Le statut de nos données santé
Pourquoi nos données de santé sont-elles si précieuses ?
Elles représentent un pan de nos données personnelles et sont une mine d’or pour les entreprises .
Du côté de la médecine et de la recherche, il y a besoin évident de pouvoir exploiter les données médicales.
Mais que contiennent-elles vraiment ? Et pourquoi est-il important pour nous, qui sommes tous de potentiels patients, de comprendre la législation qui les entoure ?
Données patient, données de santé, data patient…etc.
Des appellations assez larges, mais savons-nous vraiment ce qu’elles comprennent ?
On sait tous globalement ce qu'une donnée représente. Du moins, dans la conscience collective.
Ce petit bout de quelque chose, qui, associé avec d'autres, permet de comprendre et d'identifier une entité. Nous par exemple.
Certaines peuvent renfermer des informations sensibles et peuvent affecter des actions de notre quotidien. Qui plus est, en matière de santé.
Prenez par l’exemple d’une assurance qui aurait eu accès à vos antécédents, et qui décide soudainement d’augmenter le taux d’intérêt de votre prêt.
Imaginez encore que certaines informations médicales vous concernant soient retenues par le secret médical, mais que dans X cas, elles aient été divulguées ? Auprès de votre employeur ou autre.
Quoi qu’il en soit, il faut comprendre ce que sont les données santé d’un point de vue juridique afin d'assurer leur protection.
? Considérant les différentes législations en matière de protection des données personnelles, nous avons aborder la problématique sous l'angle de la RGPD (côté UE), et sous l'angle de l'HIPAA/HITECH (côté US).
PARTIE 1 - Définition des données santé au sens de la RGPD
Pour mémoire, le Règlement Européen pour la protection des données (RGPD), est entrée en application le 25 mai 2018.
Que nous dit le règlement à ce sujet ?
Voici la définition des données de santé au sens de l’article 4-15 du RGPD : il s’agit de données « à caractère personnel relatives à la santé physique ou mentale d’une personne physique, y compris la prestation de soins de santé, qui révèlent des informations sur l’état de santé de cette personne ».
Divisons cette définition en plusieurs temps.
Ainsi, est qualifiée de donnée santé, toute donnée qui :
- se rattache à une personne physique
- fait état de la santé mentale ou physique
- et de la santé passée, présente ou future.
Ces trois conditions semblent être à minima nécessaires.
1/ Une définition juridique décortiquée
Entrons dans les détails maintenant.
- Les données santé doivent être rattachées à une personne physique.
Cette justification se rapporte par exemple grâce à l'apport d'un numéro d’identification de sécurité sociale, ou autres caractéristiques administratives.
En somme, tout élément permettant d’identifier la personne au moment de sa prise en charge et tout au long de son suivi.
- La temporalité des informations (passé/présent/future) compte également, c'est-à-dire, le moment où elles ont été recueillies.
Sous-entendu, du moment où le patient se présente avec des informations médicales et/ou utiles à sa prise en charge, jusqu’à la réalisation d’un examen, ainsi que l’interprétation de ces données.
- Enfin, ces données doivent être relatives à la santé mentale ou physique.
Donc, toutes les informations qui permettent de comprendre l’état du patient.
Une définition assez large finalement, et qui comprend aussi bien des données médicales qui se rapportent aux antécédents, à des unités de mesures prises lors d'examen..etc.
Gardez en tête que chaque situation est étudiée au cas par cas.
2/ Les données santé dans les faits
Et concernant les données issues des IoT (objets connectés) ?
On a pu considérer que cela dépendait de la nature et du croisement de ces données.
Prenons quelques exemples :
- Les données rapportant un surpoids et révélant une obésité sont caractérisées de données de santé.
- Est considérée comme une donnée de santé, l’information précisant le handicap d’un patient qui reçoit un traitement.
- En revanche, n’entre pas dans cette catégorie, le fait de préciser dans un certificat, l’aptitude à pratiquer une activité sportive.
- À l’inverse, le fait d’indiquer l’inaptitude entre dans le champ de la définition. ☝️
Pourquoi est-ce si important de déterminer la nature de ces informations ?
Selon la qualification et la sensibilité de ces données, ces dernières seront ou non protégées par un régime juridique spécifique ainsi que par d’autres règlements.
