe des règles de suppression automatique des données et qu’un processus d’habilitation soit mis en place pour l’accès aux données personnelles au bénéfice des seules personnes ayant à en connaître.

Le contexte lié à la pandémie ne doit pas faire oublier qu’en tant que données sensibles des mesures particulières de sécurité doivent être mises en place à l’égard de ces données.

La sécurité des personnes

Dans son communiqué du 6 mars, la Cnil rappelle les obligations de l’employeur à l’égard des salariés et agents en matière de prévention des risques professionnels.

L’employeur doit prendre les mesures nécessaires pour assurer la sécurité et protéger la santé physique et mentale de ses salariés (C. du travail, art. L. 4121-1).

Les mesures de sécurité s’appliquent aux travailleurs au sens de salariés, y compris temporaires, et les stagiaires, ainsi que toute personne placée à quelque titre que ce soit sous l’autorité de l’employeur (C. du travail, art. L. 4111-5).

La Cnil indique que les mesures de sécurité que doit prendre l’employeur concernant la prévention des risques professionnels en matière de de pandémie, sont « L’évaluation et la collecte des informations relatives aux symptômes du coronavirus et des informations sur les mouvements récents de certaines personnes relevant de la responsabilité de ces autorités publiques ».

De son côté, « chaque employé/agent doit pour sa part mettre en œuvre tous les moyens afin de préserver la santé et la sécurité d’autrui et de lui-même : il doit informer son employeur en cas de suspicion de contact avec le virus ».

Nombreuses sont les entreprises à avoir pris des mesures organisationnelles (plan de continuité d’activité, confinement, télétravail, etc.).

La sécurité sanitaire et les messages d’alerte

Un message officiel du gouvernement adressé par SMS à des millions de Français le 17 mars pour les informer des règles de confinement a fait polémique.

Le Code des postes et des télécommunications électroniques autorise les autorités à saisir les opérateurs pour « l’acheminement des communications des pouvoirs publics destinées au public pour l’avertir de dangers imminents ou atténuer les effets de catastrophes majeures » (CPCE, Art. L. 33-1, f bis).

Les opérateurs doivent être en mesure d’assurer la transmission de messages d’alerte demandés par les autorités publiques en utilisant leurs infrastructures et listes d’abonnés pour en maximiser la diffusion.

Ces dispositions permettent aux autorités d’alerter facilement et rapidement la population via les téléphones portables par l’intermédiaire des opérateurs ainsi que l’y autorise le Code des communications électroniques européen en cas notamment de menace imminente d’attentat, d’incendie ou de catastrophe naturelle (3).

Aucun numéro de téléphone – donnée considéré comme personnelle-, n’est donc transmis à l’Etat qui ne détient pas de base de données regroupant l’ensemble des numéros de téléphone des abonnés.

La possibilité de traiter de telles données personnelles sans le consentement de l’intéressé entre dans les dérogations précédemment analysées pour assurer la sauvegarde des intérêts vitaux d’un État (RGPD, art. 6, 1 d et e).

Alain Bensoussan,
Mél : alain-bensoussan@lexing.law
L.D. : +33 (0)6 19 13 44 46

(1) Santé publique France, « Traitement de données à caractère personnel – Investigation relatives au nouveau Coronavirus (SARS-CoV-2) – COVID-19 », Suivi des cas possibles, des cas confirmés et des personnes contact par les ARS et Santé publique France.
(2) Cnil, « Coronavirus (Covid-19) : les rappels de la Cnil sur la collecte de données personnelles», 6 mars 2020.
(3) Directive (UE) 2018/1972 du 11 décembre 2018 établissant le code des communications électroniques européen (refonte).




Le référentiel Cnil de gestion des vigilances sanitaires

gestion des vigilances sanitairesLes traitements de gestion des vigilances sanitaires peuvent être mis en oeuvre après une déclaration de conformité à la Cnil.

Ce régime est issu du référentiel de gestion des vigilances sanitaires élaboré par la Cnil pour encadrer leur traitement conformément aux principes du RGPD (délibération du 9 mai 2019) .

Contexte applicable aux référentiels publiés par le Cnil

Certains traitements de données de santé à caractère personnel visés à l’article 65 de la loi Informatique et libertés sont régis par des dispositions spécifiques.

Il s’agit notamment, sauf exceptions visées au même article, des traitements de données de santé à caractère personnel nécessaires :

  • pour des motifs d’intérêt public important (RGPD, art. 9, 2) g) ;
  • pour ces mêmes motifs dans le domaine de la santé (RGPD, art. 9, 2) i) ;
  • à des fins de recherche scientifique ou historique ou à des fins statistiques (RGPD, art. 9, 2) j) ;
  • aux fins de l’exécution des obligations et de l’exercice des droits propres au responsable de traitement ou à la personne concernée en matière de droit du travail, de la sécurité sociale et de la protection sociale (RGPD, art. 9, 2) b).

Ces traitements ne peuvent être mis en œuvre que s’ils sont conformes à des référentiels. Le responsable du traitement doit adresser préalablement à la Cnil une déclaration attestant de cette conformité.

A défaut de se conformer à ces référentiels, ces traitements ne peuvent être mis en œuvre qu’après autorisation de la Cnil.

C’est donc dans ce cadre que s’inscrit le présent référentiel, accompagné de sa FAQ publiée par la Cnil.

Distinction avec les autres référentiels visés par la loi Informatique et libertés

Bien que la terminologie soit identique, la notion de référentiel, selon la loi de 78, apparaît polyforme et comprend :

  • des référentiels visés à l’article 8 de la loi Informatique et libertés. Ils sont établis et publiés par la Cnil pour faciliter la mise en conformité des traitements de données à la loi. Ils permettent aux responsables de traitement et sous-traitants d’évaluer les éventuels risques ;
  • des référentiels de certification de personnes, de produits, de systèmes de données et de procédures. Le but est de reconnaître leur conformité au RGPD et à la loi Informatique et libertés. Il existe aussi des référentiels d’agrément des organismes certificateurs (Loi IetL, art. 8) ;
  • ceux comme le présent référentiel auquel il convient de se conformer en application du contexte susvisé.

Champ d’application du référentiel de gestion des vigilances sanitaires

Tout d’abord, ce référentiel concerne :

  • les traitements de données de santé à caractère personnel liés à l’ensemble des vigilances sanitaires. Par exemple, pharmacovigilance, addictovigilance, biovigilance, cosmétovigilance, hémovigilance ; mais aussi toute autre vigilance figurant dans l’arrêté du 27 février 2017 qui nécessite une déclaration ou un signalement.  Il peut s’effectuer au moyen du portail de signalement des événements sanitaires indésirables ;
  • mis en œuvre par les acteurs suivants : fabricants, entreprises, exploitants, organismes responsables de la mise sur le marché d’un médicament, d’un dispositif ou d’un produit.

« Les professionnels et les systèmes ou services de soins de santé (établissement de santé, maisons de santé, centres de santé, agences sanitaires, etc.) ne sont pas concernés » par ce référentiel. En effet, ils ne sont pas concernés par les dispositions des articles 65 et suivants de la loi de 78 et ne requièrent, en principe, aucune formalité préalable (Cnil, FAQ, Le référentiel « vigilances sanitaires » en questions, 18 juillet 2019).

Traitements concernés par le référentiel de gestion des vigilances sanitaires

Ensuite, le référentiel énonce les finalités des traitements de gestion des vigilances sanitaires et leurs bases légales :

  • le traitement est nécessaire au respect des obligations légales imposées par les dispositifs de vigilance sanitaire (RGPD, art. 6, 1) c)) ;
  • le traitement est nécessaire pour des motifs d’intérêt public (RGPD, art. 9, 2) i)).

Les données personnelles concernées par le traitement, les destinataires et les durées de conservation des données sont aussi précisées.

Cela signifie que le responsable du traitement ne peut en bénéficier dans les hypothèses où :

  • un traitement aux fins de vigilance sanitaire comporte d’autres données que celles listées,
  • les données sont transmises à d’autres destinataires ou
  • des durées de conservation non conformes au référentiel sont prévues,

En pareils cas, il ne peut donc les mettre en œuvre qu’après autorisation de la Cnil.

Information des personnes concernées

Les personnes concernées doivent être informées dès la collecte des données des modalités de leur traitement (RGPD, art. 13 et 14).

Il s’agit des :

  • personnes exposées à l’événement sanitaire indésirable,
  • personnes ayant notifié l’événement sanitaire indésirable et
  • professionnels de santé ayant suivi la personne concernée par l’événement

Surtout, le référentiel relatif à la gestion des vigilances sanitaires précise :

  • qu’en cas de notification de l’événement sanitaire indésirable par la personne qui y est exposée, une information particulière doit lui être fournie préalablement, afin de l’informer que le secret de son identité ne sera pas préservé ;
  • que l’information doit également préciser la manière d’exercer les droits des personnes concernées.

Le support de l’information est libre et l’information peut être fournie par écrit ou à l’oral. Dans cette dernière hypothèse, la personne concernée peut obtenir la mise à disposition d’un support écrit.

Lorsque la notification de l’évènement est réalisée par une personne différente de celle exposée, l’information est fournie par le notificateur sur la base des éléments d’information écrits que lui a remis par le responsable de traitement.

A ce titre, il appartient au responsable du traitement de recueillir la preuve, le cas échéant auprès du notificateur, que l’information a été fournie.

Droits des personnes concernées

Au regard de la base juridique du traitement (respect d’une obligation légale), les personnes concernées ne disposent pas du droit :

  • d’opposition,
  • d’effacement des données,
  • à la portabilité des données.

Ainsi, les personnes concernées disposent des droits suivants :

Sécurité et hébergement des données

Le référentiel relatif à la gestion des vigilances sanitaires prévoit une liste de mesures de sécurité à mettre en œuvre par le responsable du traitement.

A défaut, il doit être en mesure de justifier de mesures équivalentes ou du fait de ne pas avoir besoin ou de ne pas pouvoir y recourir.

Le responsable peut recourir à un prestataire extérieur pour le stockage et la conservation des données de santé. Ce dernier doit être agréé ou certifié hébergeur de données de santé.

Dans l’hypothèse où le responsable du traitement n’est pas établi en France, il doit démontrer que son prestataire présente des garanties de sécurité équivalentes.

A défaut, le responsable du traitement ne peut pas bénéficier du présent référentiel et le traitement doit donc faire l’objet d’une autorisation préalable de la Cnil.

