L'hébergement de données sensibles
Le dĂ©veloppement des nouvelles technologies de lâinformation et de la communication nâintĂ©resse pas que les sociĂ©tĂ©s privĂ©es, lâEtat sây implique Ă©galement Ă travers son service public. Les pouvoirs publics sont conscients de la formidable opportunitĂ© que reprĂ©sente internet pour mettre en Ćuvre les diffĂ©rentes politiques Ă©conomiques et sociales en direction des administrĂ©s.  Ainsi, lâEtat pourra rĂ©aliser une politique de la justice de la fiscalitĂ© ou de la santĂ©, rationnelle tant au point de vue de la rĂ©alisation des objectifs fixĂ©s que de celui de la maĂźtrise des budgets affectĂ©s pour chacune de ces politiques.
Or si un domaine en particulier requiert un effort de lâEtat en matiĂšre de cohĂ©rence et de maĂźtrise des coĂ»ts câest certainement celui de la santĂ©. Il nâest pas utile de rappeler ici la lutte menĂ©e par les pouvoirs publics pour rĂ©sorber le dĂ©ficit de la sĂ©curitĂ© sociale, la presse en fait quotidiennement Ă©tat. A ce titre, on constate que les diffĂ©rents ministres de la santĂ© qui se sont succĂ©dĂ©s ces derniĂšres annĂ©es ont largement privilĂ©giĂ© les systĂšmes dâinformations automatisĂ©s pour rationaliser les dĂ©penses de santĂ© des patients. Câest ainsi quâa Ă©tĂ© mis en pratique en 2012 le dossier mĂ©dical personnalisĂ© (DMP) qui permet de centraliser les informations mĂ©dicales dâun patient. Le DMP est ainsi directement accessible par les professionnels de santĂ© qui suivent le patient.
Collecter les donnĂ©es mĂ©dicales des patients pour un meilleur exercice des soins mĂ©dicaux et une plus grande maĂźtrise des dĂ©penses de santĂ© est assurĂ©ment une initiative appropriĂ©e, si dans le mĂȘme temps le patient reçoit une garantie dans lâutilisation qui est faite de ses donnĂ©es mĂ©dicales Ă caractĂšre personnel. A ce sujet, les diffĂ©rentes lois qui ont autorisĂ© la collecte dâinformations sur les donnĂ©es mĂ©dicales des patients ont toujours Ă©tĂ© accompagnĂ©es de dispositions venant poser un cadre juridique prĂ©cis dâautorisation, dâaccĂšs, de conservation et de responsabilitĂ©s encourues. Il en est ainsi des hĂ©bergeurs de donnĂ©es sensibles portant sur des informations mĂ©dicales.
Le rÎle des hébergeurs de données sensibles à caractÚre médical
Les professionnels de santĂ© (mĂ©decins, hĂŽpitaux) ont besoin dâinformations prĂ©cises sur lâhistorique mĂ©dical de la personne quâils vont traiter, afin notamment de connaĂźtre ses antĂ©cĂ©dents ou sur les risques Ă lui prescrire tel ou tel mĂ©dicament. Toutes ces donnĂ©es mĂ©dicales peuvent ĂȘtre conservĂ©es par les professionnels de santĂ© eux-mĂȘmes. Ces derniers peuvent aussi dĂ©cider de sâadresser Ă un professionnel dont câest le mĂ©tier, pour stocker en toute sĂ©curitĂ© lâensemble de ces donnĂ©es mĂ©dicales des patients. Ce professionnel est qualifiĂ© dâhĂ©bergeur car il hĂ©berge en quelque sorte sur des supports informatiques les donnĂ©es qui lui sont transmises par les professionnels de santĂ©. LâhĂ©bergeur est un professionnel qui a Ă©tĂ© agrĂ©e pour cette fonction.
Lâarticle L1111-8 du Code de la santĂ© publique autorise expressĂ©ment les professionnels de santĂ© « Ă dĂ©poser des donnĂ©es de santĂ© Ă caractĂšre personnel auprĂšs de personnes physiques ou morales agrĂ©es Ă cet effet ». La loi ajoute que cet hĂ©bergement ne peut avoir lieu « quâavec le consentement exprĂšs de la personne concernĂ©e ».
La procĂ©dure dâagrĂ©ment des hĂ©bergeurs de donnĂ©es Ă caractĂšre mĂ©dical
Câest la loi du 4 mai 2002 relative aux droits des malades qui a instaurĂ© la procĂ©dure dâagrĂ©ment des hĂ©bergeurs de donnĂ©es de santĂ©. La manipulation de donnĂ©es aussi sensibles que les informations mĂ©dicales Ă caractĂšre personnel nĂ©cessitait manifestement une dĂ©cision dâagrĂ©ment de lâhĂ©bergeur. Le dĂ©cret du 4 janvier 2006 organise les conditions dâobtention de lâagrĂ©ment.
LâagrĂ©ment est dĂ©livrĂ© par le ministre de la santĂ© au terme dâune procĂ©dure dâexamen du dossier dâagrĂ©ment. Le candidat adresse au ministre de la santĂ© une demande dâagrĂ©ment, lequel va le transmettre Ă la CNIL pour apprĂ©cier la conformitĂ© du dossier Ă la loi informatique et libertĂ©s de 1978, aprĂšs quoi un avis est rendu dans les 2 mois suivant. La CNIL transmet alors le dossier Ă un ComitĂ© dâagrĂ©ment qui relĂšve de la CNIL. Enfin aprĂšs lâavis du ComitĂ© dans le dĂ©lai dâun moi, le dossier revient entre les mains du ministre de la santĂ© qui dispose dâun dĂ©lai de deux mois pour dĂ©cider ou non dâaccorder lâagrĂ©ment.
