Données de santé : ce qu’un cabinet doit exiger de ses outils

HDS : qui doit être certifié, et pour quoi

Le RGPD range les données concernant la santé parmi les catégories particulières de données : leur traitement est interdit, sauf exceptions, dont la prise en charge sanitaire. Un cabinet dentaire peut donc traiter ces données pour soigner ses patients, mais il doit les protéger en conséquence.

En France, l’article L1111-8 du Code de la santé publique ajoute une règle propre à l’hébergement. Toute personne qui héberge des données de santé pour le compte de ceux qui les ont produites ou recueillies (un cabinet, par exemple) doit, pour l’hébergement sur support numérique, être titulaire d’un certificat de conformité délivré par un organisme de certification accrédité. C’est la certification HDS.

Le Code détaille les activités concernées (article R1111-9) : la mise à disposition des locaux qui accueillent les serveurs, l’infrastructure matérielle et virtuelle, la plateforme d’hébergement des applications, l’administration et l’exploitation du système d’information, la sauvegarde des données. Demandez donc à chaque éditeur qui héberge vos données qui est certifié, pour quelles activités, et jusqu’à quand.

L’article L1111-8 prévoit aussi que l’hébergement se fait après information du patient, sauf opposition pour un motif légitime, et que la prestation fait l’objet d’un contrat. L’hébergeur ne peut pas utiliser les données à d’autres fins que l’hébergement, et il est tenu au secret professionnel.

Chiffrement en transit et au repos

Le RGPD cite le chiffrement parmi les mesures de sécurité appropriées (article 32). Deux situations sont à distinguer.

• En transit : tout ce qui circule entre le navigateur, le téléphone, les serveurs et les services tiers doit passer par une connexion chiffrée. C’est le minimum, et c’est facile à vérifier : l’adresse commence par https, sans alerte du navigateur.
• Au repos : ce qui est stocké en base. Demandez précisément quelles données sont chiffrées. « Tout est chiffré » ne suffit pas : faites préciser les champs concernés, l’algorithme et la gestion des clés.

La CNIL recommande des algorithmes reconnus, par exemple AES avec un mode adapté comme GCM, et des clés protégées par des droits d’accès restrictifs. Un éditeur sérieux sait répondre à ces questions par écrit.

Minimisation : ce qui part vers l’IA

Le RGPD pose un principe simple : les données doivent être adéquates, pertinentes et limitées à ce qui est nécessaire (article 5). C’est la minimisation. Elle prend tout son sens avec les outils d’IA, qui transmettent du texte à des modèles parfois exploités par un tiers.

Posez trois questions. Quelles données partent vers le modèle : le texte de la demande seul, ou aussi le nom, le téléphone, l’identifiant du patient ? Où le modèle est-il exploité ? Les données servent-elles à l’entraîner ?

Méfiez-vous du mot « anonymisé ». Pour la CNIL, l’anonymisation rend toute identification impossible, de manière irréversible. Retirer le nom et le téléphone d’un message ne suffit pas à l’anonymiser : on parle alors de pseudonymisation, et la CNIL rappelle que ces données conservent un caractère personnel. Pour un outil qui réduit ce qu’il transmet, le mot juste est « minimisé ».

Traces d’accès et rôles

Tout le monde au cabinet n’a pas besoin de tout voir. La CNIL le rappelle aux professionnels de santé libéraux : seules les personnes autorisées au regard de leurs missions accèdent aux données, et seulement à celles qui leur sont nécessaires. Le secrétariat accède aux données administratives utiles aux rendez-vous, pas à la totalité du dossier médical.

Exigez des rôles par métier, une double authentification disponible pour chaque compte et une journalisation des accès. La CNIL recommande de conserver la trace des actions d’accès, de création, de modification et de suppression : qui, quand, depuis quel équipement. Ces journaux permettent de détecter un accès anormal et d’enquêter après un incident.

Signature électronique : simple, avancée, qualifiée

Devis et consentements peuvent se signer à distance. Le règlement européen eIDAS définit trois niveaux de signature électronique.

• Simple : des données électroniques jointes ou associées au document, que le signataire utilise pour signer.
• Avancée : une signature liée au signataire de manière univoque, qui permet de l’identifier, créée avec des données qu’il peut utiliser sous son contrôle exclusif, et liée au document de telle sorte que toute modification ultérieure soit détectable.
• Qualifiée : une signature avancée créée avec un dispositif qualifié et reposant sur un certificat qualifié. Son effet juridique équivaut à celui d’une signature manuscrite.

En droit français, la fiabilité du procédé est présumée pour la signature qualifiée (décret n° 2017-1416). Pour les autres niveaux, elle doit pouvoir être démontrée. Demandez donc à l’éditeur quel niveau il revendique, sur quel fondement, et ce que contient le dossier de preuve : code à usage unique, scellement du document, horodatage, journal des étapes.

La liste à envoyer à vos éditeurs

Envoyez ces questions par écrit à chaque éditeur qui voit passer des données de vos patients, et gardez les réponses avec le contrat.

• Qui héberge nos données, avec quel certificat HDS, pour quelles activités et jusqu’à quelle date ?
• Dans quel pays les données sont-elles stockées ?
• Quelles données sont chiffrées au repos, avec quel algorithme, et qui détient les clés ?
• Quelles données partent vers un modèle d’IA, où ce modèle est-il exploité, et sert-il à l’entraînement ?
• Quels rôles existent, la double authentification est-elle disponible, et les accès sont-ils journalisés ?
• Quel niveau de signature électronique proposez-vous, et que contient le dossier de preuve ?
• Quel contrat encadre le traitement, et comment récupère-t-on les données en fin de contrat ?

Le RGPD impose de ne recourir qu’à des sous-traitants présentant des garanties suffisantes, et d’encadrer la relation par un contrat (article 28). Quand l’hébergement prend fin, l’hébergeur restitue les données à ceux qui les lui ont confiées, sans en garder de copie (article L1111-8).