Expertises des Systèmes d'information - Juillet/Août 2021 - N°470 - Le mensuel du droit de l'informatique et du multimédia - 274

DOCTR INE
principale conséquence d'une telle
qualification est l'obligation, visée
à l'article L.1111-8 du code de la
santé publique, d'héberger de telles
données auprès d'un hébergeur de
données de santé (« HDS »). A ce
titre, il est important de souligner
la cohérence du texte qui précise
clairement que cette obligation
s'applique aux « données de santé
à caractère personnel recueillies à
l'occasion d'activités de prévention,
de diagnostic, de soins ou de
suivi social et médico-social, pour
le compte de personnes physiques
ou morales à l'origine de la production
ou du recueil de ces données
ou pour le compte du patient
lui-même », c'est-à-dire précisément
aux professionnels de santé
recueillant des données médicales.
En conséquence,
la notion de
donnée de santé est large et peut
englober de nombreuses informations.
La notion de donnée médicale,
sous-catégorie de donnée de
santé, connaît en revanche des
critères plus stricts qui permettent
de délimiter une telle donnée à
une information recueillie, traitée
et/ou stockée par un professionnel
de santé dans l'exercice de sa
mission, et est soumise à un secret
professionnel.
La distinction entre les deux catégories
est fondamentale car elle va
permettre d'élaborer des projets
conformes à la loi.
Comment utiliser les
données de santé ?
Connaître le régime juridique des
données de santé permet de déterminer
les possibilités de leur utilisation,
que ce soit dans le cadre de
projets privées (recherche, startup,
etc.) ou de projets publics (lutte
contre la Covid, Health Data Hub,
etc.).
Dans le cadre de projets privés
De nombreuses startup se sont
constituées et ont basé leur
business model sur l'exploitation
et l'analyse de données de santé.
274
La mode de « l'intelligence artificielle
» dans le domaine de la
santé a contaminé l'éco-système
français depuis quelques années,
parfois au mépris des règles juridiques.
Alors que les startups qui
ont pris le parti de se conformer à
la loi et aux régimes juridiques des
données de santé et des données
médicales ont connu des levées
de fonds incroyables et des destinées
merveilleuses, les autres ont
découvert que le juridique a un
prix : celui de ne pas pouvoir faire
une levée de fonds ou de vendre
sa société quand les principes
juridiques ne sont pas respectés.
Dans le cadre de projets privés,
■ il est d'abord fondamental de
bien déterminer si la société
souhaite utiliser des données
médicales dans le cadre de son
business model. Si seules les
données de santé (non médicales)
sont utilisées, les critères,
contextes, nécessités d'obtenir
le consentement des personnes
ou l'autorisation d'autorités,
présence
de médecins
dans
les équipes, etc. ne sont pas les
mêmes qu'en cas de traitement
de données médicales ;
■ puis de déterminer les entités qui
fournissent les données de santé
et/ou les données médicales afin
de définir les procédures applicables
et surtout, les possibilités
d'exploitation en fonction des
cadres autorisés, permettant de
finaliser le business model et ses
évolutions futures ;
■ enfin, après ces analyses, il est
nécessaire de déterminer un
plan d'actions des nombreuses
démarches à effectuer afin
d'être conforme.
A ce titre, les évolutions législatives
et les travaux de la Cnil ont
permis un encadrement plus clair
et souple pour les entités privées :
■ la Cnil avait déjà créé avant le
RGPD, des cadres réglementaires
permettant la recherche
médicale et les projets de santé.
Dans le cadre du RGPD, la Cnil
a édité des « référentiels » pour
le monde de la santé (cabinets
EXPERTISES JUILLET 2021
médicaux, etc.), des « méthodologies
de référence » (MR) portant
sur la recherche médicale, avec
ou sans consentement, avec ou
sans accès au PMSI ;
■ contrairement à une croyance
courante, il est encore parfois
nécessaire de demander des
autorisations
spécifiques,
préalables au lancement de
certains traitements de données
de santé. Ces demandes
d'autorisation sont propres à
chaque projet, spécifiquement
étudiées et donnant souvent
des réponses particulières aux
finalités recherchées ;
■ la France a lancé le Système
national des données de santé
(SNDS), encadré par l'Institut
national des données de santé,
qui a regroupé en 2017
les
principales bases de données
de santé du pays. En mars 2018,
les « données de pharmacie », les
données de « prise en charge en
ville telles que des diagnostics
ou des données déclaratives de
symptômes issues d'applications
mobiles de santé et d'outils
de télé-suivi, télésurveillance ou
télémédecine », de services d'urgence,
ou encore du « système
de suivi des victimes lors de
catastrophes sanitaires » sont
ajoutées. Ce SNDS permet donc
de regrouper les « données médicales
» qui peuvent, moyennant
une autorisation spécifique, être
utilisées à certaines finalités par
les entités privées.
Afin de participer au développement
de l'éco-système français
d'IA et de recherche dans le
domaine de la santé,
la Cnil a
lancé des appels à projet (« bacs
à sable ») afin de permettre à
des projets innovants d'accéder
au SNDS ou à d'autres sets de
données. Plusieurs projets ont
recueilli l'aval de la Cnil, émanant
soit d'entités publiques (CHU de
Lille par exemple) soit d'entités
privées (Clinityx ou Resilience).
Les porteurs de ces projets peuvent
se targuer, au-delà d'avoir une
conformité forte en la matière,
Expertises des Systèmes d'information - Juillet/Août 2021 - N°470 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Juillet/Août 2021 - N°470 - Le mensuel du droit de l'informatique et du multimédia
