Les données de santé, nouvel eldorado de l’économie des données privées ?

Billet rédigé par Marlène Tognifode (Enssib) et par Audrey Cabrolier (ENS-Lyon) dans le cadre du cours sur l’économie du document.

Introduction

Dans le domaine de la santé comme dans bien d’autres, les progrès technologiques et les outils numériques ont fait exploser le recueil d’informations personnelles. Les données de santé étant particulièrement sensibles, leur recueil et leur traitement, nous amènent à nous poser des questions quant à leur sécurité dans un monde qui tend vers le « tout numérique ». L’arrivée des dossiers médicaux électroniques, l’utilisation d’applications et d’objets connectés visant à surveiller ou quantifier notre état de santé commencent à envahir notre quotidien. Présenté comme bénéfique pour la santé publique, ce développement se fera-t-il nécessairement au détriment de la vie privée ?

Si certains organismes publics ont désormais un accès aux bases de données du système de santé français, les entreprises peuvent aussi y accéder, dans le cadre d’une procédure très encadrée. En France, la collecte et le traitement des données de santé font l’objet d’un contrôle de la part de la CNIL (Commission Nationale de l’Informatique et des Libertés). L’Europe a enfin réussi à bâtir un règlement unique (le règlement UE 2016/679), concernant les données personnelles en général, et de santé en particulier. Ce règlement donne de nouveaux droits aux citoyens, de nouveaux devoirs aux entreprises et aux acteurs de la santé.

Tandis que certains voient dans cette ouverture un formidable moyen, grâce aux algorithmes de big data, traces laissées par les internautes sur le web, de mener des études de pharmacovigilance ou d’évaluer les soins et les politiques de santé, d’autres pensent qu’elle risque de porter atteinte à la vie privée, au secret médical, ou d’être exploitée dans un but marketing.

Comment se prémunir, aujourd’hui et demain, contre la dissémination des données de santé, éminemment intimes et personnelles ?

L’ère du Big data, vers le partage des données de santé privées

Que signifie données « personnelles de santé » ?

Les données personnelles sont définies selon la Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés comme étant « toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par une référence à un numéro d’identification ou, à un ou plusieurs éléments qui lui sont propres. »

L’économiste Fabrice Rochelandet considère les données personnelles comme « des biens particuliers, des ressources immatérielles dont l’exploitation affecte la vie privée », en ajoutant une dimension fondamentale, celle de la vie privée.

Concernant les « données de santé », le règlement européen relatif à la protection des données personnelles a fourni en avril 2016 pour la première fois une définition commune des « données de santé » dans l’Union européenne comme suit :

« données à caractère personnel relatives à la santé mentale et physique d’une personne, y compris la prestation de services de soins de la santé qui révèlent une information sur l’état de santé de la personne (…) présent, passé et futur ». Par donnée de santé, le règlement européen entend « toute information concernant une maladie, un handicap, un risque de maladie, les antécédents médicaux, un traitement clinique ou l’état physiologique ou biomédical de la personne concernée, indépendamment de sa source ».

Modes de collecte et d’exploitation des données personnelles de la santé

Selon l’article 9 du règlement européen relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, la collecte ou le traitement des données de santé est interdit ; cependant, il y a de nombreuses exceptions. C’est le cas du quantified self, ou le « soi quantifié » défini par la CNIL dans son cahier Innovation & Prospective n°2 de mai 2014 et portant sur le thème : le corps, un nouvel objet connecté ?. Ce sont ces applications que nous utilisons pour mesurer et comparer avec d’autres personnes des variables relatives à notre mode de vie tel que la nutrition, l’activité physique, le poids ou encore le sommeil. Elles sont présentes sur nos smartphones, bracelets, montres, balances connectés… Outre leur côté ludique, ces dispositifs permettent aux entreprises de recueillir de nombreuses données de santé. Cela s’inscrit dans le mouvement actuel de collecte massive de données, le big data, qui n’en est qu’à ses débuts selon la Commission nationale de l’informatique et des libertés (CNIL).

Les cas d’usages sont nombreux :

  • Le programme Vivoptim de la Mgen par exemple, qui collecte directement des données par sa plateforme de services ou de coaching de santé, qui est indépendante de la mutuelle.
  • Le dossier médical partagé, mis en place depuis 2004, « son objectif est de regrouper numériquement toutes les données de santé d’un patient, et qu’elles soient dans un format interopérable pour être utilisées par tous – le patient et les professionnels de santé. Il est gratuit et le patient doit consentir à sa création ».

