La collecte massive des données de santé redessine l’organisation des soins et des recherches médicales. Ce tournant soulève des questions sur le contrôle, la confidentialité et la souveraineté des informations personnelles.
Le droit français et le droit européen ont tenté d’encadrer ces pratiques au fil des décennies, en adaptant des instruments juridiques. Les points essentiels à retenir précèdent l’analyse détaillée qui suit.
A retenir :
- Consentement explicite du patient, information transparente sur les traitements
- SNDS centralisé, accès encadré pour recherche et santé publique
- RGPD imposant responsabilité des acteurs, registres et analyses d’impact
- Risque de dépendance aux géants technologiques, enjeu de souveraineté européenne
À partir des droits publics : Histoire du droit français et du SNDS
Le cadre national s’est construit autour de la loi de 1978 dite « Informatique et Libertés ». La création de la CNIL a structuré le contrôle et les obligations des responsables de traitement. Selon la CNIL, cette architecture visait à protéger la vie privée face aux fichiers administratifs.
La loi de 2016 a institué le SNDS, centralisant des données administratives et médico-administratives. Selon les textes, l’accès est strictement encadré pour la recherche et les services publics de santé. Toutefois, la conservation longue des données et les contrôles a posteriori soulèvent des questions pratiques. Ce bilan historique impose d’examiner la portée européenne des protections actuelles.
Année
Texte
Portée
Autorité principale
1978
Loi « Informatique et Libertés »
Protection générale des données personnelles
CNIL
2004
Modifications bioéthiques
Intégration des données de santé dans les catégories sensibles
CNIL
2016
Loi de modernisation du système de santé
Création et gouvernance du SNDS
CNAM
2018
Loi de transposition du RGPD
Harmonisation européenne des droits et obligations
CNIL
Points législatifs clés :
- Déclaration préalable pour certains traitements
- Pseudonymisation comme garde-fou de la vie privée
- Droits d’accès et de rectification pour les personnes
- Sanctions administratives et contrôle a posteriori
« En tant que médecin hospitalier, j’ai constaté des failles de gouvernance lors de migrations de bases de données »
Paul N.
Ces limites au niveau national expliquent ensuite la nécessité d’un cadre européen plus uniforme. L’observation historique conduit naturellement à l’étape suivante, centrée sur le RGPD.
Suite à ces tensions : RGPD et droits des patients face aux big data
Le RGPD a harmonisé plusieurs principes clés applicables aux données de santé. Selon le règlement, la transparence, la minimisation et la responsabilité constituent des obligations centrales pour les responsables.
Les droits renforcés incluent l’accès, la rectification, l’effacement et la portabilité des données personnelles. Selon Inserm, ces droits visent à maintenir l’autonomie du patient face aux usages algorithmiques. Le défi restant concerne l’application concrète de ces droits dans des environnements techniques complexes.
Principes RGPD appliqués aux données patients
Cette partie précise comment les principes du RGPD s’appliquent aux données de santé. Le principe de minimisation impose de limiter la collecte au strict nécessaire pour la finalité. Aussi, l’analyse d’impact requise pour les traitements à haut risque renforce la prévention des atteintes.
Mesures techniques obligatoires :
- Pseudonymisation et chiffrement des données
- Registre des traitements et documentation complète
- Analyses d’impact pour traitements à haut risque
- Délégué à la protection des données pour suivi indépendant
Contrôles, sanctions et régulation opérationnelle
Le contrôle repose sur des autorités indépendantes et des mécanismes de sanction gradués. Selon la CNIL, les outils d’audit et les mises en demeure demeurent des leviers efficaces. Les amendes prévues par le RGPD peuvent atteindre un pourcentage élevé du chiffre d’affaires.
Droit
Article RGPD
Effet
Limitation
Accès
Article 15
Obtention d’une copie des données personnelles
Exceptions pour missions publiques
Rectification
Article 16
Correction des données inexactes
Preuves documentaires parfois requises
Effacement
Article 17
Droit à l’oubli sous conditions
Limité par intérêts de santé publique
Portabilité
Article 20
Transfert des données à un autre responsable
Applicable aux données fournies par la personne
« J’ai demandé la copie de mon dossier et le transfert a été long mais réalisable »
Lucie N.
Ces outils européens restent toutefois insuffisants face aux enjeux de souveraineté et d’IA. L’analyse conduit donc au dernier point, centré sur la souveraineté et l’éthique opérationnelle.
En conséquence : Limites, souveraineté et régulation éthique de l’IA en santé
La dépendance aux fournisseurs de cloud non européens pose un risque concret de contrôle des données. Selon des commentateurs, l’extraterritorialité du Cloud Act compromet la souveraineté des données de patients européens.
Les propositions d’un EHDS visent à restaurer une gouvernance commune et des standards partagés. Selon l’Union européenne, l’EHDS doit améliorer la sécurité, l’accès et la participation citoyenne. Il reste essentiel de traduire ces objectifs en normes opérationnelles et en capacités techniques nationales.
Souveraineté des données et risques des plateformes étrangères
Cette partie illustre pourquoi la souveraineté constitue un enjeu stratégique pour la santé. Les données de santé constituent un capital pour l’innovation mais exigent des garde-fous. Les débats portent sur la localisation, le contrôle d’accès et les relations contractuelles avec les fournisseurs.
Risques de dépendance identifiés:
- Accès extraterritorial via législations étrangères
- Monétisation des données par des acteurs privés
- Perte de contrôle sur algorithmes et modèles propriétaires
- Vulnérabilités liées à la gestion des prestataires tiers
« Dans mon établissement, la centralisation chez un fournisseur étranger a compliqué la protection des données des patients »
Sophie N.
Vers une régulation éthique et des infrastructures souveraines
Le passage à une gouvernance éthique implique des normes techniques et participatives nouvelles. Selon l’OMS, l’IA exige une gouvernance robuste et des évaluations d’impact systématiques. La construction de capacités européennes requiert aussi des investissements publics et des politiques industrielles ciblées.
Axes d’action prioritaires:
- Création d’une agence européenne dédiée à la santé numérique
- Standards techniques ouverts et cadres de certification
- Renforcement des capacités de stockage souverain
- Participation citoyenne et gouvernance inclusive
« Une agence européenne renforcerait la coordination et la surveillance des algorithmes en santé »
Jean N.
La régulation future devra concilier innovation, sécurité et droits individuels pour garantir la confiance. Ce pari technique et politique conditionnera la capacité des systèmes de santé à tirer parti des big data en protégeant les personnes.
Source : CNIL, « Santé | CNIL », CNIL ; Inserm, « Big data en santé », Inserm ; OMS, « Rapport sur la santé en Europe », OMS, 2021.
