Données de santé : comment sont-elles gérées et utilisées ?

Anne Thomsen est directrice juridique et déléguée à la protection des données de Withings, spécialiste des objets de santé connectés. Ces objets ont la particularité de collecter des données relatives à la santé (au sens large) de leurs utilisateurs : rythme cardiaque, nombre de pas, activité physique… en lien ou non avec des professionnels de santé. 

Dans ce webinar, Anne et Claire Leroy, consultante protection des données chez Witik, nous éclairent justement sur la gestion et l’utilisation de ces données personnelles particulières et strictement protégées. 

Comment une entreprise comme Withings s’organise pour protéger nos données de santé ? Comment savoir si les données personnelles que traitent votre entreprise entrent dans la définition des données de santé ? Et comment utiliser Witik pour protéger les données de santé ?

Données de santé : quelles définitions pour quelles règles ? 

D’emblée, précisons que nous parlons bien ici des données personnelles de santé. Pour un rappel sur la définition, consultez notre article sur les données personnelles dans le RGPD. 

En ce qui concerne plus précisément les données de santé, donc, on retrouve deux définitions possibles et donc deux cadres juridiques : 

Les données de santé dans le RGPD

La définition donnée par le règlement européen (articles 4 et 9) est assez large : une donnée de santé est une “donnée concernant l’état de santé”. Autrement dit, toutes les données qui permettent de déduire l’état de santé d’une personne peuvent être des données de santé. On pense par exemple à des indications sur les soins, des pathologies passées, le passage d’un examen médical… 

A noter qu’il s’agit aussi bien de l’état de santé actuel que de l’état passé ou futur. 

Mais le texte va plus loin puisque s’il est possible de déduire de plusieurs données croisées l’état de santé de la personne, alors on a à faire à des données de santé. C’est le cas par exemple lorsqu’on connaît l’âge, le sexe ou le poids de la personne : on pourra déduire son état de santé d’indications sur son activité physique. 

Autrement dit, c’est une conception très large des données de santé. Automatiquement, toutes ces informations sont considérées comme des données sensibles et reçoivent donc une protection particulière.

La définition du Code de la Santé Publique 

La définition du Code de la Santé Publique (article L.1111-8) est plus restrictive mais implique un régime juridique plus strict. Elle est spécifique au droit français et concerne les “données de santé à caractère personnel, recueillies ou produites à l’occasion des activités de prévention, de diagnostic ou de soins”. Autrement dit, ces informations sont produites dans le cadre d’échanges avec des professionnels de santé. Vous le voyez, cette définition est donc plus étroite, mais débouche sur un régime plus protecteur. 

Comment collecter des données de santé ? 

Dans le cas de la définition donnée par le CSP, c’est-à-dire dans le cadre d’échanges avec les praticiens de santé, les entreprises ou organismes qui stockent ou traitent les données doivent avoir une certification spécifique. La certification HDS pour Hébergement des Données de Santé est délivrée par un organisme indépendant après audit. 

Le cas le plus courant est celui du RGPD. On est ici dans le régime applicable aux données sensibles au sens du texte. Concrètement, il n’est possible de collecter des données sensibles que dans des cas très limitatifs.

Parmi eux, le plus courant pour les entreprises privées est le consentement explicite et éclairé des personnes. 

Le recueil du consentement est plus strict que pour des données personnelles “classiques” : il doit être spécifique aux données sensibles et le niveau d’information lié au consentement est plus important, notamment. 

Peut-on réutiliser ce type de données sensibles ? 

En matière de données de santé, la question de la réutilisation des données est cruciale. Ces données sont par nature difficiles à collecter : elles mobilisent beaucoup de personnes dans les équipes, de nombreux professionnels de santé et patients. 

Or cette réutilisation est très importante, notamment pour faire des recherches, mais aussi pour améliorer le produit (algorithmes…). D’où l’importance pour les DPO et les responsables compliance de travailler sur cette question de la réutilisation.

La réutilisation des données sensibles est possible mais uniquement à certaines conditions. En particulier, il peut être nécessaire d’anonymiser les données. 

Sans entrer dans les détails ici, les techniques d’anonymisation des données rendent impossibles le lien fait entre l’information et la personne concernée. Cette rupture du lien est définitive et ne peut être reconstituée, contrairement à ce qu’on retrouve dans la pseudonymisation par exemple. 

À noter que la pseudonymisation peut être suffisante, par exemple dans le cas d’études cliniques. 

Les données de santé reçoivent ainsi une protection particulière et nécessitent un traitement spécifique. Heureusement, la plateforme Witik est parfaitement adaptée à la gestion de ces projets importants : centralisation de la documentation juridique en vue de l’obtention d’une certification HDS, mais aussi gestion du registre des traitements de façon dématérialisée et spécifique aux données de santé… 

Witik vous aide à offrir à vos utilisateurs le meilleur niveau de protection. On vous en dit plus dans le replay du Webinar !