Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Décembre 2016 - n°419 - 408

interview
sur la finalité des données, à l'aune des nouveaux principes
du règlement européen relatif à la protection des données
personnelles, notamment les principes d'accountability et de
privacy by design. Je pense qu'il n'y a pas de réel vide juriLa donnée de santé est enfin définie par le RGDP. Est-elle
satisfaisante ? Risque-t-elle de faire entrer dans son
dique. La donnée de santé telle que définie par le règlement
champ les données issues des données des capteurs des
ne fait pas de distinction entre les données de bien-être et
objets connectés ?
d'autres données de santé. Il n'y a donc pas de « sous-donLa donnée de santé est définie par le règlement européen
nées de santé ». Le législateur a souhaité avoir une vision
comme étant toute donnée à caractère personnel relative
très large de cette notion pour la faire bénéficier d'une
à l'état de santé physique ou mentale de la personne. Un
protection renforcée, sans créer une protection à géométrie
considérant assez long précise cette définition très succincte.
variable. En revanche, dans la mise en œuvre des différentes mesures de protection européennes et nationales, il
Cette définition peut donc tout englober, jusqu'au nombre
convient de procéder à une analyse au cas par cas. Ainsi
de pas, les pulsations cardiaques, etc.
pour prendre un autre exemple, il faut aussi s'interroger sur
C'est en effet le cas. Pour autant, cela ne veut pas dire que
les conditions de soumission aux règles relatives au disposila seule présence d'une donnée de santé embarque la mise
tif médical pour voir s'il y a lieu de procéder à un marquage
en œuvre de tout l'arsenal juridique. Les données de santé
CE. A cet égard, une réforme est en cours pour modifier les
en raison de leur sensibilité et du lien très fort avec la vie
directives actuelles. L'ANSM (Agence nationale de sécurité
privée des personnes font en effet l'objet d'une protection
du médicament et des produits de santé) est d'ores et déjà
renforcée. Toutefois, chaque pavé de législation comporte
très impliquée pour apporter des éclairages sur la notion
aussi des conditions d'applicade dispositif médical, qui peut
concerner des logiciels dès lors
tion. Si l'on prend l'exemple de
qu'il y a une finalité diagnosl'agrément pour l'hébergement
« Une autre stratégie consiste à faire
des données de santé à caractère
tique ou thérapeutique, en tenant
évoluer de l'intérieur notre droit vers
personnel régi par l'article L1111compte du développement de ces
des concepts favorables aux intérêts
8 du code de la santé publique,
objets connectés. Aujourd'hui, on
des groupes américains, dans la
ce ne sont pas toutes les données
constate donc moins un vide jurilogique d'échapper au droit européen. » dique qu'une nécessité de fournir
de santé qui sont concernées
mais celles qui sont recueillies ou
un arbre décisionnel au bénéfice
collectées à l'occasion d'une actide ces différents intervenants,
afin
qu'ils
puissent
déterminer
leurs différentes responsabilivité de diagnostic, de prévention, de soin ou de suivi social
et médico-social, pour le compte de personnes physiques
tés et les règles qui leur sont applicables.
ou morales à l'origine de la production ou du recueil de ces
données ou pour le compte du patient lui-même.
Le problème qui se pose avec ces objets connectés, c'est
aussi l'exportation de ces données en dehors de l'Union
La prévention, cela peut être très large.
européenne, par exemple aux Etats-Unis.
En effet. Le décret modificatif de celui de 2006 relatif à la
C'est toute la question du transfert de données personnelles,
procédure d'agrément devrait d'ailleurs préciser le champ
problématique qui dépasse la réflexion autour des objets
d'application de ces règles, qui couvrent les données de
connectés. Il est donc important de fournir le plus d'inforsanté personnelles qui ont vocation « par destination »,
mations possible aux personnes concernées sur l'usage qui
à être utilisées dans le cadre d'une activité médicale. Le
sera fait de leurs données personnelles. Quand on observe
responsable de la fabrication d'un objet connecté doit d'ores
le développement des réseaux sociaux, on se rend compte
et déjà s'interroger sur le fait de savoir si ces données auront
que les individus préfèrent parfois privilégier le partage de
vocation à aller entre les mains d'un professionnel de santé.
données sensibles plutôt que de ne pas échanger et rester
C'est la finalité médicale qui impose que l'objet connecté
dans leur sphère individuelle.
soit soumis à des contraintes juridiques, en sus du caractère
sensible des données qu'il manipule.
Est-ce que la santé est impactée par la loi pour une
République numérique ?
Cela figure-t-il dans le considérant du RGDP ?
Oui, dans une certaine mesure. Je pense par exemple aux
Pas explicitement. En outre, comme on l'a rappelé, le régime
obligations qui pèsent sur les administrations, en matière
des hébergeurs est une législation française. Mais le consid'ouverture des données publiques.
dérant n'exclut pas la possibilité de considérer les données
En dehors des dispositions de la loi du 26 janvier 2016, qui
issues d'objets connectés comme des données de santé.
comporte un chapitre consacré à l'ouverture des données
de santé ?
En revanche, les exploitants de données issues des
C'est différent de l'open data santé. On pourrait s'intercapteurs n'auront pas besoin d'être certifiés hébergeurs
de données de santé.
roger sur l'articulation entre ces deux législations. Il faut
Toute la chaîne d'acteurs qui gravitent autour des objets
attendre la parution de tous les textes d'application. Pour
connectés, et ils sont nombreux, doivent s'interroger
en revenir à la loi pour une République numérique, il s'agit
l'instant viendra préciser les modalités de mise en œuvre du
nouveau dispositif de certification.

408

EXPERTISES DÉCEMBRE 2016

Table des matières de la publication Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Décembre 2016 - n°419