Transfert de données hors de l’Union européenne

De même, seules certaines données peuvent faire l’objet d’un transfert hors de l’Union européenne. Il s’agit des données indirectement identifiantes des personnes exposées à un événement sanitaire indésirable ; ou encore des données indirectement identifiantes des personnes ayant notifié l’événement.

Ce transfert doit être strictement nécessaire à la mise en œuvre du dispositif de vigilance et être réalisé dans les conditions prévues aux articles 45 et suivants du RGPD.

Pour bénéficier des exceptions prévues à l’article 49 du RGPD (dérogations pour des situations particulières), le traitement ne doit être ni répétitif, ni massif, ni structuré.

Analyse d’impact

Enfin, pour bénéficier du référentiel relatif à la gestion des vigilances sanitaires, le responsable de traitement doit réaliser une analyse d’impact sur la vie privée.

La consultation de la Cnil s’impose si, à l’issue de l’analyse d’impact, il est difficile d’identifier des mesures suffisantes pour réduire les risques à un niveau acceptable.

Marguerite Brac de la Perrière
Chloé Gaveau
Lexing Santé numérique




Point d’actualité sur la certification hébergeur de données de santé

certification hébergeur de données de santéMarguerite Brac de La Perrièredirectrice du département santé numérique du cabinet Lexing Alain Bensoussan Avocats fait un point d’actualité pour l’Apssis (1) sur la certification hébergeur de données de santé.

L’hébergement des données de santé est encadré par l’article L. 1111-8 du Code de la santé publique qui distingue :

  • les données hébergées sur support papier ou numérique dans le cadre d’un service d’archivage électronique, pour lesquelles l’hébergeur doit être agréé par le ministre chargé de la culture ; et
  • les données hébergées sur support numérique (hors cas d’un service d’archivage électronique), pour lesquelles l’hébergeur doit être titulaire d’un certificat de conformité, délivré par des organismes de certification accrédités par l’instance française d’accréditation.

Marguerite Brac de La Perrière rappelle le périmètre réglementaire initial des activités d’hébergement relevant de la certification (activités et certificats y afférents).

Après ce rappel, elle aborde les modifications qui ont été apportées par les autorités aux activités d’hébergement relevant de la certification ; par exemple, la limitation aux secteurs sanitaire et médico-social et le retrait annoncé de l’activité n°5.

Isabelle Pottier
Directeur Études et Publications
(1) «  Point d’actualité sur la certification hébergeur de données de santé »,  Site de l’Apssis, 6 mai 2019.



Santé numérique: les enjeux du programme Hop’EN

Le programme Hop’ENLe programme Hop’EN, « Hôpital numérique ouvert sur son environnement », poursuit la politique du numérique en santé initiée par le Programme Hôpital Numérique (2012-2018).

Lancé par la DGOS et encadré par son instruction du 12 février 2019, il s’inscrit dans le cadre de la stratégie de transformation du système de santé (STSS) « Ma santé 2022 » et de son volet numérique. Il a pour objectif une modernisation nationale des systèmes d’information hospitaliers à cinq ans.

Il mobilise un budget de 420 millions d’euros dans le cadre du grand plan d’investissement (GPI).

Objectifs du programme Hop’EN

Les objectifs du programme Hop’EN sont les suivants :

  • capitaliser et poursuivre les efforts engagés dans le cadre du programme Hôpital Numérique ;
  • renforcer la structuration des données hospitalières pour en faciliter le partage ;
  • le programme Hop’EN, « Hôpital numérique ouvert sur son environnement », poursuit la politique du numérique en santé initiée par le Programme Hôpital Numérique (2012-2018).Lancé par la DGOS et encadré par son instruction du 12 février 2019, il s’inscrit dans le cadre de la stratégie de transformation du système de santé (STSS) « Ma santé 2022 » et de son volet numérique. Il a pour objectif une modernisation nationale des systèmes d’information hospitaliers à cinq ans.Il mobilise un budget de 420 millions d’euros dans le cadre du grand plan d’investissement (GPI).

Objectifs du programme Hop’EN

Les objectifs du programme Hop’EN sont les suivants :

  • capitaliser et poursuivre les efforts engagés dans le cadre du programme Hôpital Numérique ;
  • renforcer la structuration des données hospitalières pour en faciliter le partage ;
  • développer et simplifier les liens entre l’hôpital et ses partenaires, notamment la ville et le médico-social dans une logique de prise en charge décloisonnée, via le développement de la MS Santé, du DMP, et d’autres outils territoriaux appuyés par le niveau national (via le programme e-parcours notamment) ;
  • accélérer la transformation numérique des établissements de santé pour rapprocher les hôpitaux de leurs patients en offrant des services numériques adaptés et sécurisés (prise de rendez-vous, paiement en ligne, …) dans le cadre de la mise en place de l’espace numérique de santé ;
  • harmoniser les services numériques des hôpitaux sur un même territoire pour que le patient vive avec plus de facilité le passage d’un établissement à l’autre et bénéficie d’un même niveau de services (dans le contexte GHT notamment).

Le programme s’appuie sur plusieurs leviers opérationnels pour atteindre ces objectifs : la gouvernance, les compétences, les partenaires, le financement, l’accompagnement, le pilotage et la communication, la recherche et l’évaluation. Ces leviers doivent aider les établissements à atteindre le palier de maturité nécessaire pour permettre aux systèmes d’information hospitaliers (SIH) de répondre aux nouveaux enjeux de décloisonnement du système de santé et de rapprochement avec les patients.

Chaque ARS est tenue d’élaborer sa « feuille de route régionale » décrivant ses objectifs en matière d’informatisation ainsi que les modalités de déclinaison du programme Hop’EN sur son territoire. L’ARS gère l’enveloppe régionale de soutien financier qui lui a été déléguée pour le programme, sélectionne et instruit les dossiers des établissements, et rend compte de l’avancement des projets aux instances nationales.

Respect des prérequis et domaines fonctionnels

Le programme Hop’EN pose des prérequis et liste des domaines fonctionnels.

Les 4 prérequis sont :

  • identités – mouvements ;
  • sécurité ;
  • confidentialité ;
  • échange et partage ;

Les 7 domaines fonctionnels sont :

  • les résultats d’imagerie, de biologie et d’anatomo-pathologie ;
  • le dossier patient informatisé et interopérable ;
  • la prescription électronique alimentant le plan de soins ;
  • la programmation des ressources et l’agenda du patient ;
  • le pilotage médico-économique ;
  • la communication et l’échange avec les partenaires ;
  • les services aux patients ;

Pour chaque prérequis et chaque domaine fonctionnel, la DGOS a développé des indicateurs permettant de vérifier si l’objectif est atteint.

Par exemple, pour le prérequis « échange et partage », l’un des indicateurs est l’existence et l’utilisation dans l’établissement d’une messagerie intégrée à l’espace de confiance MS Santé.

De même, pour le domaine fonctionnel « informatiser la prescription alimentant le plan de soins », l’un des indicateurs est le taux de séjours disposant de prescriptions d’examens de biologie informatisées, sachant que le seuil d’éligibilité pour le programme Hop’EN est un taux de 80 % des séjours concernés.

L’ensemble des indicateurs, permettant aux établissements de vérifier leur conformité avec les prérequis et les domaines fonctionnels du programme, figurent à l’annexe 1 de l’instruction de la DGOS du 12 février 2019.

La dotation de 420 millions d’euros allouée au programme HOP’EN, sera distribuée du second semestre 2019 à l’année 2023 aux établissements ayant répondu aux exigences du programme, donc à ces indicateurs.

20 % de l’enveloppe est dédiée à l’amorçage soit 84 millions d’euros, et 80 % réservée à l’atteinte des domaines d’usage soit 336 millions d’euros.

Exigences relatives à la protection des données

Les indicateurs des prérequis intègrent des exigences issues du Règlement européen relatif à la protection des données (RGPD).

En effet, le 2ème prérequis porte sur la sécurité des systèmes d’information. Il s’agit évidemment d’une exigence au cœur du RGPD, figurant à son article 32 : « le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque ».

Le 3ème prérequis porte sur la confidentialité, laquelle constitue l’un des principes fondamentaux du RGPD (article 5.1.f)).

Parmi les indicateurs de ce prérequis se trouvent :

l’information des patients sur les traitements de leurs données (articles 13 et 14 du RGPD) ;

l’information des patients sur leurs droits à cet égard (articles 15 à 22 du RGPD) ;

à nouveau la sécurité des données (article 32 du RGPD) ;

l’existence d’une fonction DPO au sein de l’établissement (articles 37 à 39 du RGPD) ;

Ainsi, le financement alloué dans le cadre du programme Hop’EN est conditionné par la mise en conformité par les établissements de santé au RGPD.

Une date butoire au 30 juin 2019, sauf dérogation

Les établissements de santé ou GHT souhaitant soumettre un projet informatique à financer dans le cadre du programme Hop’EN doivent répondre à un appel à manifestation d’intérêt (AMI), ouvert jusqu’au 30 juin prochain, en renseignant un module de pré-candidature au sein de l’oSIS (observatoire des SI de santé).

Les établissements candidats doivent avoir atteint les prérequis Hop’EN avant le dépôt de leur dossier ou, de façon dérogatoire, avant le 1er janvier 2021, faute de quoi le montant alloué au titre de l’amorçage devra être remboursé.

Les ARS sont chargées de présélectionner les candidatures et de présenter à la DGOS leur programmation pluriannuelle prévisionnelle de financement au plus tard le 30 août 2019.

Les établissements et GHT seront informés de la sélection ou du rejet de leur candidature au plus tard le 30 septembre.

Exceptionnellement, les établissements qui n’auront pas fait part de leur souhait de candidater au cours de l’AMI pourront transmettre ultérieurement leur candidature jusqu’au 31 décembre 2021, si l’ARS et son enveloppe régionale le permettent.


M
arguerite Brac de la Perrière
Isabeau de Laage
Lexing Département Santé numérique




Apssis : édition 2019 de la conférence juridique

Apssis

Marguerite Brac de La Perrière, directrice du département santé numérique du cabinet Lexing Alain Bensoussan Avocats est intervenue à  l’édition 2019 de la conférence juridique de l’ Apssis.

Apportant une vision juridique complémentaire de la vision technique sur les questions de SSI, de conformité réglementaire ou de projet, Marguerite  Brac de la Perrière s’est s’attaquée au sujet très complexe et très protéiforme de l’Intelligence artificielle.

