que deviennent nos données médicales?

Alors que les entreprises de téléconsultation assurent tout faire pour protéger les données médicales, l’article 28 du PFLSS entend renforcer l’encadrement de la gestion de ces données.

La numérisation des données médicales reste un dossier sensible en France. A l’image du Health Data Hub, un mégafichier des données de santé créé par le gouvernement, dont le projet a fait débat à cause de son hébergeur américain Microsoft.

Depuis environ cinq ans, les cabines de téléconsultation se multiplient dans les pharmacies et les collectivités, pour répondre à la problématique complexe des déserts médicaux. Face à ces nouvelles pratiques, les politiques publiques doivent s’adapter pour mieux les encadrer, notamment en ce qui concerne la gestion des données médicales.

Ainsi, dans le cadre du Projet de loi finance de la sécurité sociale (PLFSS) 2023, actuellement en débat à l’Assemblée Nationale, l’article 28 a pour but de renforcer la vérification de la conformité des entreprises au respect de la protection des données personnelles. Le deuxième objectif est de faciliter la circulation des données entre toutes les plateformes de santé.

“L’article permet de clarifier notre rôle en tant qu’entreprise de téléconsultation, de pérenniser l’activité et d’aller dans le sens de la qualité des soins que nous devons délivrer aux patients”, avance Nathaniel Bern, cofondateur de Medadom, l’un des principaux acteurs de cabines de téléconsultation en France.

Le pays compte plusieurs entreprises sur le marché des cabines de téléconsultation dont Medadom, Tessan et H4D, interrogées par Tech&Co. Ces cabines apparaissent comme une solution pour un patient qui a besoin d’un rendez-vous rapidement avec un médecin.

Ainsi, le patient trouve un médecin qui appartient au réseau de l’entreprise, dans les 15 minutes. Charge à lui de se créer un compte en renseignant quelques informations médicales, d’insérer sa carte Vitale, avant d’être guidé par le professionnel de santé en visioconférence pour utiliser les dispositifs médicaux de la cabine.

Qui a accès aux données?

Pour le réseau de Tessan, le patient doit indiquer nom, date de naissance, poids, taille, adresse, ou encore mutuelle. “Le médecin a accès à ces informations pour vérifier la posologie pour certains médicaments, afin de les délivrer ou non au patient”, indique Maxime Leneylé, directeur général de Tessan. Pour ce qui est des consultations vidéo, Tessan et Medadom assurent que celles-ci passent par un flux chiffré de patient à médecin, n’impliquant aucun enregistrement par la suite.

En début d’année, le service Mon Espace Santé est venu remplacer et améliorer le Dossier médical partagé. Chaque personne couverte par l’Assurance maladie peut retrouver ses informations et documents médicaux. Les médecins en téléconsultation, comme tout médecin, y ont accès.

“Un professionnel de santé ne peut pas aller voir les données d’un patient qu’il n’a jamais consulté”, précise Tessan à Tech&Co.

Afin de protéger ces informations, les trois entreprises assurent stocker les données des patients sur des serveurs certifiés “hébergeurs de données de santé” dit HDS. Du côté de Tessan, les données sont hébergées sur un serveur Microsoft Azure certifié HDS, “qui remplit des conditions définies par le Ministère de la Santé”.

Medadom stocke les données sur les serveurs d’Amazon (AWS), “qui a les certifications pour tous les niveaux”, précise Nathaniel Bern. H4D a pour sa part choisi Orange. De plus, la loi impose que les serveurs soient situés en France. “L’entreprise se charge de vérifier que les données soient bien chiffrées et acheminées dans le bon serveur”, précise Franck Baudino, fondateur de H4D.

Auprès de Tech&Co, l’avocate spécialiste du droit du numérique Eléonore Scaramozzino rappelle que ces entreprises doivent respecter toutes les composantes du RGPD (Règlement général sur la protection des données) et “pas seulement la question du stockage et du HDS. Elles doivent aussi afficher les potentiels bénéficiaires des données et garantir la qualité du parcours de soin”.

L’article 28, avancée ou blocage?

Ce qui est déjà le cas de l’entreprise H4D “qui est la seule certifiée classe II en Europe, à la fois sur l’aspect médical (parcours de soin) et sur l’aspect protection des données” assure son dirigeant. Et Franck Baudino d’arguer: “il y a des craintes légitimes de la part des citoyens et c’est à l’ensemble du secteur de montrer des garanties”.

Afin de renforcer ces garanties et pérenniser le système, le député Thomas Mesnier (Horizons) a déposé trois amendements dans l’article 28 du PLFSS 2023, adoptés en commission.

“L’utilisation des données est un sujet sensible et fait l’objet de beaucoup de fantasmes. Il y a un impératif de transparence. J’ai évidemment travaillé en relation avec les acteurs du secteur. Ils ont un avis plutôt favorable sur l’avancée des encadrements, même si certains voudraient qu’on aille plus vite” explique-t-il à Tech&Co.

Le député insiste également sur l’intéropérabilité du système: faire en sorte que les données médicales numérisées circulent plus facilement et de manière plus sécurisée entre toutes les plateformes de santé.

“La véritable difficulté des pouvoirs publics est de trouver la balance entre la sécurité des données médicales et ne pas contraindre l’innovation”, estime Maître Scaramozzino.

La France et l’Europe travaillent sur un cloud souverain pour ne pas dépendre d’acteurs américains. Mais Medadom n’a pas choisi AWS par hasard. “Nous préférons avoir des acteurs américains qui ont toutes les garanties de sécurité et de stabilité plutôt que des acteurs européens moins fiables, que nous avons par ailleurs déjà testés” précise l’entreprise à Tech&Co.

Cela veut-il dire que la France est en retard en termes de cloud souverain pour les données de santé? Le Health Data Hub subit lui-même le problème de l’hébergement des données. Stéphanie Combes, la directrice du Health Data Hub, reconnait que les solutions françaises ou européennes ne sont pas au niveau pour succéder à Microsoft. D’abord prévue pour fin 2022, la transition vers un hébergeur européen est repoussée à 2025.

Face à l’accélération de la numérisation de données médicales, Franck Baudino estime important de rappeler que “le patient a toujours le choix, qu’il est propriétaire de ses données et que la loi française est assez bien faite pour le protéger”.