Si les plateformes de collecte de données sont nombreuses, elles sont toutefois encadrées par une procédure d’agrément des hébergeurs de données de santé à caractère personnel fixée par le décret du 4 janvier 2006. À ce jour, 96 hébergeurs sont agréés par le ministère de la Santé.

Vers la préservation des données privées de santé ?

Les données personnelles de santé sont très encadrées de manière générale en France grâce au ministère de la Santé, la CNIL (Commission nationale de l’informatique et des libertés) et l’INDS, l’Institut national des données de la santé qui jouent conjointement des rôles importants.

Le rôle de la CNIL

Si les données de santé sont accessibles en ligne, elles doivent être hébergées sur un serveur agréé par le ministère de la Santé et faire l’objet d’une autorisation délivrée par la CNIL. Toute demande d’autorisation devrait se faire 6 mois avant la collecte et l’exploitation des données.

En France la loi du code de santé publique par rapport aux hébergeurs de données de santé, protège les usagers dans ce sens, l’article L1111-8 précise que :

 « Toute personne qui héberge des données de santé à caractère personnel recueillies à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, pour le compte de personnes physiques ou morales à l’origine de la production ou du recueil desdites données ou pour le compte du patient lui-même, doit être agréée à cet effet. Cet hébergement, quel qu’en soit le support, papier ou électronique, est réalisé après que la personne prise en charge en a été dûment informée et sauf opposition pour un motif légitime ».

Des sanctions d’amende, de cessation de collecte et de traitement des données et autres sont prévues par la CNIL pour tout non-respect de ces procédures. Plusieurs autres dispositions sont prises par la CNIL en ce qui concerne la collecte et le traitement des données de santé. Parmi celles-ci, nous citerons :

Toute collecte de données de santé doit être faite avec l’accord de l’utilisateur qui donne lui-même ses données au collecteur de données. Une fois cette étape réussie, les motifs de la collecte de données doivent être justifiés.
Ainsi, les données à collecter :

  • doivent être « strictement nécessaires » à l’exercice des missions de la structure et « justifier d’un caractère pertinent et proportionné » au regard de la finalité poursuivie.
  • ne doivent pas être conservées au-delà de la durée nécessaire à la finalité poursuivie.
  • doivent être sécurisées et confidentielles.

Une exception est faite pour des tiers en mission judiciaire, sanitaire (détection d’épidémie), etc. en ce qui concerne l’exploitation des données de santé. Pour plus d’informations, voir cette fiche de la CNIL sur le traitement des données relatives à la santé.

Le rôle de l’INDS

En France, L’INDS gère les données de santé selon Marcel Goldberg, professeur d’épidémiologie et de santé publique, à travers « l’une des plus grosses bases de données de santé au monde » nommé Système national de gestion des données de santé (SNDS). Elle contient toutes les informations relatives à la santé des individus (consultations, hospitalisation, prescription de médicaments, assurance, etc.). C’est une mine d’or de données qui peut intéresser les organismes de recherche, les centres de santé publics et privés, les laboratoires pharmaceutiques et les assureurs.

La SNDS contient deux types de données : les données agrégées et les données personnelles.

Les données agrégées donnent des statistiques globales sur un type de population atteint de telle ou telle maladie. Ces données sont le plus souvent utilisées pour l’étude d’épidémies ou dans la pharmacie. Par exemple, le nombre de femmes de moins de 50 ans atteintes du cancer de sein. Ce sont ces « données agrégées » ne représentant aucun risque pour la vie privée qui sont ouvertes de façon inconditionnelle aux organismes privés voulant mener une étude d’intérêt général.

Nos données sont-elles si bien protégées ?

Bien que les données personnelles de santé soient bien encadrées, leur gestion et leur traitement font appel à des questions éthiques et surtout juridiques. Ainsi, elles sont soumises à plusieurs textes juridiques :

Avec la mise en place de nouvelles réformes dans le domaine sanitaire, des contradictions législatives apparaissent, deux textes juridiques sont particulièrement controversées et partagent les acteurs entre évolution de la recherche et sécurité des données.