Marguerite  Brac de la Perrière a partagé les nombreuses questions que suscitent tout projet d’IA, par exemple en ce qui concerne :

  • la qualification des acteurs, selon leurs rôles et responsabilités ;
  • l’anonymisation ou pseudonymisation de la personne concernée par les données médicales ;
  •  la détermination des finalités du traitement initial de collecte et traitement, et du traitement ultérieur d’anonymisation ou pseudonymisation ;
  • selon le cas, le consentement du patient à l’utilisation de ses données ;
  • l’éventuelle valorisation des prestations associées à la fourniture des données, ou des données anonymisées ;
  • la responsabilité des acteurs proposant les outils d’IA, et les utilisant ;
  • la traçabilité et l’auditabilité des résultats, notamment en cas de recours à des algorithmes d’IA appuyés sur des réseaux de neurones, etc.

En conclusion, la conception d’un outil d’IA suppose un encadrement dans le cadre de la fourniture des données, et l’utilisation d’un outil d’IA appelle une grande vigilance dans l’encadrement contractuel tenant compte de ces différentes questions.

« En direct de l’Apssis : la conférence juridique« , Communiqué DSIH du 4 avril 2019.

 




Les problématiques concernant le médicament électronique

Médicament électronique A ce jour, un seul médicament électronique est commercialisé aux Etats-Unis.

Anticiper son arrivée en France est nécessaire au vu des nombreux enjeux et problématiques qui peuvent d’ores et déjà être décelés.

Notion

Un médicament électronique est un médicament associé à un capteur électronique.

Le premier médicament électronique est un comprimé connu sous le nom d’Abilify , commercialisé depuis 2002, qui, dans sa version électronique commercialisée depuis 2017, porte le nom d’Abilify MyCite.

La molécule basique est associée à un capteur qui envoie un message à un patch collé sur la cage thoracique du patient. Le contact est émis grâce au contact du capteur avec les liquides présents dans l’estomac. Le patch transmet alors l’heure et la date de la prise du médicament à une application mobile afin que les patients puissent suivre cette information sur leur smartphone.

Outre la seule utilisation à destination des patients, ce médicament peut également permettre à une équipe médicale d’accéder à ces données collectées via un site internet.

Le médicament électronique est, pour l’instant, utilisé uniquement chez l’adulte comme traitement contre la schizophrénie et les troubles bipolaires.

Son but principal consiste en l’amélioration de la prise des médicaments par ces patients.

Quid de la vie privée ?

Les experts montrent déjà leur inquiétude sur ce que cette pilule pourrait signifier pour la vie privée.

En effet, il existe de nombreuses possibilités d’abus de cette technologie comme moyen de sanctionner un patient qui ne prendrait pas ses médicaments correctement.

A titre d’illustration, ce nouveau système de traçabilité pourrait largement profiter aux compagnies d’assurance.

En effet, ces dernières pourraient s’en servir pour vérifier que leurs assurés prennent bien les traitements qu’elles ont remboursé. En cas de non-respect des doses prescrites, ces données pourraient leur permettre d’augmenter les cotisations et garanties d’un patient.

Quid de la responsabilité ?

La prise d’un médicament électronique peut permettre un suivi à distance de certains malades.

Or, les défaillances constatées dans la prise de médicaments pourraient-elles engendrer une responsabilité accrue de la personne chargée de cette surveillance ?

La responsabilité des équipes médicales ou encore du fabricant pourrait-elle être engagée lorsque le patient devient dangereux pour les autres ou pour lui-même ?

La question, non tranchée, amènera à de vifs débats.

Quid des données personnelles ?

Les données médicales sont des données qui nécessitent une protection renforcée.

Ainsi, leur protection et les problématiques de potentiel piratage méritent d’être anticipées.

Le RGPD, entré en vigueur le 25 mai 2018, permet dès à présent de donner des réponses quant aux obligations notamment des développeurs des applications mobiles et interfaces logicielles de suivi de la prise du médicament électronique.

En effet, le règlement s’applique dès lors qu’une application de santé contient une connexion extérieure au smartphone de l’utilisateur. La responsabilité du traitement de ces données repose sur celui qui en détermine les finalités et moyens d’applications.

Les données collectées doivent, par ailleurs, par avoir des finalités déterminées, explicites et légitimes.

Un encadrement législatif nécessaire

La technologie étant très récente, celle-ci n’est pas encore totalement encadrée.

D’autres capteurs électroniques pouvant être avalés sont également en attente de validation ou en cours de développement.

Par exemple, un capteur a été mis au point par le MITpour surveiller les signes vitaux de l’intérieur du tube digestif.

Ces nouvelles technologies pourraient aider les professionnels de la santé à mieux diagnostiquer les maladies .

De nouvelles avancées pour le traitement médical pourraient voir le jour concernant la surveillance de la santé à l’intérieur même du corps humain.

Cependant, il est impératif que ces nouvelles technologies soient encadrées afin de prévenir certains abus.

Eve Renaud-Chouraqui
Sarah Rosenbach

Lexing Concurrence Propriété industrielle contentieux




Panorama du droit de la donnée en 2019, secteur social et médico-social

Panorama du droit de la donnéeAurélie Banck interviendra lors de la journée Ressourcial pour faire un Panorama du droit de la donnée dans le secteur social et médico-social.

Cette journée d’étude est consacrée à la « Protection des données personnelles & RGPD : comment le secteur social et médico-social s’empare du sujet ».

Cette problématique de la protection des données personnelles prend en effet une importance toute particulière dans le secteur social et médico-social avec la mise en application, le 25 mai dernier, du RGPD (règlement général sur la protection des données) et, le 20 juin, de la loi Informatique et Libertés modifiée.

Le changement majeur tient au fait qu’il appartient maintenant aux organismes gestionnaires de se mettre, seuls, en conformité, de maintenir cette conformité dans le temps et d’en apporter la preuve. Par delà la réponse à ces responsabilités (et contraintes) nouvelles on peut aussi faire de la mise en conformité un levier pour instaurer une meilleure gouvernance des données.

Aurélie Banck interviendra à la table ronde  « Panorama du droit de la protection des données en 2019 » et plus particulièrement sur « L’accountability vis-à-vis des données de santé, un changement de paradigme : responsabilité de traitement et analyses d’impact ».

Aurélie Banck est certifiée CIPP/E et CIPM et s’est vu délivrer la qualification FIP par l’IAPP et formateur IAPP pour la préparation du CIPP/E et CIPM.

Cette journée d’étude se tient jeudi 28 mars 2019 à l’espace « The Camp»  d’Aix-en-Provence.

Information et inscriptions, adressez votre demande à contact@ressourcial.fr

Programme.

Date : 28 mars 2019
Lieu :  espace « The Camp »
550 rue Denis Papi
13100 Aix-en-Provence

Isabelle Pottier
Directeur Études et Publications




Conservation des données du profil biologique des sportifs

profil biologique des sportifsUn décret modifie la durée de conservation des données médicales dans le profil biologique des sportifs géré par l’AFLD (agence française de lutte contre le dopage).

Rappel du dispositif concernant les traitements des données personnelles médicales des sportifs

Le décret n° 2018-373 du 18 mai 2018 s’inscrit dans le dispositif légal français visant à la prévention, la recherche, la constatation et la poursuite des infractions à la réglementation antidopage (1).

Pour mémoire, la loi n° 2012-348 du 12 mars 2012 a modifié le Code du sport en créant le profil biologique des sportifs (2).

L’article L.232-12-1 dudit Code dispose que :

« Les prélèvements biologiques mentionnés au premier alinéa de l’article L. 232-12 peuvent avoir pour objet d’établir le profil des paramètres pertinents dans l’urine ou le sang d’un sportif aux fins de mettre en évidence l’utilisation d’une substance ou d’une méthode interdite en vertu de l’article L. 232-9. Les renseignements ainsi recueillis peuvent faire l’objet, dans des conditions fixées par décret en Conseil d’Etat, d’un traitement informatisé par l’Agence française de lutte contre le dopage (AFLD) dans le respect des dispositions de la loi n° 78-17 du 6 janvier 1978 relative à l’information, aux fichiers et aux libertés. »

Les contrôles antidopage permettent donc d’établir le profil biologique des sportifs. Des profils, regroupant toutes les données personnelles médicales du sportif contrôlé, pour évaluer dans le temps les effets d’un produit spécifique sur son organisme et déceler d’éventuelles variations physiologiques anormales.

La loi n° 2012-348 du 12 mars 2012 précitée fut notamment complétée par un avis favorable de la Commission nationale de l’informatique et des libertés (Cnil), estimant que «ces finalités sont déterminées, explicites et légitimes» et que le «traitement créé par l’AFLD est justifié par la poursuite d’un intérêt public, à savoir garantir la santé publique et l’intégrité des compétitions sportives« .

Par décret n°2013-1317 du 27 décembre 2013, l’AFLD était autorisée à créer un traitement automatisé de données à caractère personnel visant à faciliter la mise en œuvre du profil biologique des sportifs (3).

Apport du décret du 18 mai 2018 : modification des durées de conservation des données personnelles médicales du profil biologique des sportifs

En principe, le profil biologique des sportifs, ainsi que tous les procès-verbaux de contrôle suite à un prélèvement sanguin (Art. R.232-67-1 du Code du sport) doivent indiquer si le sportif a participé à des stages en moyenne ou haute altitude ou a eu recours à un dispositif de simulation de l’altitude au cours des trois derniers mois (Art. R.232-41-3 du Code du sport).

Désormais, seuls les stages ou les simulations réalisées dans les deux semaines précédant le contrôle antidopage doivent être déclarés par le sportif.

Deuxièmement, toutes les données personnelles du sportif inscrites dans son profil biologique et relatives à :

  • l’état civil du sportif ;
  • l’activité du sportif ;
  • aux indications communiquées par le sportif sur un traitement médical en cours ou récent ;
  • aux données hématologiques mesurées ou calculées dans les échantillons de sang du sportif ;
  • aux données mesurées ou calculées dans les échantillons d’urine du sportif.

doivent être supprimées dans un délai de dix ans (au lieu de huit ans) à compter de leur enregistrement dans le profil biologique par l’ALFD (Art. R. 232-41-8 Code du sport).

