Données de santé : traitement et réglementation

UE7 – Santé, Société, Humanité : Traitement des Données de Santé

Cette fiche synthétise les concepts clés et le cadre réglementaire concernant le traitement des données de santé, un domaine exigeant une attention particulière face aux exigences légales et éthiques.

Définitions Fondamentales

Le traitement des données de santé est encadré par des règles strictes en raison de leur nature sensible.

Données à Caractère Personnel en Santé

• Informations Manipulées par les Professionnels de Santé:

  • Gestion du cabinet (fournisseurs, personnels)

  • Informations sur les patients:

    • Identification: Nom, prénom, adresse, téléphone.

    • Vie personnelle: Nombre d'enfants, profession.

    • Couverture sociale: Assurance maladie.

    • Santé: Pathologie, diagnostic, prescriptions, soins.

    • Correspondants: Intervenants dans la prise en charge.

    • Numéro de Sécurité Sociale (NIR): Pour la facturation.

• Donnée à Caractère Personnel: Toute information liée à une personne physique identifiée ou identifiable.

  • Identifiable par: Un identifiant (nom, numéro), des éléments spécifiques (physique, génétique, psychique, etc.).

  • Peut être confidentielle ou publique, privée ou professionnelle.

Données Sensibles et Données de Santé

• Notion de Donnée "Sensible": Catégorie particulière de données personnelles qui révèlent:

  • Origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale.

  • Traitement des données de santé, génétiques, biométriques, vie sexuelle ou orientation sexuelle.

  • Les données de santé sont considérées comme sensibles et bénéficient d'une protection particulière (RGPD, CNIL).

• Données Concernant la Santé: Révèlent des informations sur l'état de santé physique ou mentale d'une personne, y compris les soins de santé.

Différents Types de Données Concernant la Santé

• Par nature: Antécédents médicaux, diagnostics, résultats d'examens, traitements, handicap.

• Par combinaison: Deviennent données de santé par croisement avec d'autres informations (ex: poids + nombre de pas).

• Par destination: Deviennent données de santé par leur utilisation médicale (ex: une photo).

Caractère Identifiant des Données

• Niveaux d'identification (du plus fort au plus faible):

  1. Données identifiantes:

     • Directement identifiantes (nominatives: nom, prénom).

     • Non directement identifiantes (date de naissance, RDV, données codées ou pseudonymisées).

  2. Données anonymisées.

  3. Données agrégées.

• Pseudonymisation: Traitement des données personnelles de manière à ce qu'elles ne puissent plus être attribuées à une personne sans informations supplémentaires.

  • Mesure recommandée par le RGPD pour limiter les risques.

  • Souvent utilisée en recherche en santé.

  • Remplace les données directement identifiantes par des données indirectement identifiantes (alias, numéro séquentiel).

  • La pseudonymisation est réversible et permet le chaînage des données.

• Donnée Anonyme: Traitement rendant impossible toute identification de la personne de manière irréversible.

  • La législation sur la protection des données ne s'applique plus aux données anonymes.

  • Permet l'exploitation des données sans limite de temps dans le respect des droits.

  • Critères d'évaluation de l'anonymisation (Groupe de travail de l'article 29):

    • Individualisation: Peut-on isoler un individu?

    • Corrélation: Peut-on relier des ensembles de données distincts?

    • Inférence: Peut-on déduire des informations sur un individu?

• Données Agrégées: Nouvelles données calculées à partir d'un jeu de données source (moyennes, médianes).

  • Ne comportent généralement pas de données personnelles, mais il peut y avoir des exceptions.

• Points Importants sur l'identification:

  • Les données à caractère personnel incluent les données directement et indirectement identifiantes.

  • Une donnée non directement identifiante peut être une donnée à caractère personnel.

  • Une donnée pseudonymisée n'est PAS une donnée anonyme.

  • Une donnée anonyme n'est plus une donnée à caractère personnel.

  • Le processus d'anonymisation est irréversible, celui de pseudonymisation est réversible.

Introduction au Traitement de Données Personnelles

Le "traitement" recouvre un large éventail d'opérations sur les données.