  • En effet, le Conseil d’État a abrogé dans une décision « Celtipharm » du 20 mai 2016 les dispositions de l’arrêté du 19 juillet 2013 relatif à la mise en œuvre du Système national d’information interrégimes de l’assurance maladie (Sniiram). Cet arrêté vise l’ouverture des données de la santé et précise que « les organismes de recherche, universités, écoles ou autres structures d’enseignement liées à la recherche et poursuivant un but lucratif ne peuvent accéder aux informations mentionnées à son article 3 ». Selon le ministre des Affaires sociales et de la Santé, l’ouverture de ces données permettrait en effet d’améliorer les politiques de santé publique, l’information des patients et de faire progresser la recherche médicale. Ainsi, une possibilité d’ouverture de ces fichiers est désormais offerte aux organismes de recherche (à but lucratif ou non) et aux services de santé privés qui jusque là n’avaient pas bénéficié de cette offre.
  • Or, la loi de modernisation de notre système de santé de janvier 2016 promulgué quelques mois plus tôt et visant à « rassembler les acteurs de la santé autour d’une stratégie partagée » prévoit un accès strict aux données de la santé.

Si certains perçoivent cette ouverture pour l’évolution de la recherche, d’autres s’inquiètent de la sécurité des données à des fins économiques au détriment de l’intérêt public, qu’elles sont les dispositions concrètes prises par l’INDS pour permettre l’usage réglementé de ces données ?
Quelques craintes se dessinent dans l’application de ces textes réglementaires sur les études d’intérêt généraux.

Kévin Huguenin de l’Information Security and Privacy Lab évoque une possibilité de croisement entre le contenu de la base de données anonymisée et des notes prises sur les plateformes et réseaux médicaux pour retrouver l’identité de leurs clients. Selon lui, on pourrait donc essayer de croiser les données ouvertes par l’Assurance maladie avec les informations disponibles sur les assurés (localisation, âge, symptômes, etc.), en particulier les informations laissées sur les réseaux sociaux et les forums telles que PatientsLikeMe ou Doctissimo. Il pense que le risque de réidentification reste techniquement présent.

La plus grande crainte observée est la présence des GAFA (Google, Apple, Facebook, Amazon) au coeur du phénomène du big data, l’art de la valorisation et la monétisation de nos données personnelles. Jean-François Poletti, associé Conseil Santé Assurances et mutuelles chez Deloitte assure à la Tribune que : « 58% des Français jugent les Google, Apple et autres Facebook légitimes dans les domaines de la prévention et de l’éducation dans la santé ». Pour lui, les 18-25 ans mettent les GAFA au même niveau que les assureurs complémentaires. Cette relation citée de « relation de proximité » se révèle inquiétante au vu des intentions commerciales de ces 5 grands groupes, et légitime dans un contexte de numérisation des données de santé. Il estime qu’à long terme, « les assureurs pourraient s’associer avec les GAFA pour acheter des données de santé et sélectionner ensuite leur clientèle en fonction de leur teneur ».

Laurent Alexandre de Sipa Press affirme que le marché des données personnelles parmi lesquelles celles de la santé en Europe sont une chance pour les GAFA de « prospérer sans aucune concurrence européenne ». De son point de vue, l’Europe a encore du chemin à faire au vu de l’impact et du rôle des GAFA dans le traitement des données privées.

De la santé à l’e-santé : réglementation des données personnelles

Le règlement européen sur la protection des données, texte international applicable à tous les pays européens est d’actualité et la CNIL prépare toutes les entreprises et organismes de santé à s’y conformer à partir du 25 mai 2018. L’objectif de l’adoption de ce texte est de permettre à l’Europe de s’adapter aux nouvelles réalités du numérique.

La CNIL s’est aussi intéressée aux nouvelles technologies qui collectent des données de santé par l’utilisation des objets connectés. La question qu’elle met en exergue est la destination et l’exploitation des données de santé issues de ces objets connectés. En effet, celles-ci sont traitées « en masse » par les applications et ne bénéficient pas toujours d’une confidentialité absolue. Pour cela, les utilisateurs sont invités à plus de vigilance dans l’utilisation de ces données, et ceci dans le but aussi de préserver leurs données personnelles. Dans son cahier IP (cahiers Innovation et prospective), la CNIL propose une méthode, l’« empowerment » qui mettra l’utilisateur (dont l’avis n’est pas toujours pris en compte) au coeur des décisions de collecte de données en lui donnant plus de pouvoir, de contrôle et de liberté. Avec l’accord de l’utilisateur, le partage de ses données pourra se faire aisément par les industriels. La relation utilisateur/collecteur de données est ainsi stabilisée. L’objectif est de redonner un rôle non seulement central, mais aussi actif aux individus dans la gestion de leurs données de santé. La question que se pose la CNIL dans cette hypothèse d’« empowerment » est celle de « la motivation des individus à consacrer temps, énergie et efforts à la gestion ou à la valorisation de leurs propres données ».