Cet allongement de la durée de conservation des données personnelles médicales dans le profil biologique des sportifs permettra de détecter les variations physiologiques sur une période plus longue.

En conséquence, ce décret renforce le dispositif légal de lutte contre le dopage sportif.

Marie Soulez
Guillaume Paugam
Lexing Département Propriété intellectuelle contentieux

(1) Décret n° 2018-373 du 18 mai 2018 modifiant les dispositions de la partie réglementaire du code du sport relatives à l’établissement du profil biologique des sportifs et au traitement automatisé de données à caractère personnel résultant de sa mise en œuvre (JORF du 20-05-2018).
(2) Loi n° 2012-348 du 12 mars 2012 tendant à faciliter l’organisation des manifestations sportives et culturelles (JORF du 13-03-2012) : article L. 232-12-1 du code du sport.
(3) Décret n°2013-1317 du 27 décembre 2013 autorisant la création d’un traitement automatisé de données à caractère personnel visant à mettre en œuvre l’établissement du profil biologique des sportifs mentionnés à l’article L. 232-15 du code du sport (JORF du 31-12-2013).




Incidents de sécurité des systèmes d’information de santé

systèmes d’information de santéLes obligations de signalement des incidents de sécurité des systèmes d’information de santé se multiplient. A compter du 25 mai 2018, de nouvelles obligations de notification des violations de données à caractère personnel entreront en application (1). Celles-ci s’ajouteront aux obligations de signalement déjà mises en place concernant les failles de sécurité des systèmes d’informations de santé.

Signalement à l’ARS

Depuis le 1er octobre 2017, les établissements de santé et les organismes et services exerçant des activités de prévention, de diagnostic ou de soins ont l’obligation de signaler à l’Agence régionale de santé (ARS) les incidents graves de sécurité des systèmes d’information, à charge pour l’ARS de transmettre le signalement des incidents jugés significations à l’Agence des Systèmes d’Information Partagé de Santé (ASIP Santé).

Issue de la loi de modernisation de notre système de santé (2) et précisée par un décret du 12 septembre 2016 (3), cette obligation avait fait l’objet d’un précédent article.

Plus récemment, une instruction du ministère des solidarités et de la santé (4) a précisé le rôle des ARS dans la mise en œuvre du dispositif de déclaration obligatoire et de traitement des signalements des incidents graves de sécurité des systèmes d’information des structures de santé.

Conditions de signalement à l’ARS

L’instruction rappelle que le signalement des incidents de sécurité est obligatoire et doit être effectué, par le directeur de la structure, par le biais du portail concernant le signalement des évènements sanitaires indésirables figurant à l’adresse : http://signalement.social-sante.gouv.fr.

Le signalement est effectué sans délai après son observation.

A cet égard, seuls les incidents graves de sécurité des systèmes d’information de santé doivent être signalés, c’est-à-dire :

  • les incidents ayant des conséquences potentielles ou avérées sur la sécurité des soins ;
  • ceux ayant des conséquences sur la confidentialité ou l’intégrité des données de santé ;
  • ou encore, ceux portant atteinte au fonctionnement normal de l’établissement, de l’organisme ou du service.

L’instruction précise également que, lorsque le déclarant considère avoir besoin d’une aide spécifique pour gérer l’incident dans de brefs délai, il en informe le Fonctionnaire en charge de la sécurité des systèmes d’informations (FSSI) à l’adresse ssi@sg.social.gouv.fr , en parallèle du signalement qu’il a réalisé par le biais du portail.

Traitement des signalements par les ARS

Le signalement poursuit un objectif double de suivi des incidents et d’aide aux structures concernées à prendre des mesures de sécurité utiles.

Une Cellule Accompagnement Cybersécurité des Structures de Santé (ACSS) a été mise en place pour le traitement des signalements. Ce traitement consiste à accompagner la structure déclarante afin de répondre à l’incident concernant les systèmes d’information de santé.

Ainsi, après avoir qualifié le signalement et définit la criticité de l’incident, le rôle de la cellule ACSS consiste à proposer à la structure des actions concrètes afin de stopper la progression de l’incident et de protéger les systèmes d’information de santé.

Dans le cadre de ses missions, la cellule ACSS peut solliciter les éditeurs de logiciels participant à la prise en charge du patient ainsi que les hébergeurs de données de santé et les prestataires de services assurant la protection des données ou des systèmes d’information de santé en tant qu’acteur participant au traitement des incidents de sécurité.

En présence d’un incident significatif, le traitement de l’incident de sécurité est piloté par le FSSI ou le Haut Fonctionnaire de Défense et de Sécurité (HFDS).

Signalement des incidents de sécurité à l’Anssi

A cette obligation de signalement des incidents de sécurité des systèmes d’information de santé s’ajoutent plusieurs autres obligations de notification des incidents de sécurité auprès de l’Agence Nationale de la Sécurité des Systèmes d’Information (Anssi).

Conformément à l’article R. 1332-41-10 du Code de la défense, tout opérateur d’importance vitale (OIV) relevant du secteur « Produits de santé » déclare chaque incident affectant la sécurité ou le fonctionnement de son système d’information d’importance vitale auprès de l’ANSSI, dès que l’opérateur en a connaissance, par le biais d’un formulaire de déclaration disponible sur le site internet de l’agence (5) ;

Signalement des violations de données à la Cnil

A compter du 25 mai 2018, lorsque l’incident porte sur des traitements de données à caractère personnel, le responsable de traitement devra notifier à la Cnil la violation en question dans les meilleurs délais et, si possible, 72h au plus tard après en avoir pris connaissance.

Lorsque la violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et libertés de la personne concernée, le responsable du traitement en informe ces derniers dans les meilleurs délais.

Au vu de ces multiples obligations de signalement et de notification mises à la charge des structures de santé, des procédures internes permettant de répondre à ces obligations doivent être développées dont :

  • procédure de signalement des incidents de sécurité du système d’information ;
  • procédure de violation des données à caractère personnel ;
  • registre des violations de données à caractère personnel.

Ces documents doivent permettre d’identifier :

  • le type d’incident de sécurité ;
  • les personnes et administrations à informer ;
  • les délais à respecter.

Marguerite Brac de La Perrière
Chloé Gaveau
Lexing Santé numérique

(1) Règlement général sur la protection des données, art. 33 et 34.
(2) Loi n° 2016-41 du 26 janvier 2016 de modernisation de notre système de santé, art. 110
(3) Décret n° 2016-1214 du 12 septembre 2016 relatif aux conditions selon lesquelles sont signalés les incidents graves de sécurité des systèmes d’information
(4) Instruction n° SG/SHFDS/FSSI/2017/281 du 26 septembre 2017 relative au rôle des ARS dans la mise en œuvre du dispositif de déclaration obligatoire et de traitement des signalement des incidents graves de sécurité des systèmes d’information des structures de santé
(5) Arrêté du 10 juin 2016 fixant les règles de sécurité et les modalités de déclaration des systèmes d’information d’importance vitale et des incidents de sécurité relatives au sous-secteur d’activités d’importance vitale « Produits de santé » et pris en application des articles R. 1332-41-1, R. 1332-41-2 et R. 1332-41-10 du code de la défense




Hospitalia et les impacts du RGPD pour les acteurs de santé

RGPD pour les acteurs de santéMarguerite Brac de La Perrière, interrogée sur les impacts du RGPD pour les acteurs de santé, répond à Anaïs Guilbaud pour la revue Hospitalia.

Ainsi que le présente Anaïs Guilbaud, le Règlement Général pour la Protection des Données (RGPD) adopté le 27 avril 2016, entrera en vigueur le 25 mai 2018. Cette nouvelle réglementation européenne, qui vise à renforcer la protection des données personnelles, repose sur une plus grande responsabilisation des acteurs de traitements et de leurs sous-traitants. Si de nombreuses formalités auprès de la CNIL sont amenées à disparaître, les structures et entreprises concernées devront désormais assurer une protection appropriée des données dès la conception et par défaut, mais également être en mesure de démontrer leur conformité avec le règlement à tout moment. Des changements à anticiper dès maintenant, au regard des sanctions encourues. Elle a donc interrogé Marguerite Brac de La Perrière, Avocate au cabinet Lexing Alain Bensoussan Avocats, Directrice du département santé numérique, sur les impacts du RGPD pour les acteurs de santé.

Morceaux choisis

Selon Marguerite Brac de La Perrière, le RGPD vise à « créer un espace de confiance, permettant d’assurer, aux personnes dont les données sont traitées, le respect de leurs droits ».

Un enjeu majeur au regard des sanctions encourues : selon l’avocate, jusque là, celles-ci « n’étaient pas réellement dissuasives notamment en comparaison de l’investissement nécessaire à une mise en conformité ».

Et Marguerite Brac de La Perrière de préciser : « Nous voyons déjà les effets de cette responsabilisation chez nos clients qui se bousculent pour cartographier leurs traitements, identifier les écarts à la réglementation, et entreprendre les actions nécessaires à leur mise en conformité.  Si dans le domaine de la santé, les acteurs, respectueux du secret médical, étaient déjà sensibilisés et relativement vigilants vis-à-vis de la protection des données, des adaptations organisationnelles, techniques et juridiques s’imposent, notamment face à l’évolution des outils numériques.« 

Quant à la désignation du délégué à la protection des données (DPO), nouveau pivot de la conformité RGPD, il conviendrait de choisir quelqu’un « qui a la possibilité de conduire ses missions en toute indépendance, d’obtenir les moyens de les réaliser, et qui rapporte au niveau le plus élevé de la direction« .

S’agissant plus particulièrement du monde de la santé, Marguerite Brac de La Perrière estime que « la sécurité des données passe par une stricte politique d’habilitations, des accès authentifiés à l’aide d’un moyen d’authentification forte, la traçabilité, le chiffrement des données ou des flux, et en tous cas des sauvegardes, et un hébergement sécurisé et dédié des données« .

In fine, avec la mise en conformité au RGPD, il s’agit d’un « travail d’envergure que de déterminer les écarts avec la réglementation. Dans le cas d’un établissement de santé, il faudra analyser le cheminement des données de leur collecte à leur suppression définitive, c’està-dire processus par processus, et ce, service par service. Il y a donc lieu de se faire aider, sur les plans juridique et technique, afin d’être en mesure d’établir une feuille de route permettant d’arriver à une complète conformité« .