LâagrĂ©ment est dĂ©livrĂ© pour 3 ans et son renouvellement est possible selon la mĂȘme procĂ©dure, Ă condition en outre dâen effectuer la demande 6 mois avant lâexpiration du premier agrĂ©ment et de fournir un audit externe rĂ©alisĂ© aux frais de l'hĂ©bergeur certifiant que celui-ci a rempli ses obligations au regard de la politique de confidentialitĂ© et de sĂ©curitĂ© des donnĂ©es.
Les conditions pour ĂȘtre agréé
Pour la dĂ©livrance de lâagrĂ©ment, la loi a pris en considĂ©ration essentiellement les garanties de sĂ©curitĂ© et de confidentialitĂ© des donnĂ©es personnelles des patients par les hĂ©bergeurs. Lâagence des systĂšmes dâinformations partagĂ©s de santĂ© Ă la demande du ministre de la santĂ© a mis en place des « rĂ©fĂ©rentiels d'interopĂ©rabilitĂ© et de sĂ©curitĂ© » pour accroĂźtre lâefficacitĂ© de la procĂ©dure dâagrĂ©ment des organismes. Câest ainsi que, lors du dĂ©pĂŽt de la demande dâagrĂ©ment, le candidat doit joindre Ă son dossier une prĂ©sentation de sa politique de confidentialitĂ© et de sĂ©curitĂ© dâhĂ©bergement des donnĂ©es quâil entend mettre en Ćuvre : en matiĂšre du respect des droits des personnes (consentement de la personne), en matiĂšre de sĂ©curitĂ© dâaccĂšs aux informations, en matiĂšre de pĂ©rennitĂ© des donnĂ©es mĂ©dicales transmises (leur Ă©volution et enrichissement) et enfin en matiĂšre d'organisation et de procĂ©dures de contrĂŽle interne pour assurer la sĂ©curitĂ© des donnĂ©es (qui aura accĂšs aux donnĂ©es en interne).
Les obligations essentielles de lâhĂ©bergeur agréé
Le lĂ©gislateur a entendu prĂ©server strictement la vie privĂ©e des patients. La lĂ©gislation sur les obligations juridiques des hĂ©bergeurs de donnĂ©es mĂ©dicales a Ă©tĂ© adoptĂ©e en fonction de la rĂšgle posĂ©e Ă lâarticle L1110-4 du Code de santĂ© publique :
Toute personne prise en charge par un professionnel de santé, un établissement ou service, un professionnel ou organisme concourant à la prévention ou aux soins dont les conditions d'exercice ou les activités sont régies par le présent code, le service de santé des armées, un professionnel du secteur médico-social ou social ou un établissement ou service social et médico-social [...] a droit au respect de sa vie privée et du secret des informations la concernant.
Le consentement du patient Ă la collecte et Ă la transmission de ses donnĂ©es est toujours requis, sauf lorsque la collecte des donnĂ©es de santĂ© est nĂ©cessaire Ă la sauvegarde de la vie du patient et que celui-ci nâest pas exceptionnellement apte a donner son consentement.
Lâarticle L1111-8 du Code de santĂ© publique dispose que lâhĂ©bergeur doit se conformer en tout point avec la loi informatique et libertĂ© du 6 janvier 1978. Ainsi, avant l'entrĂ©e en vigueur du RGPD, lâhĂ©bergeur devait par consĂ©quent adresser Ă la CNIL une dĂ©claration des traitements des donnĂ©es dont il est responsable. Cet article rappelle que la transmission des donnĂ©es Ă lâhĂ©bergeur ne peut avoir lieu qu'avec le consentement exprĂšs de la personne concernĂ©e.
La transmission des donnĂ©es mĂ©dicales du professionnel de santĂ© vers lâhĂ©bergeur doit reposer sur un contrat (un contrat de prestation dâhĂ©bergement) qui doit spĂ©cifier que la transmission, lâhĂ©bergement, lâaccĂšs sont subordonnĂ©s Ă lâaccord de la personne concernĂ©e (article L1111-8 du CSP). Lâinspection gĂ©nĂ©rale des affaires sociales opĂšre des contrĂŽles qui peuvent conduire au retrait de lâagrĂ©ment en cas de violation des prescriptions lĂ©gales (non respect du secret professionnel, obligation de confidentialitĂ© enfreinte). Par ailleurs, toute violation de ces dispositions expose lâhĂ©bergeur et son personnel Ă des peines pĂ©nales. Ainsi la violation du secret professionnel est punie dâun 1 an dâemprisonnement et de 15 000 euros dâamendes (article 226-13 du Code pĂ©nal).
A lâissue du contrat de la prestation dâhĂ©bergement, les donnĂ©es transmises Ă lâhĂ©bergeur doivent ĂȘtre restituĂ©es soit au patient soit au professionnel de santĂ©. LâhĂ©bergeur doit restituer lâensemble des donnĂ©es confiĂ©es sans pouvoir en garder trace dans ses fichiers. Lorsque câest avec le patient directement que le contrat dâhĂ©bergement a Ă©tĂ© conclu, ce dernier peut dĂ©cider de le rompre Ă tout moment.
Quels sont les hébergeurs agréés ?
Le site internet du gouvernement (esante.gouv.fr) dresse une liste des hĂ©bergeurs certifiĂ©s permettant Ă l'hĂ©bergement de donnĂ©es sensibles Ă caractĂšre mĂ©dical. Parmi ceux-ci nous pouvons Ă titre dâexemple citer Amazon Web Services (AWS) ou encore Microsoft Corporation.