On pense notamment à l’article L.1110-4 du Code de Santé Publique (CSP) relatif aux dispositions sur le secret.
Ou encore à l’article L.1111-8 du CSP et s. sur l’interdiction de procéder à la cession ou l’exploitation commerciale des données de santé.
Ce qui compte in fine, c’est que nous ayons conscience de nos droits en matière de données personnelles.
Achetez votre première cryptomonnaie facilement en euro avec Galeon
Partie 2 - Principe d'interdiction d'exploitation commerciale
Les données personnelles se divisent en plusieurs catégories de données sensibles et les données santé en font partie.
Lorsqu’elles entrent dans le champ de l’article L.1111-8 du CSP, ces dernières sont protégées par le principe d’interdiction de cession ou d’exploitation commerciale.
Toutefois, des exceptions existent et elles sont au nombre de deux :
- Lorsque la personne donne son consentement pour l’utilisation de ces données santé. Avec cette précision, que le consentement doit être donné de manière libre, éclairé, univoque, et spécialement ( Sachez que les cases pré-cochées dans un formulaire ne sont pas considérées comme univoques).
- Dans certains cas, le consentement n’est pas nécessaire pour utiliser les données médicales à des fins commerciales. Par exemple, lorsqu’il s’agit d’une question de prévention de santé publique, de préservation des intérêts vitaux de la personne, ou à la suite d’une appréciation médicale…etc.
Encore une fois, chaque situation s'étudie au cas par cas. ☝️
Partie 3 - Les données santé aux USA
Le système américain, se différencie quelque peu des règles en matière de protection des données santé par rapport au système européen.
D'un point de vue théorique, la protection des données repose plus sur le principe de la protection des libertés individuelles, tandis qu'au niveau européen, elle repose sur la protection de la dignité de la personne.
D'un point de vue technique maintenant, le régime est caractérisé par une dualité juridique entre des lois fédérales et des lois étatiques. De plus, il n'y a pas un pan complet réservé aux données personnelles, mais bien une différenciation par secteur.
Dans le secteur médical, on devra se conformer à l'HIPAA (Health Insurance Portability and Accountability Act de 1996), et à la loi HITECH (Health Information Technology for Economic and Clinical Health de 2009).
Pour en savoir plus sur l'HIPAA et la loi HITECH.
Quelques mots sur l'HIPAA : les lois édictées permettent de poser le cadre légal de l'utilisation et de la divulgation des données de santé aux USA. Il s'agit d'une loi fédérale.
Si le principe est celui de la non-divulgation des données privées pour les acteurs dans la santé, des exceptions existent.
Ce qu'il faut retenir surtout ici, c'est bien le fait que selon le territoire dans lequel une entreprise souhaite s'exporter, elle devra se conformer aux règles de celui-ci.
Partie 4 - L'enjeu de protéger nos données santé dans un monde décentralisé
La définition des données santé, telle qu’elle a été écrite, est faite pour pouvoir accueillir de nouveaux cas.
En revanche, la question qui devra nécessairement se poser, est celle relative à la protection juridique de ces données santé si ces dernières sont amenées à être stockées au sein d’un environnement décentralisé.
Type blockchain ou DLT (Distributed ledger technology). Pour rappel, une blockchain est une forme de DLT, mais tous les DLT ne sont pas des blockchains. ?
Ainsi donc, l’enjeu principal de cette forme de structuration des données est sans aucun doute, leur protection.
En inscrivant des données santé sur la blockchain ou sur une autre forme de ledger, on empêche ainsi les risques d’exploitation et l’utilisation détournée de ces données.
Les personnes peuvent ainsi maîtriser le devenir de leurs données personnelles.
Plus encore, cela permettra de ne pas dépendre d’une institution ou d’un organisme peu ou pas protégé d'éventuelles attaques.
Sur la blockchain, l’organisation par blocs de données empêche l’altération de ces informations.
Et, on a pu le voir ces dernières semaines, la perte de dossiers patients a des conséquences désastreuses, tant pour la santé des individus que pour le fonctionnement des établissements de santé.
Vous souhaitez être informé des avancés de Galeon en avance ?
Inscrivez-vous à la Newsletter !