Eric Bonnet
Lexing Département Communication juridique

Lire l’article :
Interview de Marguerite Brac de La Perrière par Anaïs Guilbaud, « Mise en place du RGPD : ce qu’il faut savoir« , Hospitalia n° 39 déc. 2017 p.38.




Hébergement et traitement illicite de données de santé

traitement illicite de données de santéUn médecin hospitalier est sanctionné pour avoir procédé à un traitement illicite de données de santé. Les décisions faisant application des règles relatives au traitement et à l’hébergement de données de santé sont suffisamment rares pour que le jugement rendu par le Tribunal de grande instance de Marseille le 7 juin 2017 (1) soit commenté.

Les faits de l’espèce

Dans cette affaire, un patient de l’Assistance publique – Hôpitaux de Marseille (ci-après, l’« AP-HM ») a déposé une plainte du chef de violation du secret professionnel à l’encontre de cet hôpital, expliquant qu’il avait pu retrouver sur internet, en tapant son nom et son prénom, ses données et notamment son numéro de sécurité sociale, ainsi que le dossier médical concernant la naissance de son fils. Il pouvait également accéder et modifier l’ensemble des dossiers médicaux présents sur cette plateforme internet, sans qu’aucune identification ou authentification ne lui soit demandée.

Après avoir requis la fermeture du site internet, l’AP-HM a également déposé plainte, après avoir identifié un praticien hospitalier comme étant responsable de la mise en place de la plateforme internet contenant des dossiers patients et une base épidémiologique. Cette plateforme avait été créée à l’initiative de ce praticien et permettait à son équipe, de suivre la prise en charge des patients.

Dans le cadre de l’enquête, il a été découvert que l’hébergeur de la base de données n’était pas agréé pour l’hébergement de données de santé et que l’identification et l’authentification à la base n’étaient pas sécurisées.

Les trois personnes suivantes ont été poursuivies :

  • le responsable de la Direction des Systèmes d’Information et de l’Organisation (DSIO) de l’AP-HM pour avoir procédé ou fait procéder à un traitement de données à caractère personnel sans prendre les mesures de sécurité nécessaires ;
  • le praticien à l’initiative du traitement, pour avoir procédé ou fait procéder à un traitement de données à caractère personnel sans autorisation de la Cnil ;
  • le gérant de la société ayant procédé à la création de la plateforme internet qui servait à la réalisation du traitement, d’une part, pour avoir procédé au traitement sans prendre les mesures de sécurité nécessaires et, d’autre part, pour avoir hébergé des données de santé à caractère personnel sans agrément ou choisi un hébergement non agréé.

Traitement illicite de données de santé

Le praticien a été condamné à une amende de cinq mille euros pour traitement de données à caractère personnel sans autorisation de la part de la Cnil.

En effet, certains traitements de données de santé à caractère personnel, visés à l’article 25 de la loi Informatique et libertés (L. 78-17), sont soumis à autorisation de la Cnil. Le montant de la sanction pour non-respect des obligations découlant de cette loi peut atteindre jusqu’à trois millions d’euros depuis la loi pour une République numérique (art. 65 qui a modifié l’art. 47 de la L. 78-17).

Il appartenait ainsi au praticien, en tant que responsable du traitement, d’effectuer cette demande d’autorisation, en particulier en ce qu’il avait été à l’initiative de la création de la plateforme, avait rédigé son cahier des charges technique et fait appel à un prestataire technique pour sa réalisation.

Quant aux deux autres personnes mises en cause, elles ont été relaxées dans la mesure où, d’une part, le DSIO n’avait pas participé au développement de la plateforme et, d’autre part, le gérant de la société ayant procédé à la création et à la mise en ligne de la plateforme sur internet n’avait pas la qualité de responsable du traitement.

L’AP-HM aurait pu être mise en cause si le praticien n’avait pas agi seul et que la plateforme avait été développée en partenariat avec l’AP-HM, par le biais, par exemple, de contributions humaines et financières.

Hébergement illégal de données de santé

Il est ensuite reproché au gérant de la société ayant conçu la plateforme et l’ayant mise en ligne de ne pas être agréé en tant qu’hébergeur de données de santé à caractère personnel ou de ne pas avoir choisi un hébergeur agréé pour l’hébergement de données de santé à caractère personnel.

En effet, en application du premier alinéa de l’article L. 1111-8 du Code de la santé publique :

« Toute personne qui héberge des données de santé à caractère personnel recueillies à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, pour le compte de personnes physiques ou morales à l’origine de la production ou du recueil desdites données ou pour le compte du patient lui-même, doit être agréée à cet effet ».

L’article L. 1115-1 du Code de la santé publique sanctionne tout hébergeur de données de santé n’ayant pas été agréé pour l’hébergement de données de santé à caractère personnel conformément à l’article L. 1111-8 précité.

Toutefois, le gérant est également relaxé de ce chef.

En effet, d’une part, il n’est pas l’hébergeur des données, celui-ci ayant seulement procédé à la création de la plateforme ainsi qu’à sa mise en ligne temporaire et, d’autre part, l’article L. 1115-1 précité ne sanctionne pas le fait d’avoir fait appel à un hébergeur tiers non agréé mais seulement le fait d’héberger des données de santé sans agrément.

Seul le véritable hébergeur de la plateforme internet, s’il avait été mis en cause dans cette affaire, aurait pu être condamné sur ce fondement.

Marguerite Brac de La Perrière
Chloé Gaveau
Lexing Santé numérique

(1) TGI de Marseille, 6ème ch. corr., 7-6-2017.




Accès à son dossier médical : le rappel à l’ordre de la CNIL

Accès à son dossier médicalLa Cnil a de nouveau sanctionné un professionnel libéral refusant l’ accès à son dossier médical à un ancien patient. Elle a publié en juin un rappel à l’ordre relatif à l’accès au dossier médical des patients, à l’occasion d’une sanction prononcée contre un cabinet dentaire (1).

Accès à son dossier médical

Un ancien patient avait demandé une copie de son dossier médical au cabinet dentaire, qui avait refusé. L’ancien patient avait alors porté plainte auprès de la Cnil pour refus de communication de son dossier médical.

L’article L.1111-7 du Code de la santé publique lui assure en effet le droit d’accéder aux données de santé le concernant :

« Toute personne a accès à l’ensemble des informations concernant sa santé détenues, à quelque titre que ce soit, par des professionnels et établissements de santé, qui sont formalisées ou ont fait l’objet d’échanges écrits entre professionnels de santé » .

L’article 39 de la loi Informatique et libertés permet également aux personnes concernées d’obtenir « La communication, sous une forme accessible, des données à caractère personnel qui la concernent ».

Communication du dossier médical

La communication du dossier médical doit s’effectuer dans un délai bien précis : entre 2 et 8 jours après la demande du patient. Ce délai est porté à 2 mois lorsque les informations médicales datent de plus de cinq ans.

Le cabinet dentaire n’ayant pas fait droit à la demande du patient, et ce malgré la mise en demeure de la Cnil et la relance adressée, la Cnil a prononcé par une délibération du 18 mai 2017 une sanction pécuniaire de 10.000 € et la publication de la délibération de façon anonymisée.

A l’occasion de cette sanction, la Cnil rappelle que « chaque professionnel de santé doit mettre en place une procédure permettant de répondre aux demandes faites par le patient d’accéder aux données figurant dans son dossier médical et administratif. ».

Elle souligne par ailleurs que chaque année, elle reçoit un nombre significatif de plaintes concernant le droit d’accès à un dossier médical, dont la moitié concerne des médecins libéraux.

Marguerite Brac de La Perrière
Aude Latrive
Lexing Santé numérique

(1) Délibération de la formation restreinte de la Cnil SAN – 2017-008 du 18-5-2017 prononçant une sanction pécuniaire à l’encontre de la société d’exercice libéral à responsabilité limitée X




Secret médical et sanctions en cas d’hébergement non agréé

Secret médical et sanctions en cas d’hébergement non agréé

Des précisions sont apportées sur le secret médical et les sanctions de l’hébergement non agréé de données de santé.

Parmi les ordonnances gouvernementales prises en application de la loi de modernisation de notre système de santé le 12 janvier 2017, l’ordonnance n°2017-31 (1) vise à mettre en cohérence les textes existants avec la loi de modernisation de notre système de santé du 26 janvier 2016.

En effet, l’article 225 de la loi de modernisation de notre système de santé (2) autorisait le gouvernement à « prendre par ordonnances les mesures relevant du domaine de la loi visant à assurer la cohérence des textes au regard des dispositions de la présente loi et à abroger les dispositions devenues sans objet ».

L’ordonnance permet ainsi de remédier aux oublis du législateur sur quelques points.

Secret médical

Entre autres dispositions relatives au service public hospitalier ou autres précisions, l’ordonnance modifie la rédaction de l’article L1110-4 du Code de la santé publique relatif au secret médical (3) afin de rectifier « une erreur rédactionnelle de cohérence ». En effet, la liste des entités soumises au secret médical et devant respecter les dispositions de cet article s’est trouvé amoindrie par la référence au livre III de la 6ème partie du code précité, relatif à « l’aide médicale urgente, permanence des soins, transports sanitaires, télémédecine et autres services de santé », excluant de facto les établissements de santé et les laboratoires de biologie médicale.

La formulation retenue désormais est :

« I. – Toute personne prise en charge par un professionnel de santé, un établissement ou service, un professionnel ou organisme concourant à la prévention ou aux soins dont les conditions d’exercice ou les activités sont régies par le présent code, le service de santé des armées, un professionnel du secteur médico-social ou social ou un établissement ou service social et médico-social mentionné au I de l’article L. 312-1 du code de l’action sociale et des familles a droit au respect de sa vie privée et du secret des informations le concernant. »

Sanction de l’hébergement non agréé des données de santé

L’ordonnance procède également à une « correction rédactionnelle » de l’article L1115-1 du Code de la santé publique (4). Cet article sanctionnant tout hébergeur de données de santé n’ayant pas été agréé n’avait pas été harmonisé avec l’article L1111-8 du code précité (5) relatif à l’hébergement (6).

Le périmètre des déposants avaient ainsi été étendu dans la règle de principe et non dans la sanction.

Ainsi seul l’hébergement de données recueillies auprès des établissements de santé et des professionnels de santé pouvait être sanctionné.

