Données de santé, données sensibles

Selon la CNIL (Commission nationale de l’Informatique et des Libertés), les données de santé désignent l’ensemble des données collectées et produites dans le cadre du parcours de soins. Ce sont « les données relatives à la santé physique ou mentale, passée, présente ou future, d’une personne physique (y compris la prestation de services de soins de santé) qui révèlent des informations sur l’état de santé de cette personne. »

Typologie des données de santé

Les données de santé sont de deux natures :

• Données personnelles : elles sont collectées lors de l’inscription d’une personne physique sur un site web, en vue de bénéficier de services de soins de santé ou lors de la prestation de ces services. Il s’agit, par exemple, du nom, du prénom, de l’adresse postale, du courriel, du numéro de Sécurité sociale, des coordonnées téléphoniques ou bancaires. Ces données peuvent permettre l’identification à un service numérique.
• Données médicales : elles sont obtenues lors de consultations ou d’examens médicaux (résultats de prise de sang, comptes-rendus d’imagerie médicale, comptes-rendus opératoires…), ou concernent une maladie, un handicap, un risque de maladie, les antécédents médicaux, un traitement clinique ou l’état physiologique ou biomédical. Elles relèvent du secret médical.

Dans sa définition, la CNIL englobe aussi les données de mesure à partir desquelles il est possible de déduire une information sur l’état de santé de la personne, par exemple les données des bracelets d’activité, recueillies par les applications de santé.

En France, qui recueille et stocke les données médicales ?

En France et dans l’Union européenne, le traitement des données de santé est encadré de manière stricte par l’article 9 du règlement général sur la protection des données (RGPD).

L’Assurance Maladie (Sécurité sociale)
L’Assurance Maladie prend en charge, complètement ou en partie, les soins de plus de 66 millions d’assurés en France.
AMELI (L’Assurance Maladie en ligne) détient des données personnelles permettant l’identification et des données de santé aux fins de remboursement des actes médicaux ou d’hospitalisation, ou de versement de revenus complémentaires (congé maternité, invalidité…)
Mon espace santé, un service de l’Assurance Maladie, permet à l’assuré de recevoir, stocker et de partager ses documents de santé (ordonnances, résultats d’analyses…), et rend possible, en consultation, le partage des antécédents médicaux avec le professionnel de santé. Le service peut être activé par l’assuré pour ses enfants.

Les mutuelles
Si l’Assurance Maladie rembourse partiellement les dépenses de santé, les mutuelles (ou complémentaires santé) permettent de couvrir les frais restant à charge en partie ou en totalité. Les données détenues par les mutuelles sont identiques à celles de l’Assurance Maladie.

Les professionnels de santé
Les hôpitaux, cliniques, centres de soins, médecins, laboratoires d’analyses médicales, centres d’imagerie médicale recueillent des informations sur les patients à l’occasion d’actes médicaux. Il s’agit de données personnelles, mais aussi de données médicales comme des résultats d’analyses, des comptes-rendus opératoires, des prescriptions médicales, des notes médicales, le groupe sanguin…

Les webservices médicaux
Doctolib, Maiia, lemedecin.fr, Qare, mais aussi les applications développées pour des cabinets médicaux, proposent un service de prise de rendez-vous en ligne chez les professionnels de santé. Gratuits pour les patient·es, ces services sont financés par les praticiens ou les établissements de santé qui veulent les utiliser. L’objectif affiché est de permettre aux professionnels de santé d’améliorer l’efficacité de leur organisation, la communication avec leurs patient·es et la coopération avec leurs confrères ou consœurs. Parmi les données personnelles et médicales que ces sites recueillent, on retrouve des ordonnances, le nom des médecins consultés par l’utilisateur·rice, la date des rendez-vous, ou encore l’historique des consultations, ainsi que des données d’identification.

Les applications de santé
Les applications de santé ou de suivi d’activité physique sur smartphone Apple ou Android, comme Google Fit, Fitbit, Runkeeper, Endomondo, ou encore celles dédiées à des suivis spécifiques (allergies, diabète, cycles menstruels…) collectent de nombreuses données médicales. Elles peuvent être communiquées volontairement par l’utilisateur·rice (date des règles, taux de glycémie, poids, taille, etc.) ou mesurées par le smartphone ou l’objet connecté (rythme cardiaque, qualité du sommeil, etc.). Ces applications recueillent aussi des données personnelles permettant l’identification.

