Sécurisation des données de santé : pourquoi faire appel à un avocat

L’évolution de la pandémie a mis en lumière la nécessité pour les organismes de santé d’être vigilants quant au stockage, à la collecte et à l’utilisation des données de santé afin d’assurer leur sécurité. En effet, si la digitalisation des informations médicales est bénéfique, puisqu’elle permet de faciliter l’organisation des établissements de santé, les données de santé partagées sont aussi la cible de nombreuses cyberattaques et posent des questions éthiques. Quelle sécurité pour nos données de santé aujourd’hui ? Doit-on nécessairement faire appel à un avocat en droit des données de santé ?

Les données de santé : quelle définition? 

Les données de santé sont définies par le droit européen (RGPD) comme étant “l’ensemble des données se rapportant à l’état de santé d’une personne concernée qui révèlent des informations sur l’état de santé physique ou mentale passé, présent ou futur de la personne concernée”. Selon la Cnil, ces données comprennent les  informations relatives à une personne physique, les informations obtenues lors du test ou de l’examen d’une partie du corps, ou encore des informations concernant une maladie, un handicap, un risque de maladie etc de la personne concernée. 

Qui peut collecter des données de santé ?

Les données de santé peuvent être collectées par les établissements et organismes de santé (hôpitaux, laboratoires, cliniques, Sécurité sociale etc.), les professionnels de santé libéraux et la mutuelle. 

Pourquoi les données de santé sont-elles sensibles ?

Les données de santé sont considérées par le RGPD comme étant des « données sensibles » en raison de leur nature particulière. Leur valeur et leur importance, les rendent si fragiles qu’elles nécessitent une protection spécifique. Si les sociétés d’assurance collectent des « données de santé » elles ne peuvent pas les utiliser librement et les partager à d’autres sociétés. Il faut également prendre en compte le fait que les personnes malades ou avec un handicap ne subissent pas de discrimination (sur cette question : Les dangers de la collecte des données de santé par les tiers intéressés). 

Quelles sont les règles de base applicables aux données de santé ?

Les principes fondamentaux du RGPD à savoir celui de la licéité et transparence, de la sécurité, de la conservation, de la limitation des finalités, de la minimisation des données et enfin celui de l’exactitude, doivent être respectés par tout responsable du traitement. 

Il existe quelques règles spécifiques en la matière qui doivent être respectées. 

Pour pouvoir être mis en œuvre, tout traitement de données doit se fonder sur l’une des « bases légales » prévues par le RGPD. Il est permis de traiter des données personnelles lorsque le traitement repose sur une des 6 bases légales :

• Le consentement de la personne au traitement de ses données ;
• Contrat ou mesures précontractuelles
• L’obligation légale du Responsable de Traitement ;
• Le traitement est nécessaire à l’exécution d’une mission d’intérêt public ;
• Sauvegarde des intérêts vitaux de la personne concernée
• Intérêts légitimes du Responsable de Traitement

L’avocat en droit des données de santé veillera à ce que chaque principe soit respecté.

Comment justifier le traitement de données de santé en entreprise ?

En principe, selon le RGPD, le traitement des données de santé est interdit,mais, il existe certaines exceptions précises à l’égard des entreprises. Le traitement de ce genre de donne peut être fait s’il y a consentement du salarié et s’il est nécessaire aux fins de la médecine préventive ou de la médecine du travail, de l’appréciation de la capacité de travail du travailleur, de diagnostics médicaux, de la prise en charge sanitaire ou sociale, ou de la gestion des systèmes et des services de soins de santé ou de protection sociale

Pourquoi est-il nécessaire de protéger les données de santé ?

Les données de santé sont la cible de nombreuses cyberattaques et doivent nécessairement être protégées contre les risques de disparition de données, d’accès illégitime aux données et de modification non désirée.

L’absence de protection de ces informations peuvent avoir des conséquences graves sur le traitement du dossier médical du patient. 

Un avocat en droit des données de santé a pour mission de veiller à ce que le traitement (conservation, collecte, modification etc.) des données de santé respecte les principes de protection imposés par le RGPD et vous conseille sur la meilleure marche à suivre.

Quelle protection pour nos données de santé ?

L’avocat en droit des données doit également revêtir la casquette d’avocat en droit des données de santé tant ces données sont particulières.