L’ordonnance a ainsi permis d’harmoniser ces dispositions :

« La prestation d’hébergement de données de santé à caractère personnel recueillies auprès de personnes physiques ou morales à l’origine de la production ou du recueil de ces données ou directement auprès des personnes qu’elles concernent sans être titulaire de l’agrément prévu par l’article L. 1111-8 ou de traitement de ces données sans respecter les conditions de l’agrément obtenu est puni de trois ans d’emprisonnement et de 45 000 euros d’amende ».

Par ailleurs, cet article a été modifié par l’ordonnance n°2017-27 du 12 janvier 2017 relatif à la procédure de certification (7).

Marguerite Brac de la Perriere
Aude Latrive
Lexing Santé numérique

(1) Ordonnance 2017-31 du 12-12-2017 de mise en cohérence des textes au regard des dispositions de la loi 2016-41 du 26-1-2016 de modernisation de notre système de santé et Rapport au Président de la République
(2) Loi 2016-41 du 26-1-2016 de modernisation de notre système de santé, art. 225
(3) CSP, art. L1110-4
(4) CSP, art. L1115-1
(5) CSP, art. L1111-8
(6) Lire notre Post du 18-1-2017
(7) Lire notre Post du 23-1-2017




La Cnil publie les règles du dossier pharmaceutique

La Cnil publie les règles du dossier pharmaceutique

La Cnil publie les règles relatives à l’ouverture, la consultation et la clôture du dossier pharmaceutique.

Saisie de plusieurs plaintes relatives à l’ouverture du dossier pharmaceutique, la Cnil publie les règles d’ouverture, de consultation et de clôture du dossier pharmaceutique, et les modalités d’exercice des droits Informatique et libertés.

Elle rappelle ainsi les principes qui sont attachés au dossier pharmaceutique en soulignant que ce dernier demeure facultatif (1).

Ouverture du dossier pharmaceutique

Ce dossier informatisé est ouvert par un pharmacien à tout assuré social qui le souhaite (2).

Au moment de son ouverture, le pharmacien doit recueillir oralement le consentement de l’assuré et lui remettre une brochure pour l’informer de son fonctionnement, ainsi qu’une attestation de création d’un dossier pharmaceutique (3).

Si le pharmacien propose à l’assuré d’ouvrir un dossier pharmaceutique, ce dernier est en droit de le refuser sans motif. Son refus est consigné et au bout de trois sollicitations infructueuses, le dossier pharmaceutique ne doit plus lui être proposé.

Par ailleurs, tout représentant légal peut ouvrir un dossier pharmaceutique à un mineur ou un majeur protégé (4). Dans le cas de mineur de 16 ans et plus possédant une carte vitale, ces derniers peuvent ouvrir seul un dossier pharmaceutique.

Lorsque le bénéficiaire devient majeur, son dossier pharmaceutique est maintenu à condition que le pharmacien obtienne son consentement.

Aujourd’hui, c’est 38 millions de dossiers pharmaceutiques qui ont été ouverts depuis 2007, dont 34 millions actifs en 2016, ainsi que 99,8% de pharmacies raccordées au dispositif.

Le Conseil national de l’ordre des pharmaciens (CNOP) est le responsable du traitement.

Informations contenues dans le dossier pharmaceutique

Le dossier pharmaceutique contient (5) :

  • les données d’identification de l’assuré : nom, prénom, date de naissance, sexe et rang de naissance dans le cas de naissances multiples ;
  • l’ensemble des médicaments délivrés à l’assuré avec et sans ordonnance au cours des 4 derniers mois pour les médicaments classiques, au cours des 3 dernières années pour les médicaments biologiques et les 21 dernières années pour les vaccins. Les données saisies sont celles relatives au nom du médicament, la quantité délivrée et la date de délivrance ;
  • les données d’identification du pharmacien étant intervenu dans le dossier pharmaceutique de l’assuré et sa date d’intervention.

L’assuré reste libre de refuser qu’un pharmacien ou un médecin consulte son dossier ou que certains médicaments y soient inscrits.

Accès au dossier pharmaceutique

Ce dossier est accessible et modifiable par des pharmaciens et uniquement accessible en lecture seule aux médecins en charge d’un patient dans un établissement de santé.

Avantage

L’objectif de ce dossier pharmaceutique est de pouvoir déceler les risques d’interactions médicamenteuses.

Interaction avec le dossier médical partagé

Il est prévu que les informations du dossier pharmaceutique qui peuvent être utiles à la coordination des soins soient également retranscrites dans le dossier médical partagé.

Droit d’accès à son dossier pharmaceutique et de rectification

L’assuré peut faire usage des droits qu’il tient de la loi Informatique et libertés. Ainsi, il peut obtenir une copie de son dossier pharmaceutique en s’adressant à toute pharmacie connectée au dispositif à condition de justifier de son identité.

La copie papier qui lui est alors communiquée peut lui être facturée au prix de la reproduction.

Par ailleurs, l’assuré peut également demander l’historique des interventions dans son dossier pharmaceutique, c’est-à-dire les logs de connexion à son dossier. A ce titre, le Conseil national de l’ordre des pharmaciens a mis à la disposition des assurés un formulaire permettant d’interroger directement l’hébergeur des données. Ainsi, l’assuré peut alors connaitre la pharmacie ayant créé son dossier pharmaceutique.

De plus, l’assuré peut également obtenir que ses données soient rectifiées par le pharmacien ayant accès à son dossier.

Sécurité

L’accès à la plateforme sur laquelle sont hébergés les dossiers pharmaceutiques est sécurisé.

Elle n’est accessible qu’en combinant la carte vitale de l’assuré et la carte professionnelle du pharmacien.

Les données du dossier pharmaceutique sont hébergées auprès d’un hébergeur agréé de données de santé qui a été sélectionné par le Conseil national de l’ordre des pharmaciens. De plus, ces données sont chiffrées.

Cet hébergeur peut accéder aux données en cas d’alerte sanitaire pendant 32 mois supplémentaires aux 4 mois consultables dans le dossier pharmaceutique.

Une fois cette durée de conservation arrivée à son terme, les données sont détruites, ainsi que les traces d’intervention.

Clôture du dossier pharmaceutique

La clôture du dossier pharmaceutique peut être demandée au pharmacien et obtenue par l’assuré à tout moment. Dans ce cas, une attestation de clôture lui est remise (6).

En tout état de cause, ce dossier pharmaceutique sera clôturé automatiquement par l’hébergeur s’il n’a pas été ouvert pendant3 ans.

Dossier pharmaceutique ouvert sans accord de l’assuré

Le consentement de l’assuré demeure oral et non pas écrit, ce qui complexifie le fait d’apporter la preuve inverse.

Néanmoins dans le cas où l’assuré est certain de ne jamais avoir donné son consentement, il peut saisir la Cnil. De la même façon, s’il n’arrive pas à exercer ses droits, comme le droit d’accès ou de rectification, il peut également se tourner vers la Cnil.

Lexing Alain Bensoussan Avocats
Lexing Informatique et libertés

(1)  Cnil, Les grands fichiers en fiches, Le Dossier Pharmaceutique (DP), 12-10-2016.
(2)  CSP, art. L1111-23.
(3)  CSP, art. R1111-20-3.
(4)  CSP, art. R1111-20-3 précité.
(5)  CSP, art. R1111-20-2.
(6)  CSP, art. R1111-20-4.




Règlement européen et hébergement de données de santé

Règlement européen et hébergement de données de santéQuel impact le règlement européen sur la protection des données a-t-il sur l’hébergement agréé des données de santé ?

Nouvelles obligations pour les sous-traitants

Le règlement européen sur la protection des données, adopté le 27 avril 2016, sera applicable et opposable à tout responsable de traitement et sous-traitant à compter du 25 mai 2018.

La nouvelle procédure de certification d’hébergeur de données de santé sera probablement mise en place avant l’application du règlement (1), la loi de modernisation de notre système de santé. Elle devra nécessairement prendre en compte les nouvelles obligations découlant dudit règlement.

En effet, l’hébergeur de données de santé, agréé en vertu des articles L 1111-8 et R 1111-9 et suivants du Code de la santé publique (3), est un sous-traitant au sens du règlement européen (1).

L’hébergeur agréé sera dès lors soumis directement aux obligations suivantes :

  • le recours à la sous-traitance par le sous-traitant est subordonné à l’autorisation écrite spécifique préalable du responsable de traitement (art. 28) ;
  • la tenue d’un registre de toutes les catégories d’activités de traitement effectuées pour le compte du responsable de traitement (art. 30) ;
  • la coopération avec l’autorité de contrôle (art. 31) ;
  • la mise en œuvre de mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque (art. 32) ;
  • la notification au responsable de traitement de toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance (art. 33) ;
  • la désignation d’un délégué à la protection des personnes sous certaines conditions (art. 37) (4) ;
  • le respect des règles relatives aux transferts de données hors Union européenne (art. 44).

Par ailleurs, le contrat d’hébergement devra prévoir les engagements suivants du sous-traitant (art. 28) :

  • réalisation de traitement uniquement sur instructions du responsable de traitement ;
  • engagement du personnel tenu, par convention ou par obligation légale, à la confidentialité ;
  • réalisation des mesures nécessaires de sécurité ;
  • demande d’autorisation préalable du responsable de traitement pour toute sous-traitance ;
  • création des conditions techniques et organisationnelles nécessaires pour permettre au responsable de s’acquitter de son obligation de donner suite aux demandes d’exercice de leurs droits par les personnes concernées ;
  • aide du responsable à garantir le respect des obligations prévues aux articles 32 à 36 (sécurité des données, notifications de violations de données personnelles, analyse d’impact, consultation préalable) ;
  • suppression ou renvoi des données au terme de la prestation ;
  • mise à disposition du responsable et de l’autorité de contrôle de toutes les informations nécessaires.

Il convient dès lors de modifier les modèles de contrat d’hébergement des hébergeurs agréés.

Le sous-traitant est en outre pleinement responsable des prestations confiées à son propre sous-traitant (art. 28).

Règlement : ce qui change pour les hébergeurs agréés

Les hébergeurs de données de santé appliquent déjà de strictes mesures de sécurité, en vertu de leur agrément. Ce qui change, c’est qu’ils seront directement responsables vis-à-vis de l’autorité de contrôle, en sus de leur éventuelle responsabilité civile et pénale découlant du non-respect de leur agrément.

Concrètement, la tenue d’un registre, la notification des violations de données personnelles, la désignation d’un délégué à la protection des données sont autant de mesures nouvelles qui devront être mises en place par les hébergeurs.

