En matière de protection des données personnelles, celle relative aux informations sanitaires s’avère très sensible. Comment procéder et quels sont les risques encourus en cas de divulgation de telles données ? Mariannick Ouendo, Responsable du service conformité au sein de l’Autorité de protection des données à caractère personnel (APDP) répond à nos interrogations.
Cio Mag : En quoi la digitalisation d’un système de santé peut être bénéfique pour les différentes parties prenantes ?
Mariannick Ouendo : La digitalisation est le procédé qui vise à transformer un objet, un outil, un process ou un métier en un code informatique afin de le remplacer et le rendre plus performant. Ramenée au secteur de la santé, elle signifie l’application à la santé des technologies de l’information, de la communication, de l’informatique et de la détection à l’ensemble des fonctions et des processus constituant la pratique et la prestation des services de soins de santé.
La digitalisation peut être bénéfique parce qu’elle apparaît comme une opportunité pour améliorer les pratiques médicales, un moyen d’accéder rapidement aux informations médicales, un moyen de coordonner et de fluidifier les soins.
C’est aussi un instrument d’optimisation des processus administratifs et d’amélioration de l’efficacité opérationnelle, un procédé d’autonomisation des patients (prévention des complications, simplification du processus administratif, communautés de patients en ligne et transmission d’informations, objets connectés pour un suivi en temps réel des divers paramètres de santé) ; et un procédé d’obtention d’une décision médicale plus fiable grâce à l’intelligence artificielle.
Les données des patients étant l’une des plus sensibles, comment les protéger efficacement ?
La protection des données des patients peut s’opérer de diverses manières. Pour une protection efficace, il peut être suggéré d’utiliser l’authentification à deux facteurs, de bâtir des réseaux et systèmes sécurisés ou de chiffrer les données sensibles. Il faudra aussi limiter l’accès aux données, mettre en place des sauvegardes régulières des données, sensibiliser les employés et s’en référer aux dispositions de l’article 426 (relatif à la sécurité des données) du Code du numérique.
Tous les principes de protection des données personnelles […] prévus par le Livre Vème du Code du numérique doivent être respectés.
Cet article stipule que : « afin de garantir la sécurité des données à caractère personnel, le responsable du traitement et/ou son sous-traitant doivent mettre en œuvre les mesures techniques et d’organisation appropriées pour protéger les données à caractère personnel contre la destruction accidentelle ou illicite, la perte accidentelle, l’altération, la diffusion ou l’accès non autorisés, l’interception notamment lorsque le traitement comporte des transmissions de données dans un réseau, ainsi que contre toute autre forme de traitement illicite. » [Ndlr].
Comment ces données doivent être collectées et gérées par les responsables des systèmes d’information ?
Au prime abord, il sied d’indiquer que sans préjudice des règles applicables de manière classique en sécurité informatique, les données collectées doivent être gérées conformément aux dispositions des articles 425 et 426 du code du numérique. Secundo, tous les principes de protection des données personnelles tels que le principe de transparence, de minimisation, de finalité, de durée de conservation, de licéité-loyauté-transparence, de proportionnalité et de pertinence etc. prévus par le Livre Vème du Code du numérique doivent être respectés.
Sur la manière de collecter les données, celles-ci doivent être collectées et traitées de façon licite, loyale et transparente[1]. La licéité du traitement s’entend de son fondement juridique (obligation légale, obligation contractuelle etc.). La loyauté du traitement désigne les modalités selon lesquelles les données sont collectées autant que les limites de l’habilitation du Responsable du traitement : le traitement sert une finalité et les données personnelles collectées ne pourront pas être réutilisées pour une autre finalité que celle qui a été habilitée. Cette habilitation doit avoir été obtenue de manière transparente. Le Responsable de traitement doit fournir à la personne concernée une information claire et intelligible sur le traitement.
L’information concerne la nature du traitement, la finalité du traitement, le temps pendant lequel le Responsable du traitement utilise et conserve vos données, ceux à qui il les communique et l’exercice des droits à l’égard desdites données. Cette information doit être claire intelligible et mettre la personne concernée en mesure de décider en toute connaissance de cause. C’est une exigence de transparence et de bonne foi. L’obligation d’information concrétise en ce sens un droit opposable et garantit l’accès et l’opposition de la personne concernée.
Les données doivent être collectées et traitées de manière pertinente, proportionnelle et minimes. Cela suppose que les données à caractère personnel qui ont été collectées sont bien en adéquation avec la finalité dutraitement. La finalité correspond au but précis que le traitement doit atteindre. Seules les données qui sont adaptées à la finalité poursuivie c’est à dire ce à quoi doit servir le traitement envisagé, peuvent être traitées. La proportionnalité est le lien permanent entre collecte et finalité.
Les données doivent être collectées de façon limitée. Une fois que l’objectif poursuivi par le traitement des données est atteint, il n’y a plus lieu de les conserver et elles doivent être supprimées ou anonymisées. La durée de conservation des données doit ainsi être limitée au strict minimum. Cette durée de conservation est définie par le Responsable de traitement ou la loi.
Garantir la confidentialité et la sécurité des données.
Sur la gestion de données par le Responsable des Système d’Information, celle-ci requiert de la part du Responsable des Systèmes d’Information l’accomplissement d’un certain nombre de tâches. Il doit structurer, organiser et mettre à jour les données personnelles traitées conformément à la législation en vigueur. Surtout s’assurer que la sécurité physique et logique des données sont conforment aux règles de l’art, créer, mettre à jour des données et y accéder sur l’ensemble d’une couche de données diversifiée.
Ensuite, stocker des données sur des supports fiables notamment plusieurs Clouds et sur site, puis mettre en place des mesures permettant de fournir une haute disponibilité et une capacité de reprise après sinistre, utiliser les données dans un nombre croissant d’applications, d’analyses et d’algorithmes.
Et enfin, garantir la confidentialité et la sécurité des données et archiver et détruire les données conformément aux calendriers de conservation et aux exigences de conformité.
Quels risques courent les malades en cas de divulgation de leurs données personnelles de santé ?
Les risques que courent les malades en cas de divulgation de leurs données sont nombreux. On peut citer en autres les préjudices graves comprennent les lésions corporelles, l’humiliation, les dommages à la réputation ou aux relations, la perte d’emploi, de possibilités commerciales ou professionnelles.
Il en est de même pour les pertes financières, le vol d’identité, les effets négatifs sur le dossier de crédit et les dommages ou la perte de biens. Par ailleurs, les données peuvent faire objet de marchandage entre les cybercriminels et des laboratoires de recherches, firmes pharmaceutiques, etc.
[1] GEFFRAY (E.), GUERRIN-FRANCOIS (A.), Code de la protection des données personnelles annoté et commenté, Paris, Dalloz, 4ème éd., 2022, p.12.
