Les données de santé à l’ère de l’IA : l’essentiel à savoir en 7 questions

La question des données de santé est au cœur de la pratique médicale depuis de nombreuses années, à une époque même où les dossiers patients étaient tous au format papier : il fallait en protéger l’accès pour des raisons de secret médical, mais aussi pour ne pas exposer certaines informations confidentielles relatives aux patients. Avec l’arrivée du tout numérique et plus récemment de l’intelligence artificielle, l’importance de cet enjeu ne cesse de s’accentuer : les données sont davantage sollicitées, croisées, parfois réutilisées pour entraîner des modèles. Elles sont donc également plus vulnérables face à des comportements non sollicités, voire malveillants. Pour garantir leur protection, des précautions simples peuvent être mises en place rapidement. Découvrez-les dans cette FAQ qui reprend l’essentiel à savoir sur les données de santé à l’ère de l’IA.

1. Données de santé : quelle définition ?

Selon la Commission Nationale de l’Informatique et des Libertés (CNIL), une donnée de santé est « une donnée relative à la santé physique ou mentale, passée, présente ou future, d’une personne physique qui révèle des informations sur l’état de santé de cette personne ».

Pour mieux comprendre, voici quelques exemples concrets de données de santé : antécédents médicaux, diagnostics, résultats d’examen (biologie, imagerie, etc.), comptes rendus de consultation ou d’hospitalisation, traitements prescrits, données issues d’applis ou d’objets connectés, dès lors qu’elles sont rattachables à un patient. 

Les données de santé sont dites « sensibles » car leur divulgation peut avoir de lourdes conséquences sur les personnes concernées : discrimination dans le cadre d’un emploi ou d’une assurance, stigmatisation sociale ou familiale, atteinte à la vie privée, etc. À ce titre, elles représentent une cible de choix pour les cybercriminels et sont donc soumises à des règles plus strictes de protection.

2. Traitement de données de santé : qu’est-ce que cela signifie exactement ?

Un traitement désigne toute opération réalisée sur des données de santé : 

• la collecte lors de la consultation ou la réception de documents (résultats d’examen, compte rendu, etc.)
• l’enregistrement dans un logiciel ou toute autre solution numérique
• la consultation, la modification et la transmission (que ce soit aux patients, à des confrères ou à l’administration) 
• la conservation, l’archivage et la suppression. 

En bref, à chaque fois que vous réalisez une action sur les données d’un patient, vous réalisez un traitement de données de santé. Chaque traitement peut occasionner un risque, plus ou moins important selon sa nature. Par exemple, modifier une donnée peut compromettre sa qualité ou son intégrité (en cas d’erreur de frappe ou de suppression accidentelle par exemple) et transmettre une donnée peut entrainer une perte de confidentialité.

3. Qu’est-ce qu’une fuite de données médicales et que faire si cela vous arrive ?

Une fuite de données médicales, autrement appelée « violation de données à caractère personnel » désigne tout incident accidentel ou malveillant de sécurité, entrainant une perte de confidentialité, d’intégrité ou de disponibilité des données.

Si vous avez connaissance d’une fuite de données médicale, voici les actions que vous devez mettre en place.

1. Faire cesser l’incident : couper l’accès et prévenir votre fournisseur (mais en général, c’est lui qui vous préviendra de ce type d’évènement).
2. Documenter ce qui s’est passé : la date, l’heure, les données concernées, combien de patients ont été touchés, lesquels, comment a eu lieu l’incident, etc.
3. Déclarer l’incident à la CNIL dans un délai maximum de 72 h, lorsqu’il existe un risque ou un risque élevé pour les personnes concernées. Concrètement, la plupart des situations nécessitent une déclaration à la CNIL.
4. Informer les patients concernés lorsque le risque est élevé, c’est-à-dire, si des données sensibles sur leur état de santé ont été compromises.

Pour en savoir plus sur la marche à suivre en cas de fuite de données, consultez la page consacrée à cette question sur le site de la CNIL.

4. Qu’est-ce que la certification HDS et devez-vous choisir un hébergeur de données qui la possède ?

La certification Hébergeur de Données de Santé (HDS) garantit un niveau de sécurité adapté aux données de santé. La loi à ce sujet est très claire :

« Toute personne physique ou morale qui héberge des données de santé à caractère personnel recueillies à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi médico-social pour le compte de personnes physiques ou morales à l'origine de la production ou du recueil de ces données ou pour le compte du patient lui-même, doit être agréée ou certifiée à cet effet. » L.1111-8 du code de la santé publique, modifié par la loi n° 2016-41 du 26 janvier 2016

Donc, la réponse est oui, vous devez choisir un logiciel médical et des solutions numériques stockant les données chez un hébergeur possédant cette certification. Elle doit être à jour et vous être présentée avant toute signature de contrat.

Pour une sécurité maximale, il est de plus recommandé de choisir un hébergeur localisé en France ou au sein de l’Union européenne. Votre fournisseur doit être en capacité de mettre ce type d’informations à votre disposition.

5. Que retenir du Règlement Général sur la Protection des Données (RGPD) ?

La notion du RGPD la plus importante à comprendre est qu’en tant que médecin, vous êtes responsable du traitement des données de vos patients. Cela signifie que vous devez mettre en place des procédures pour protéger les données de santé en votre possession, informer vos patients sur leur usage et choisir des prestataires et sous-traitants conformes (éditeurs de logiciels, hébergeurs de données, plateformes en ligne, etc.)

En conséquence, si vous subissez une fuite de données et que la CNIL estime que les mesures de protection mises en place étaient insuffisantes, vous pourriez être considéré comme fautif et faire l’objet d’une sanction. La protection des données de vos patients doit donc faire l’objet d’une réflexion sérieuse.

Vous voulez en savoir plus sur la question ? Consultez notre article complet Guide : les bonnes pratiques RGPD en cabinet médical

6. Comment bien continuer à protéger les données de santé des patients avec l’arrivée de l’intelligence artificielle ?

L’arrivée de l’IA ne change rien fondamentalement aux principes de la protection des données. Elle réclame cependant une vigilance accrue.

Pour rappel, les outils IA peuvent analyser les données d’un patient en temps réel dans un objectif d’aide au diagnostic, à la prescription, à la génération de compte-rendu et bien d’autres.

Les outils de ce type fleurissent dans un marché en pleine expansion. Mais sont-ils tous égaux vis-à-vis de la protection des données ? La réponse est simple : non ! Par exemple, les agents conversationnels grand public accessibles gratuitement sur le web, comme ChatGPT ne sont pas fiables concernant la protection des données. En tant que médecin, vous vous exposez à des risques importants en entrant dans ce type d’outils des données appartenant à vos patients, même si leurs noms n’apparaissent pas. En effet, plusieurs données recoupées pourraient permettre de les identifier (date de naissance, profession spécifique, habitation dans une petite ville, maladie très rare, etc.).

Avant d’utiliser un outil d’intelligence artificielle, voici quelques questions à vous poser.  

• Où sont stockées les données et par qui (certification HDS, localisation au sein de l’UE, recours à des sous‑traitants) ? 
• Les données sont-elles sauvegardées et destinées à une réutilisation ultérieure pour entrainer un modèle IA, faire de la prospection commerciale, être revendues ?   
• Quelles garanties existent sur la sécurité, la traçabilité et la possibilité de se retirer du dispositif ?