Collecte des données de sante : ce à quoi il faut faire attention !

Le Règlement Général sur la Protection des Données (RGPD) : la conduite à tenir

Après avoir clarifié ce qu’est une donnée de santé et les aspects importants à considérer pour leur collecte, il convient de mettre en lumière les autres points qui devraient retenir toute notre attention lorsque nous parlons de collecte de données afin d’en garantir l’exploitabilité.

La collecte de données dans un processus de digitalisation a un but principal : les exploiter afin que des décisions soient prises pour impacter la vie des citoyens. Ces données collectées sont donc reliées comme nous l’avons exposé plus haut à des personnes physiques. Ces personnes ont le droit d’être informées de l’utilisation qui sera faite de leurs données personnelles. Les informer leur permet de conserver une maîtrise des données les concernant ; ceci étant une obligation du Règlement Général sur la Protection des Données (RGPD).

Le responsable de la collecte des données doit collaborer étroitement avec le responsable des traitements des données qui lui, doit prendre les mesures appropriées pour informer les personnes concernées. En pratique, ce sont les acteurs opérationnels (professionnels de santé notamment) agissant au nom et pour le compte du responsable de traitement (établissement de santé, service de soins, etc.) qui délivrent l’information.

L’information délivrée doit revêtir un caractère concis, transparent, compréhensible. Elle doit être accessible par le citoyen lambda.

Pour répondre à cette exigence, il faut aller à l’essentiel tout en faisant figurer l’ensemble des mentions obligatoires dans le document d’information. Il faut également opter pour un support rendant l’information la plus intelligible possible :  utiliser par exemple des pictogrammes visuels, le surlignage des informations essentielles dans des documents écrits ou encore faire recours à des vidéos informationnelles à diffuser dans les salles d’attente etc… Le contenu des informations à délivrer aux « personnes-témoins » varie selon deux cas : celui selon lequel les données de santé ont été collectées directement auprès de la personne concernée et celui où la collecte des données s’est faite de manière indirecte. En fonction du contexte, une multitude de dispositions sont à prendre pour s’assurer que le patient comprenne bien que ses données personnelles seront utilisées, à quelles fins elles le seront et qu’il marque son accord de principe.

Il importe de souligner que lorsque que les données ne sont pas collectées directement auprès de la personne concernée, l’information assurée par le responsable de traitement, doit intervenir au plus tard dans un délai d’un mois, eu égard aux circonstances particulières dans lesquelles les données à caractère personnel sont traitées. Si les données à caractère personnel doivent être utilisées aux fins de la communication avec la personne concernée, l’information doit intervenir au plus tard au moment de la première communication à la personne ou, s’il est envisagé de communiquer les informations à un autre destinataire, au plus tard lorsque les données à caractère personnel sont communiquées pour la première fois.
Il y a certaines dispositions à considérer et à respecter avant, pendant et après la collecte des données de santé.

La limite dans un processus de collecte de données de santé

Présenté ainsi l’on pourrait croire qu’il suffit d’informer pour avoir la possibilité de collecter toutes les données souhaitées ; ce qui dans la pratique n’est pas vraiment le cas. Cela nous emmène donc exposer la limite à s’imposer dans un processus de collecte des données : Où faut-il s’arrêter dans la dynamique de collecte des données de santé ?

En moyenne, un détenteur de smartphone sur deux a déjà installé au moins une application dédiée à sa santé. Les informations sont récupérées automatiquement par les objets intelligents puis traitées en masse. Cette pratique intrusive doit susciter la vigilance des utilisateurs, mais aussi celle des industriels et organes de santé qui peuvent ici engager leur responsabilité au regard du caractère sensible de ces informations personnelles collectées. Ces données font l’objet d’une protection renforcée tant au niveau de la collecte que du traitement, qui doivent être autorisés et soumises à un contrôle accru. L’une des inquiétudes majeures de la Commission nationale de l’informatique et des libertés (CNIL) est d’ailleurs liée à des risques potentiels tels que l’exploitation abusive des données personnelles et l’intrusion dans la vie privée des usagers ; nul doute que la Commission appuyée par le G20 ont à cœur la protection de ces données médicales.

Pour pouvoir collecter des données, puis les traiter tout en étant certain que ces informations personnelles ont été recueillies dans les règles de l’art, il convient avant toute chose d’obtenir un consentement en amont pour la collecte des données de santé, ensuite s’assurer qu’elles bénéficieront d’une protection renforcée lors de leur utilisation et enfin se conformer aux principes du cadre juridique en vigueur pour limiter les risques d’atteinte à la vie privée.

Mais une question demeure : la frontière, indéniablement fine entre la collecte des données de santé et le respect de la vie privée est-elle véritablement observée ?

La collecte de données de santé devrait se faire en gardant à l’esprit le respect de la vie privée des « personnes témoin » et les outils informatiques choisis devraient renforcer cet aspect (nous en parlerons dans nos prochains articles).