Les données de santé en raison de leur particularité , font alors l’objet d’une protection spécifique par les textes en la matière  (RGPD, loi Informatique et Libertés, code de la santé publique, etc.) afin de garantir le respect de la vie privée des personnes. Pour se faire, il est primordial d’adopter certaines mesures de sécurité adaptées dans la gestion et le stockage de ces données afin d’éviter toutes attaques numériques et de garantir le respect de la vie privée 

Quelles formalités suivre, et quelles autres législations s’appliquent ?

Depuis 2018, de nouvelles règles concernant le régime de formalité auprès de la CNIL sont applicables. Les formalités disparaissent lorsque les traitements relevaient auparavant de la déclaration normale ou pour les traitements listés à l’article 65 de la loi informatique et libertés, comme les traitements fondés sur le consentement ou sur le diagnostic médical.

Par ailleurs, des formalités ont été maintenues par la CNIL qui doit approuver chaque demande des organismes lorsque / dont l’autorisation est requise lorsque :

• Traitements présentent une finalité d’intérêt public,
• Traitements automatisés dont la finalité est ou devient la recherche ou les études dans le domaine de la santé ainsi que l’évaluation ou l’analyse des pratiques ou des activités de soins ou de prévention
• En présence de cas de recherches impliquant la personne humaine

L’avis est requis lorsque la demande porte sur un projet d’acte réglementaire autorisant un 

traitement de données de santé, ou sur les traitements de données de santé comportant le numéro d’inscription des personnes sur le Répertoire national d’identification des personnes physiques (NIR)

Les formalités ont été simplifiées lorsqu’il s’agit de  :

• Traitements de recherche médicale
• Déclaration de conformité à un référentiel ou à une méthodologie de référence simplifiant la procédure d’autorisation

En l’absence de conformité au référentiel ou à la méthodologie de référence, une  demande d’autorisation est nécessaire. 

D’autres législations peuvent s’appliquer concernant notamment le droit d’accès des données de santé telles que les articles 15 et suivant du RGPD, l’article L. 1111-7 du Code de la Santé Publique, et enfin, l’article 64 de la loi informatique et Libertés.

Pourquoi le Health Data Hub fait débat en France ?

Le Health Data Hub est une plateforme des données de santé facilitant le partage des données de santé, issues de sources très variées afin de favoriser la recherche.  Cette plateforme regroupe les données issues de centres hospitaliers ou des pharmacies stockées sur le cloud de Microsoft. Le choix de l’hébergeur américain n’a pas fait l’unanimité, surtout en France.

En effet, plusieurs associations et professionnels avaient pour l’intention de suspendre la centralisation et le traitement des données de santé en lien avec la crise sanitaire sur la Plateforme afin d’éviter une atteinte grave et manifestement illégale au droit à la vie privée et au droit à la protection des données en lien avec le traitement et la centralisation des données de santé. Par la suite, plusieurs requêtes ont été faites afin de faire annuler le contrat du 15 avril 2020 confiant à Microsoft Ireland Ltd l’hébergement de la plateforme Health Data Hub pour privilégier un hébergement français ou européen, même si ces derniers n’assurent pas forcément en pratique un plus haut degré de protection.

Si cet article vous a été utile, nous espérons que vous le partagerez ou que vous l’intégrerez à une de vos publications en nous citant grâce à un hyperlien. 

A propos du cabinet Legal Brain Avocats

Que ce soit en matière contentieuse ou en matière consultative, que vous soyez une entreprise ou une personne physique, le cabinet Legal Brain Avocats saura vous offrir une assistance optimale et personnalisée selon vos besoins.

Nos avocats et les experts du droit que nous sélectionnons peuvent vous accompagner dans de multiples domaines de l’innovation tels que la propriété intellectuelle, le droit des relations numériques de travail, la blockchain, le droit pénal du numérique, le droit de l’e-sport, protection des données personnelles et bien d’autres.

Nos services :

• Réalisation de notes juridiques 
• Notes d’intelligence juridiques
• Communication pour des cabinets d’avocats
• Elaboration d’outils technologiques utiles pour le droit
• Litiges, conseils, corporate, rédaction d’actes

Nos avocats sont à votre disposition pour vous accompagner sur la dimension juridique et répondre à vos questions : contact@legalbrain-avocats.fr.