Notion de « Traitement » de Données

• Toute opération (automatisée ou non) appliquée à des données personnelles.

• Inclut: la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou modification, l'extraction, la consultation, l'utilisation, la communication, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction.

Le Consentement selon le RGPD

• Définition: « Toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte un traitement de ses données ».

• Une des 6 bases légales pour le traitement de données personnelles.

• 4 critères cumulatifs:

  1. Libre: Sans contrainte, choix réel sans conséquences négatives en cas de refus.

  2. Spécifique: Un consentement = un seul traitement pour une finalité déterminée.

  3. Éclairé: Informations claires communiquées avant le consentement.

  4. Univoque: Déclaration ou acte positif clair, sans ambiguïté.

Acteurs du « Traitement » des Données selon le RGPD

• Responsable du Traitement (RT): Détermine les finalités et les moyens du traitement.

  • Responsable en cas de contrôle ou d'infraction.

  • Doit être en mesure de démontrer sa conformité (principe d'accountability).

  • Obligations: Registre des activités, analyses d'impact (pour risques élevés), information des personnes, effectivité des droits (accès, rectification, opposition), formalisation des rôles, sécurité des données.

• Sous-traitant: Traite des données pour le compte du RT.

• Délégué à la Protection des Données (DPD ou DPO): « Chef d'orchestre » de la conformité.

  • Informe et conseille l'organisme.

  • Contrôle le respect du RGPD.

  • Conseille sur les analyses d'impact (AIPD).

  • Interlocuteur des personnes concernées et point de contact avec la CNIL.

Mise en Œuvre d’un Traitement de Données Personnelles de Santé

• "Checklist" avant le traitement:

  • Objectif (finalité): Déterminée, explicite, légitime?

  • Base légale: Laquelle des 6 bases?

  • Dérogation à l'interdiction: À quel titre (RGPD art. 9-II, LIL art. 6-II, 44 + section 3)?

  • Données collectées: Adéquates, pertinentes, nécessaires (minimisation)? Exactes et à jour?

  • Information du patient: Consentement, non-opposition, exercice des droits (contact)?

  • Durée de conservation: Adaptée (20 ans pour le soin, plus limité pour la recherche)?

  • Sécurité: Mesures (cybersécurité) pour intégrité et confidentialité?

  • Cadre légal: Conformité LIL section 3?

  • Recherche: Qualification de l'étude (RPIH, RNPIH, étude interne)? Conformité à un référentiel CNIL (MR-001 à MR-006) ou demande d'autorisation (DA)?

• Finalité du traitement: Objectif principal de l'utilisation des données collectées, déterminé et légitime.

  • Limite l'utilisation future des données.

• Base « légale » ou « juridique »: Donne le droit de traiter des données personnelles.

  • RGPD définit 6 bases légales: consentement, mission d'intérêt public, intérêt légitime, contrat, obligation légale, sauvegarde des intérêts vitaux.

• Dérogation aux principes d'interdiction: Indispensable pour la collecte. Motifs définis par RGPD et LIL.

  • Pour les données personnelles: Consentement explicite, droit du travail, intérêts vitaux, organismes à but non lucratif, données publiques, droit en justice, intérêt public important, médecine préventive, recherche scientifique.

  • Pour les données de santé: Médecine préventive, diagnostics, soins par professionnel soumis au secret, études internes, organismes d'assurance maladie, DIM, ARS/État pour politiques publiques ou statistiques.

Checklist en cas de Partage / Échange de Données

• Information préalable du patient?

• Partage dans le cadre de l'équipe de soins ou en dehors?

• Partage/échange licite?

• Personnes autorisées à accéder?

• Procédure de gestion des habilitations et accès?

• Utilisation de messagerie sécurisée?

Notion de « Violation de Données à Caractère Personnel »

• Violation de sécurité entraînant la destruction, perte, altération, divulgation ou accès non autorisé.

• Obligation d'information de la CNIL dans les 72 heures après en avoir pris connaissance (RGPD article 33).

• Risques de sanctions pécuniaires (défaut de sécurisation) et disciplinaires/pénales (copies de données de santé).