Pour simplifier l’enjeu de la préservation des données personnelles de santé, la CNIL propose de distinguer les applications en deux catégories, les applications à visée médicales et celles non-médicales, de « bien-être », afin de permettre à l’usager d’être plus averti et de lui offrir plus de sécurité en préservant sa vie privée.

Avec l’avènement du web, des transformations ont été faites tant du point de vue architectural que des données. Ainsi, l’utilisation d’objets connectés, de plateformes de coaching en ligne permet désormais de maintenir avec les clients un contact direct et durable, et de mieux les connaître du point de vue sanitaire par le partage de leurs données.

Les grandes menaces à la numérisation de nos données de santé

Si la CNIL et toutes les institutions régulant la gestion des données de santé en France ont pris toutes les dispositions requises pour la protection des individus, il n’en demeure pas moins certain qu’il y ait de nombreuses atteintes à la vie privée des consommateurs. 

Dans ce big data, monde des données, auquel nous faisons tous face de manière générale, il est d’abord indispensable en tant qu’utilisateur des plateformes et réseaux sociaux de préserver son identité numérique en faisant preuve de vigilance et en protégeant ses données.
En effet, plusieurs moyens permettent de suivre aujourd’hui nos traces et d’exploiter nos données personnelles : par exemple le tracking, ou encore les cookies. Le tracking consiste à identifier les internautes à partir de leur adresse IP, pour reconstituer leur parcours de navigation, à des fins commerciales.
Quant aux cookies, elles permettent d’enregistrer nos informations personnelles pour nous « faciliter la vie » ; en contrepartie, ces informations sont revendues à des annonceurs.
De plus en plus habitués à la gratuité sur internet, nous en payons parfois le prix par le partage de nos données personnelles qui valent toute une vie. Certaines solutions existent comme les bloqueurs de cookies, ou la navigation privée qui permettent d’échapper à une partie de la collecte de nos informations privées.

De plus, d’autres menaces s’installent lorsqu’on utilise des services en ligne. Il s’agit par exemple du hacking, piratage informatique, qui pourrait mettre en péril notre vie privée : Un cas datant de 2016 a été relevé dans le Figaro par Caroline Piquet, journaliste : « Les coordonnées personnelles de 112.000 policiers, adhérents de la Mutuelle générale de la police (MGP), ont été abusivement diffusées sur le web à Limoges en Haute-Vienne […] Numéros de téléphone, adresses mail, adresses postales… Toutes ces informations se sont retrouvées en ligne, sans protection particulière ». La France se dit être prête pour la e-santé à condition que les données personnelles soient protégées. Les données personnelles de santé étant sensibles, les dispositions suivantes pourraient être prises instantanément par chacun pour les préserver :

  • s’interroger sur les informations données dans tel ou tel cadre (sont-elles nécessaires pour l’opération qui va être faite ?) ;
  • ne pas hésiter à exercer ses droits d’opposition, d’accès, de rectification et de suppression de ses données en cas de besoin ;
  • Contacter la CNIL.

Conclusion

Les données personnelles de santé bénéficient en France d’une protection juridique que chacun devrait saisir pour exercer ou réclamer son droit. La collecte, le traitement de ces données et leur ouverture aux organismes de santé publique participent à l’évolution de la recherche, et suscitent dans le même temps des craintes d’usurpation de données au détriment du bien public. Dans ce cadre, la CNIL propose l’ « empowerment », pour mettre l’usager au coeur de ce processus et lui donner plus de pouvoir et de contrôle sur ses données. Ce mécanisme vient rééquilibrer la relation entre l’entreprise collectrice et l’usager qui a trop souvent l’impression d’être négligé par les professionnels.

Les GAFA (Google, Apple, Facebook, Amazon) ayant une part importante du marché des données exercent une forte influence sur les individus à travers la relation de proximité qu’ils créent entre ceux-ci et les objets connectés de plus en plus présents dans le domaine de la santé.

Comment chaque individu se sent-il protégé finalement quant à la gestion de ses données personnelles et comment le règlement européen sur la protection des données, nouveau texte juridique européen y contribuera d’ici 2018 ?