Des enjeux majeurs de sécurité

La numérisation tous azimuts des données de santé comporte des risques, liés à la protection et à la sécurité de ces données sensibles, car elles concernent des informations privées sur les patient·es.

En France, les données de santé doivent être stockées sur des serveurs sécurisés, et, quand l’hébergeur n’est pas le producteur des données de santé, il doit obligatoirement obtenir la certification HDS (hébergeur de données de santé). Elle est délivrée pour une durée de 3 ans, avec un audit de surveillance annuel, selon les dispositions de l’article L. 1111-8 du Code de la santé publique.

Cependant les hôpitaux peuvent en être dispensés, à condition qu’ils hébergent leurs données localement. Cette dispense les rend plus vulnérables aux cyberattaques. Les conséquences de ces attaques sur les systèmes d’information des hôpitaux s’avèrent graves et préoccupantes : fonctionnement perturbé, désorganisation de l’activité pendant parfois plusieurs semaines, dégradations du service, reports d’opérations, voire impossibilité de travailler pour les personnels. Selon l’Observatoire des incidents de sécurité des systèmes d’information (CERT-FR), l’année 2022 a été marquée par 588 incidents de cyberattaques visant des établissements de santé, comme par exemple l’hôpital de Corbeil-Essonne au mois d’août. 50 % étaient d’origine malveillante, 46 % correspondaient à des tentatives d’hameçonnage, 40 % entraînaient des compromissions de comptes.

Les données volées peuvent être rançonnées, détournées ou utilisées pour des opérations malveillantes, ou vendues sur le Dark web.

Pour les patient·es, le vol peut entraîner la divulgation de leurs données et porter atteinte à leur vie privée, mais les conséquences peuvent être critiques aussi pour leur santé et avoir des implications directes sur le diagnostic, le traitement et leur suivi médical.

L’aubaine des big data en santé pour la recherche

Le volume important de données de santé disponibles constitue une matière précieuse pour la recherche biomédicale, et le développement récent des technologies permettant de les traiter (intelligence artificielle notamment) rend possible l’innovation et de multiples travaux en matière de santé publique.

Le traitement des big data (ou données massives) en santé facilite ainsi le suivi des populations (études de cohortes), éclaire l’orientation et la prise de décision en matière de santé publique, améliore la prévention, la prise en charge des maladies et la prédiction d’épidémies, permet l’analyse de l’usage des médicaments et de leurs risques… Les applications sont nombreuses.

Face au nombre croissant de données disponibles, une plateforme des données de santé, Health Data Hub a été créée en 2019 en France. Elle centralise des données de santé anonymisées, issues de sources très variées et en permet leur partage, au bénéfice de projets de recherche. Cette structure publique, prévue par la loi du 24 juillet 2019 relative à l’organisation et la transformation du système de santé, associe plus de 50 membres représentant l’État, les caisses d’Assurance Maladie et des organismes d’assurance maladie complémentaires, des organismes de recherche et d’enseignement, des agences de santé, des établissements et des professionnels de santé, des industriels et des usagers. La richesse du catalogue de données, fréquemment actualisé, et les moyens informatiques que cette plateforme met en place pour les exploiter (outils de catalogage, de métadonnées, de documentation et de création de données synthétiques) favorisent l’émergence d’un système de santé plus personnalisé et plus efficace.

Le traitement de ces données massives de santé soulève cependant des questions éthiques. Est-il nécessaire de conserver toutes les données ? Faut-il les croiser, les mutualiser ? Qui doit les gérer, la sphère publique (souveraineté numérique) ou les sociétés privées ? Et comment faire en sorte que les GAFAM ne s’approprient pas ces données ? Car les enjeux sont cruciaux : risque de divulgation de la vie privée et conséquences pour la vie sociale, perte de confiance dans la puissance publique, confidentialité de la recherche…

Selon un article d’un groupe de travail du Conseil scientifique consultatif du Health Data Hub,  les bénéfices de l’utilisation des données de santé pour la recherche dépassent largement les risques, au vu des mesures de sécurité appliquées en France. La vigilance reste tout de même de mise.

---

Pour aller plus loin

---

---

---

---

---

---

---