Points Importants (Synthèse)

• Toute opération sur des données personnelles est un traitement.

• Acteurs: RT, sous-traitant, DPO.

• Consentement valide: libre, spécifique, éclairé, univoque, avec droit de retrait.

• Tout traitement doit être inscrit au registre des activités du RT.

Cadre Réglementaire National et Européen

La protection des données est régie par un double cadre réglementaire.

Le Règlement Général sur la Protection des Données (RGPD) et la Loi Informatique et Libertés (LIL)

• RGPD (Règlement (UE) 2016/679): Applicable depuis le 25 mai 2018.

  • Établit les règles de protection des personnes physiques et de libre circulation des données personnelles dans l'UE.

  • Protège les libertés et droits fondamentaux, notamment le droit à la protection des données.

• Loi Informatique et Libertés (LIL) (Loi n° 78-17): Création de la CNIL en 1978.

  • Adaptée au droit européen par le décret du 29 mai 2019 (« LIL3 »).

La Commission Nationale de l'Informatique et des Libertés (CNIL)

• Autorité administrative indépendante et régulateur français des données personnelles.

• Missions:

  • Informer, protéger les droits.

  • Accompagner la conformité, conseiller.

  • Anticiper et innover.

  • Contrôler et sanctionner.

• Guide RGPD, CNIL et données de santé élaboré avec le Conseil National de l'Ordre de Médecins (CNOM).

Principes Réglementaires de la Protection des Données Personnelles de Santé

• Leur traitement est interdit par principe (RGPD Article 9-1, LIL Article 6-1).

• Il existe des exceptions à cette interdiction (RGPD Article 9-II, LIL Articles 6-II-44 + section 3).

Champ d'Application du RGPD et Droits des Patients

• Où et à qui s'applique le RGPD?

  • Responsable du traitement dans l'UE (même si traitement hors UE).

  • Ou données relatives à des personnes sur le territoire de l'UE (même si responsable hors UE).

• Exceptions de non-applicabilité: Activité strictement personnelle/domestique, sécurité publique.

• Droits sur les données (secteur public et privé):

  • Accès, effacement, opposition, portabilité, rectification, limitation du traitement.

  • Si base légale «Exécution d'une mission d'intérêt public», le RT peut se soustraire à l'effacement, opposition, rectification, limitation.

• Droit d'accès: Obtenir copie des informations.

  • Pour les données de santé, communication directe ou via un médecin désigné (CSP L. 1111-7).

• Effacement: Demander la suppression des données.

  • Peu applicable en soin, très applicable en recherche.

• Opposition: S'opposer à l'utilisation des données pour un objectif précis.

  • Applicable en recherche, sans objet en soin.

• Portabilité: Récupérer les données dans un format lisible pour son propre usage ou transfert.

  • Totalement applicable en soin (ex: DMP).

• Rectification: Demander la modification de données incorrectes.

  • Peu ou pas applicable en santé.

• Limitation du traitement: Bloquer le traitement temporairement.

  • Peu applicable (même en recherche).

Les Droits des Patients Dépendent de la « Base Légale » du Traitement

• L'article 6 du RGPD propose 6 bases légales à tout traitement de données:

  1. Le consentement: La personne a consenti.

  2. Le contrat: Nécessaire à l'exécution ou préparation d'un contrat.

  3. L'obligation légale: Traitement imposé par des textes légaux.

  4. La mission d'intérêt public: Nécessaire à l'exécution d'une mission d'intérêt public.

  5. L'intérêt légitime: Poursuite d'intérêts légitimes (du RT ou d'un tiers) dans le respect des droits des personnes.

  6. La sauvegarde des intérêts vitaux: Nécessaire à la sauvegarde des intérêts vitaux.

Points Importants sur le Cadre Réglementaire

• Double cadre réglementaire pour les données personnelles: Européen (RGPD) et Français (LIL).

• Le traitement des données personnelles et de santé est interdit sauf exceptions définies par LIL et RGPD.

• Application du RGPD si le RT est dans l'UE ou si les données concernent une personne dans l'UE.

• Les droits des personnes (et patients) sur leurs données dépendent de la base légale du traitement.