Il conviendra également d’encadrer, dans les contrats d’hébergement, l’assistance apportée par l’hébergeur au responsable de traitement, son client, s’agissant des droits des personnes et s’agissant de ses obligations relatives à la sécurité des données, à la notification des violations de données personnelles, à l’analyse d’impact et à la consultation préalable.

A date, les contours du rôle du sous-traitant dans la réalisation de l’analyse d’impact, telle que définie à l’article 35 du nouveau règlement européen, ne sont pas clairement définis. Le 16 juin 2016, la Cnil a lancé à ce sujet une consultation, dont les contributions sont disponibles en ligne (5) et devrait rendre son rapport prochainement.

Marguerite Brac de la Perriere
Aude Latrive
Lexing Santé numérique

(1) Règlement (UE) 2016/679 du 27-4- 2016.
(2) Loi 78-17 du 6-1-1978 relative à l’informatique, aux fichiers et aux libertés.
(3) CSP, art. L1111-8 et R1111-9 et suivants.
(4) L’article 37 du Règlement européen prévoit trois cas obligatoires de désignation d’un délégué à la protection des données :
(a) traitement effectué par une autorité publique ou un organisme public, à l’exception des juridictions ;
(b) en cas d’opérations de traitement qui, du fait de leur nature, de leur portée et/ou de leurs finalités, exigent un suivi régulier et systématique à grande échelle des personnes concernées;
(c) en cas de traitement à grande échelle de données sensibles et de données à caractère personnel relatives à des condamnations pénales et à des infractions (ce dernier cas est susceptible d’inclure les hébergeurs agréés de données de santé).
(5) Cnil, Consultation sur le règlement européen sur la protection des données, 19-7-2016.




Décrets sur l’échange et le partage des données de santé

Décrets sur l’échange et au partage des données de santéLes décrets concernant l’échange et le partage de données de santé  entre professionnels sont parus.

Précisions sur l’échange et le partage de données de santé

Le décret d’application du 20 juillet 2016 (1) encadre plus précisément l’échange et le partage de données de santé entre professionnels.

L’article L1110-4 du Code de la santé publique (2) relatif à l’échange et au partage des données de santé a été réformé par la loi du 26 janvier 2016 de modernisation de notre système de santé (3).

La distinction entre échange et partage de données de santé a été clarifiée et chaque type d’opérations dispose de son régime propre.

Ainsi est désormais autorisé, sous réserve de l’information du patient de son droit d’opposition, l’échange entre « un ou plusieurs professionnels identifiés d’informations relatives à une même personne prise en charge, à condition qu’ils participent tous à sa prise en charge et que ces informations soient strictement nécessaires à la coordination ou à la continuité des soins, à la prévention ou à son suivi médico-social et social ».

De même, est autorisé le partage entre professionnels appartenant à une même équipe de soins, sous réserve de l’information du patient de son droit d’opposition, d’informations « concernant une même personne qui sont strictement nécessaires à la coordination ou à la continuité des soins ou à un suivi médico-social et social ».

Pour le partage entre professionnels n’appartenant pas à la même équipe de soins, un consentement spécifique est requis.

Le décret d’application apporte une liste exhaustive des professionnels entrant dans le champ d’application de l’article L1110-4 du Code de la santé publique et en tant que tels autorisés à échanger et partager des données de santé entre eux.

Sont ainsi visés deux catégories de professionnels :

  • professionnels de santé de la quatrième partie du Code de la santé publique ;
  • professionnels relevant des sous-catégories suivantes :
  • assistants de service social ;
  • ostéopathes, chiropracteurs, psychologues et psychothérapeutes, aides médico-psychologiques et accompagnants éducatifs et sociaux ;
  • assistants maternels et assistants familiaux ;
  • éducateurs et aides familiaux, personnels pédagogiques occasionnels des accueils collectifs de mineurs, permanents des lieux de vie ;
  • particuliers accueillant des personnes âgées ou handicapées ;
  • mandataires judiciaires à la protection des majeurs et délégués aux prestations familiales;
  • non-professionnels de santé salariés des établissements et services et lieux de vie et d’accueil, ou y exerçant à titre libéral en vertu d’une convention ;
  • non-professionnels de santé mettant en œuvre la méthode d’action pour l’intégration des services d’aide et de soins dans le champ de l’autonomie pour la prise en charge d’une personne âgée en perte d’autonomie ;
  • non-professionnels de santé membres de l’équipe médico-sociale compétente pour l’instruction des demandes d’allocation personnalisée d’autonomie, ou contribuant à cette instruction en vertu d’une convention.

Lorsque des échanges ou partages d’informations ont lieu entre les deux catégories, la personne concernée doit être préalablement informée des informations concernées, et, pour l’échange, de l’identité du destinataire ou de sa qualité.

De même, tout échange ou partage d’informations relatives à une personne hors d’état d’exprimer sa volonté, en cas d’urgence ou d’impossibilité de l’informer, doit faire l’objet d’une information de la personne, dès que son état de santé le permet.

Précisions sur la définition d’une équipe de soins

Un second décret du 20 juillet 2016 (4) est venu préciser la définition de l’équipe de soins.

L’article L1110-12 du Code de la santé publique (5), créé par la loi du 26 janvier 2016 de modernisation de notre système de santé (3), définit l’équipe de soins comme un :

« ensemble de professionnels qui participent directement au profit d’un même patient à la réalisation d’un acte diagnostique, thérapeutique, de compensation du handicap, de soulagement de la douleur ou de prévention de perte d’autonomie, ou aux actions nécessaires à la coordination de plusieurs de ces actes ».

L’équipe de soins est envisagée selon trois axes :

  • même établissement de santé, établissement de santé des armées, établissement ou service social ou médico-social, et même structure de coopération, exercice partagé et coordination sanitaire ou médico-sociale figurant sur une liste fixée par le décret précité :
    • groupements hospitaliers de territoire ;
    • fédérations médicales inter-hospitalières ;
    • groupements de coopération sanitaire, de coopération sociaux et médico-sociaux, d’intérêt public, d’intérêt économique si l’objet est la prise en charge médicale coordonnée de personnes ;
    • maisons et centres de santé ;
    • sociétés d’exercice libéral et toute autre personne morale associant des professionnels de santé libéraux, lorsqu’elles ont pour objet la prise en charge médicale coordonnée de personnes ;
    • organisations mises en œuvre dans le cadre des protocoles de coopération ;
    • plateformes territoriales d’appui ;
    • réseaux de santé ;
    • coordinations territoriales ;
    • équipes pluridisciplinaires et équipes médico-sociales intervenant au titre de l’allocation personnalisée d’autonomie ;
  • reconnaissance par le patient de la qualité de membre de l’équipe de soins ;
  • exercice commun de plusieurs professionnels, dont au moins un professionnel de santé, présentant une organisation formalisée et des pratiques conformes à un cahier des charges fixé par un arrêté du ministre chargé de la Santé.

Marguerite Brac de la Perriere
Aude Latrive
Lexing Santé numérique

(1) Décret 2016-994 du 20-7-2016 relatif aux conditions d’échange et de partage d’informations entre professionnels de santé et autres professionnels des champs social et médico-social et à l’accès aux informations de santé à caractère personnel.
(2) CSP, art. L1110-4.
(3) Loi 2016-41 du 26-1-2016 de modernisation de notre système de santé.
(4) Décret 2016-996 du 20-7-2016 relatif à la liste des structures de coopération, d’exercice partagé ou de coordination sanitaire ou médico-sociale dans lesquelles peuvent exercer les membres d’une équipe de soins.
(5) CSP, art. L1110-12.

 




Données de santé : impact du règlement sur les formalités

Données de santé : impact du règlement sur les formalitésLes formalités préalables relatives aux données de santé sont-elles simplifiées par le règlement européen ?

Le règlement européen  sur la protection des données à caractère personnel (1), adopté le 27 avril 2016, sera applicable et opposable à tout responsable de traitement et sous-traitant à compter du 25 mai 2018.

Protection des données, analyse d’impact et consultation préalable

L’article 35 du règlement européen met en place, dans l’optique d’une responsabilisation des responsables de traitement et des sous-traitants, une « analyse d’impact relative à la protection des données ».

Cette analyse doit être menée au préalable par le responsable de traitement pour tout type de traitement qui, « en particulier par le recours à de nouvelles technologies, et compte tenu de la nature, de la portée, du contexte et des finalités du traitement, est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques ».

L’autorité de contrôle, en France la Cnil, doit publier une liste de types d’opérations de traitement pour lesquels une analyse d’impact est requise et a la possibilité de publier une liste de types d’opérations de traitement pour lesquels aucune analyse d’impact n’est requise.

Les traitements opérés en application d’une obligation légale, en exécution d’une mission d’intérêt public, ou relevant de l’exercice de l’autorité publique, si la base juridique est issue du droit de l’Union ou d’un Etat membre, ne sont pas soumis à une analyse d’impact préalable.

L’article 36 du règlement européen impose une consultation préalable de l’autorité de contrôle par le responsable de traitement « lorsqu’une analyse d’impact relative à la protection des données indique que le traitement présenterait un risque élevé si le responsable du traitement ne prenait pas de mesures pour atténuer le risque ».

Le règlement laisse la possibilité aux Etats membres d’exiger que le responsable de traitement consulte l’autorité de contrôle et obtienne son autorisation préalable en ce qui concerne le traitement effectué dans le cadre d’une mission d’intérêt public, y compris dans le cadre de la protection sociale ou de la santé publique.

Ainsi, le droit national pourra maintenir un régime d’autorisation en matière de santé.

Difficultés d’interprétation

La Cnil a lancé le 16 juin 2016 une première consultation (2) sur quatre thèmes inscrits au plan d’action 2016 du G29 (3), dont les « études d’impact sur la vie privée ».

Les diverses contributions doivent permettre d’alimenter le travail du G29, chargé d’établir des lignes directrices. Le 19 juillet 2016, la consultation fut close avec 225 contributeurs, 540 contributions, 994 votes (4).

En effet, ces exigences de réaliser une analyse d’impact ou une consultation préalable ont suscité et suscitent toujours de nombreuses interrogations de la part des responsables de traitement.