Pour aller plus loin

• Modes de collecte et d’exploitation des données personnelles de la santé

Quantified self, m-santé : le corps est il un nouvel objet connecté ? | CNIL.
https://www.cnil.fr/fr/quantified-self-m-sante-le-corps-est-il-un-nouvel-objet-connecte

Données personnelles : quel tiers de confiance pour demain ? | L’Opinion.
http://www.lopinion.fr/edition/economie/donnees-personnelles-quel-tiers-confiance-demain-135170

Données personnelles : ce qui va changer en 2018 – Numérique – Toute l’Europe.
https://www.touteleurope.eu/actualite/donnees-personnelles-ce-qui-va-changer-en-2018.html

• Vers la préservation des données privées de santé ?

Quel avenir pour nos données personnelles de santé ? http://www.lalettredegalilee.fr/avenir-nos-donnees-personnelles-de-sante/

Nos données sont-elles si bien protégées ?

Santé: les Français font confiance aux GAFA.
http://www.latribune.fr/technos-medias/sante-les-francais-font-confiance-aux-gafa-573652.html

Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 | CNIL.
https://www.cnil.fr/fr/reglement-europeen-protection-donnees

Enjeux de l’ouverture des données personnelles de santé |GMPA.
https://www.gmpa.fr/conseils-et-prevention/dossiers/sante-lenjeu-des-donnees-personnelles-11-10-2016

Laurent Alexandre: «La protection des patients nous condamne à être une colonie des géants du numérique» | L’Opinion.
http://www.lopinion.fr/edition/economie/laurent-alexandre-protection-patients-nous-condamne-a-etre-colonie-135566

LOI n° 2016-41 du 26 janvier 2016 de modernisation de notre système de santé | Legifrance.
https://www.legifrance.gouv.fr/affichTexte.do?cidTexte=JORFTEXT000031912641&dateTexte=20170310

• De la santé à l’e-santé : réglementation des données personnelles

Charly Berthet, Célia Zolynski, Nicolas Anciaux, Philippe Pucheral ; Contenus numériques et récupération des données :
un nouvel outil d’ “empouvoirement” du consommateur ? https://hal.inria.fr/hal-01429939/document

Les grandes menaces à la numérisation de nos données de santé

Données personnelles: la Cnil exhorte les sociétés à se préparer – Le Point.
http://www.lepoint.fr/economie/donnees-personnelles-la-cnil-exhorte-les-societes-a-se-preparer-27-03-2017-2115140_28.php#


Vous aimerez aussi...

3 réponses

  1. abelande dit :

    Alors voici quelques points qui me sont venus en tête à la lecture de votre article :

    – Vous écrivez qu’il y a 96 hébergeurs agréés de données de santé à caractère personnel. J’ai bien lu la liste, mais en gros quelles catégories d’organisme y retrouve-t-on et quels sont leurs intérêts à être hébergeur?

    – « La CNIL propose l’ « empowerment », pour mettre l’usager au coeur de ce processus et lui donner plus de pouvoir et de contrôle sur ses données. » C’est intéressant, mais peut-on vraiment donner du pouvoir ou du contrôle sans donner de connaissances ou de formation pour sensibiliser les individus à ces enjeux? Je le mentionne parce que le texte est très orienté sur les lois, mais peu sur la sensibilisation, la formation ou l’éducation.

    – Enfin, je me demande si vous pourriez préciser ce que vous entendez par « entreprises collectrices ». S’agit-il seulement d’entreprises du secteur privé ou c’est un terme qui englobe aussi les institutions publiques du secteur de la santé?

  2. Tognifodé Marlène dit :

    Merci pour ton commentaire Min. Je pense que les Etats-Unis sont encore plus présents sur la thématique de la santé connectée. L’exemple que tu donnes en est la preuve. Les objets connectés dans le domaine de la santé affluent les marchés et sont de plus en plus utilisés à titre personnalisé. L’inquiétude majeur renvoie aux filiales productrices de ces objets connectés, comme dans l’exemple que tu donnes ici, il s’agit bien de Apple. La problématique de gestion et de préservation des données de santé se pose toujours à mon avis, même s’il s’agit des Etats-Unis, un pays en forte avancée dans le domaine de la technologie.

  3. mkbaek dit :

    Merci pour votre billet très riche et intéressant. Cela me rappelle un article que j’ai lu il n’y a pas trop longtemps sur Apple Watch. Selon l’article, La FDA (Food and Drug Administration) a approuvé une autorisation une analyse du rythme cardiaque par le dispositif Apple Watch. (si vous voulez savoir plus : https://www.stuffi.fr/apple-watch-fda-kardiaband-dispositif-medical/) Que pensez-vous à ce phénomène qui commence à s’installer dans un terrain de recherches médicales aux Etats-Unis ?

Laisser un commentaire

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *

Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur comment les données de vos commentaires sont utilisées.