Que signifie « un risque élevé » ? Comment comprendre « traitements à grande échelle » ? Quels critères, quelle méthode appliquer pour réaliser l’analyse d’impact ? Est-ce que le caractère sensible des données (ex. données de santé) serait un critère déterminant pour décider de réaliser une analyse d’impact ? Une consultation préalable de l’autorité de contrôle serait-elle nécessaire ? Quels rôles jouent les différents acteurs dans cette analyse d’impact ?

L’établissement de listes répertoriant les types d’opérations de traitement nécessitant ou non une analyse d’impact facilitera sans doute la tâche des responsables de traitement, notamment pour les données de santé à caractère personnel.

Impact sur les formalités

En outre, au fil des ans, des formalités simplifiées ont été mises en place par la Cnil avec notamment des normes simplifiées, pour les pharmacies ou les opticiens, mais également des méthodologies de référence dans le cadre de recherche dans le domaine de la santé.

Une simple déclaration de conformité était nécessaire au responsable de traitement pour réaliser ces traitements. Avec le règlement, une analyse d’impact pourrait être sans doute nécessaire, ce qui représenterait une charge plus lourde.

Autant de questions, de précisions, d’interprétations, sur lesquels devra se pencher le G29 afin de permettre une application harmonisée du règlement en matière de santé.

Marguerite Brac de la Perriere
Aude Latrive
Lexing Santé numérique

(1) Règlement (UE) 2016/679 du 27-4-2016.
(2) Cnil, Consultation sur le règlement européen : aidez-nous à construire le mode d’emploi opérationnel, 16-6-2016.
(3) WP29, Statement on the 2016 action plan for the implementation of the General Data Protection Regulation (GDPR), 2 February 2016 (anglais).
(4) Cnil, Consultation sur le règlement européen sur la protection des données, 19-7-2016.




Open data santé : le rapport de la Cour des comptes

Open data santé : le rapport de la Cour des comptesLa Cour des comptes formule 13 recommandations en open data santé, aux termes d’un rapport publié le 3 mai 2016.

La Cour des comptes a publié, le 3 mai 2016, un rapport relatif aux données personnelles de santé gérées par l’Assurance maladie (1), demandé par la Commission des affaires sociales et la mission d’évaluation et de contrôle des lois de financement de la sécurité sociale de l’Assemblée nationale.

Open data santé et SNDS

Le Système National d’Information Inter-Régimes de l’Assurance Maladie (SNIIRAM) a été créé par la loi de financement de la sécurité sociale pour 1999 (2) dans le but d’améliorer la qualité des soins, la gestion de l’assurance maladie et d’assurer la transmission aux prestataires de soins des informations pertinentes relatives à leur activité. Cette base de données met à disposition de ses destinataires les informations hospitalières issues du Programme de médicalisation des systèmes d’information (PSMI), celles relatives aux décès, et celles relatives aux soins ambulatoires.

L’article 193 de la loi de modernisation de notre système de santé du 26 janvier 2016 (3) a mis en place un véritable « open data santé » avec la création du Système National des Données de Santé (SNDS), intégrant notamment les données du SNIIRAM (4).

Organisation du SNDS

La Cour des comptes a mis en exergue les fragilités du SNIIRAM et les points d’amélioration à apporter au SNIIRAM et donc au SNDS. Elle considère comme prioritaire la sécurisation de l’existant, l’amélioration de la gouvernance et l’assurance de la fluidité des accès selon une approche à la fois rigoureuse et ouverte, afin d’encourager l’utilisation des données de santé à des fins d’intérêt général.

Outre les recommandations visant à améliorer la qualité des données et la gestion financière du SNIIRAM, elle souhaite, dans un objectif constant de construction d’un open data santé, optimiser l’exploitation de ces données vers de nouvelles utilisations, notamment, à des fins de gestion du risque, pour sanctionner plus systématiquement les comportements abusifs, fautifs et frauduleux, mais également intensifier l’utilisation du SNIIRAM par les pouvoirs publics et tout autre opérateur.

Finalités poursuivies par le SNDS

S’agissant du SNDS, elle recommande de hiérarchiser, dans le prolongement de la loi de modernisation de notre système de santé (3), les finalités poursuivies par le SNDS, tels que détaillées à l’article L 1461-1-III du Code de la santé publique (4), afin de définir les investissements à consentir et les accès permanents et ponctuels à autoriser. En effet, le SNDS vise à la mise à disposition des données de santé pour contribuer :

« 1° A l’information sur la santé ainsi que sur l’offre de soins, la prise en charge médico-sociale et leur qualité ;
2° A la définition, à la mise en œuvre et à l’évaluation des politiques de santé et de protection sociale ;
3° A la connaissance des dépenses de santé, des dépenses d’assurance maladie et des dépenses médico-sociales ;
4° A l’information des professionnels, des structures et des établissements de santé ou médico-sociaux sur leur activité ;
5° A la surveillance, à la veille et à la sécurité sanitaires ;
6° A la recherche, aux études, à l’évaluation et à l’innovation dans les domaines de la santé et de la prise en charge médico-sociale ».

Gestion du SNDS

Le rôle des différents acteurs dans la gestion du pilotage et des accès au SNDS devra également être précisé. En effet, la gestion technique du SNDS est donnée à la Caisse Nationale de l’Assurance Maladie des Travailleurs Salariés (CNAMTS). Quant à l’Institut National des Données de Santé (INDS) nouvellement créé par la loi de modernisation de notre système de santé (3), il se voit confier des missions diverses non limitatives (5) :

« 1° De veiller à la qualité des données de santé et aux conditions générales de leur mise à disposition, garantissant leur sécurité et facilitant leur utilisation dans le respect de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
2° D’assurer le secrétariat unique mentionné à l’article 54 de la même loi ;
3° D’émettre un avis sur le caractère d’intérêt public que présente une recherche, une étude ou une évaluation, dans les conditions prévues au même article 54 ;
4° De faciliter la mise à disposition d’échantillons ou de jeux de données agrégées mentionnées au V dudit article 54, dans des conditions préalablement homologuées par la Commission nationale de l’informatique et des libertés ;
5° De contribuer à l’expression des besoins en matière de données anonymes et de résultats statistiques, en vue de leur mise à la disposition du public ».

Protection des données à caractère personnel

Enfin, la Cour des comptes recommande de simplifier les procédures devant la Commission nationale de l’informatique et des libertés (Cnil) pour l’accès ponctuel aux données du SNDS, par la mise en place d’une politique de contrôle a posteriori et d’allègement des formalités a priori.

La mise à disposition des données à caractère personnel du SNDS pour permettre des traitements à des fins de recherche, d’étude ou d’évaluation contribuant à l’une des finalités du SNDS et répondant à un motif d’intérêt public nécessite une autorisation préalable de la Cnil sur le fondement du chapitre IX de la loi Informatique et libertés (6), après avis du comité d’expertise pour les recherches, les études et les évaluations dans le domaine de la santé et, le cas échéant de l’INDS.

La Cour préconise l’adoption par la Cnil d’une méthodologie de référence comme l’y autorise l’article 54 de la loi Informatique et libertés (6) et permettant aux demandeurs réalisant des recherches, études ou évaluations d’adresser une simple déclaration de conformité à la Cnil. De même, des autorisations cadres ou uniques pour les traitements non soumis au chapitre IX de la loi Informatique et libertés devraient également être envisagées comme l’autorise l’article 25 de ladite loi (6).

Ces décisions devraient être envisagées selon des priorités concertées avec l’Etat et l’INDS.

Marguerite Brac de la Perriere
Aude Latrive
Lexing Santé numérique

(1) Cour des comptes, Rapport du 3-5-2016, « Les données personnelles de santé gérées par l’assurance maladie » (open data santé).
(2) Loi 98-1194 du 23-12-1998, CSS art. L161-28-1 et Arr. du 19-7-2013.
(3) Loi 2016-41 du 26-1-2016 de modernisation de notre système de santé.
(4) Art. L1461-1 du Code de la santé publique.
(5) Art. L1462-1 du Code de la santé publique.
(6) Loi 78-17 du 6-1-1978.

 




Objets connectés de santé : de nouveaux services et usages ?

Objets connectés de santé : de nouveaux services et usages ?Benjamin-Victor Labyod est intervenu aux Cafés économiques de Bercy sur le thème des objets connectés de santé.

Il a répondu aux questions de l’équipe des Cafés économiques de Bercy sur les enjeux et perspectives du développement d’un écosystème d’acteurs dans le domaine de la santé connectée.

Quels sont les enjeux et perspectives du développement d’un écosystème d’acteurs dans le domaine de la santé connectée ? E-Santé (sport, bien-être, médical) & objets connectés : enjeux et opportunités ? Quelles problématiques rencontrées par les acteurs (startups, PME, grands groupes) ? telles étaient quelques une des questions abordées lors de ce Café économique, inscrit dans le cadre de Futur en Seine (1), festival du numérique en Ile de France organisé par Cap Digital.

Professionnel du secteur, startups, consultants, et étudiants étaient venus assister à cette rencontre. Benjamin-Victor Labyod était l’un des intervenants du café économique organisé le 17 juin 2016 sur le thème « Objets connectés & Santé : vers de nouveaux services et usages ? » (2), autour de six autres intervenants :

  • Georges Fisher, consultant digital et fondateur de la société Fischer Corporate Consulting International ;
  • Aymeric Buthion, expert objets connectés et santé, bureau des Usages du numérique, Direction Générale des Entreprises (DGE), ministère économiques et financiers ;
  • Victoria Benhaim, fondadrtice de la société MyQRCodeVital, société qui propose sous la marque Liva des bijoux connectés transportant, via un QR code unique, les données vitales d’un individu telle une véritable empreinte digitale de santé ;
  • Cécille Jolly, Directrice Marketing du groupe Korian ;
  • Willy Gauthier, Directeur Général de Sodexo France Santé ;
  • Sylvain Loizeau, Réglementation du spectre et relations avec les équipementiers à l’Arcep (Autorité de régulation des communications électroniques et des postes).

Il est plus particulièrement intervenu sur le droit des objets connectés de santé et a développé les problématiques juridiques liées à la diversité de leur écosystème, puis aux régimes juridiques applicables, aux données d’une part et aux objets d’autres part, sous l’angle de la loi informatique et libertés et de la réglementation applicable aux dispositifs médicaux, avant d’exposer les impératifs de sécurité liés à l’entrée en vigueur du Règlement général sur la protection des données (RGPD).

(1) Festival Futur en Seine.
(2) Les photos de l’événement et de l’intervention de Benjamin-Victor Labyod sur Twitter.