Une donnée de santé (DS) est toute information relative à l’état de santé d’une personne, qu’elle soit physique, mentale ou sociale. Ces données peuvent être collectées par différents professionnels de santé, tels que les médecins, les infirmiers, les pharmaciens, etc. Elles peuvent concerner des informations cliniques, telles que les examens médicaux, les analyses de laboratoire, les prescriptions de médicaments, etc. Mais elles peuvent également inclure des informations personnelles, telles que le nom, l’adresse, le numéro de téléphone, le numéro de sécurité sociale, etc.

Une DS est une information sensitive qui peut révéler des détails intimes sur la vie des personnes concernées, et qui doit être protégée contre toute divulgation ou utilisation abusive.

Protéger la donnée de santé

Il est recommandé d’héberger les données de santé dans des serveurs HDS (Hosting Data Service), car ces serveurs offrent un niveau élevé de sécurité et de performance pour stocker ces données sensibles. Voici quelques avantages d’héberger les données de santé dans des serveurs HDS :

• La confidentialité des données : les serveurs HDS sont conçus pour protéger les données de santé contre toute divulgation, perte, ou utilisation abusive. Ils utilisent des protocoles de chiffrement avancés, des contrôles d’accès rigoureux, et des audits réguliers pour garantir la confidentialité des données.
• La disponibilité des données : les serveurs HDS sont conçus pour garantir la disponibilité des données de santé en tout temps, quelle que soit la charge ou les conditions d’utilisation. Ils utilisent des technologies de stockage redondantes et distribuées, ainsi que des systèmes de gestion de la capacité et de la qualité de service, pour garantir la disponibilité des données.
• La performance des données : les serveurs HDS sont conçus pour offrir des performances élevées pour stocker et accéder aux données de santé. Ils utilisent des matériels performants, des architectures optimisées, et des logiciels de gestion de données avancés, pour garantir des temps de réponse rapides et des taux de transfert élevés.

Qui veut la peau de la donnée de santé ?

De nombreux acteurs sont intéressés par les DS, pour différentes raisons :

• Les professionnels de santé : les médecins, les infirmiers, les pharmaciens, etc. sont les premiers utilisateurs des données de santé, car ils en ont besoin pour diagnostiquer, soigner, et suivre les patients. Ils sont donc très attentifs à la qualité, à la fiabilité, et à la disponibilité des données de santé.
• Les compagnies d’assurance : les compagnies d’assurance sont des acteurs majeurs dans le domaine de la santé, car elles couvrent les risques de santé des adhérents. Elles utilisent les données de santé pour évaluer les risques liés aux différentes pathologies, et pour établir les garanties et les tarifs des contrats d’assurance.
• Les laboratoires pharmaceutiques : les laboratoires pharmaceutiques sont des entreprises qui développent, produisent, et commercialisent des médicaments. Ils sont intéressés par les données de santé pour évaluer l’efficacité et la tolérance de leurs produits, et pour adapter leur offre en fonction des besoins des patients.
• Les équipementiers médicaux : les équipementiers médicaux sont des entreprises qui fabriquent et commercialisent des équipements de santé, tels que des appareils d’imagerie médicale, des dispositifs de diagnostic, etc. Ils sont intéressés par les données de santé pour développer des produits innovants, adaptés aux besoins des professionnels de santé et des patients.
• Les hackers / pirate informatique.

La donnée de santé intéresse les pirates pour plusieurs raisons :

• La valeur économique des données de santé : les données de santé ont une valeur économique importante, notamment pour les compagnies d’assurance, les laboratoires pharmaceutiques, les équipementiers médicaux, etc. Les pirates peuvent revendre ces données sur des marchés clandestins pour en tirer un bénéfice financier.
• La fragilité des systèmes de santé : les systèmes de santé sont souvent confrontés à des problèmes de sécurité, en raison de l’ancienneté des équipements, de la complexité des réseaux, de la multiplicité des intervenants, etc. Les pirates peuvent exploiter ces faiblesses pour accéder aux données de santé et les voler.
• La sensibilité des données de santé : les données de santé sont des informations très sensibles, qui peuvent révéler des détails intimes sur la vie des personnes concernées. Les pirates peuvent utiliser ces informations pour extorquer des fonds aux personnes concernées, ou pour leur causer un préjudice en diffusant ces informations.

Les données de santé intéressent les mutuelles/assurances pour plusieurs raisons :

• La gestion des risques : les mutuelles sont des compagnies d’assurance qui ont pour mission de couvrir les risques de santé de leurs adhérents. Elles utilisent les données de santé pour évaluer les risques liés aux différentes pathologies, et pour établir les garanties et les tarifs des contrats d’assurance.
• La gestion des prestations : les mutuelles sont chargées de verser les prestations d’assurance maladie, de maternité, d’invalidité, etc. aux adhérents. Elles utilisent les données de santé pour vérifier la conformité des demandes de prestations, et pour régler les montants dûs aux adhérents.
• La gestion des partenariats : les mutuelles sont souvent amenées à conclure des partenariats avec des établissements de santé, des laboratoires pharmaceutiques, des équipementiers médicaux, etc. Elles utilisent les données de santé pour établir des cahiers des charges, des contrats, des protocoles, etc. avec ces partenaires.

Les DS sont essentielles pour les mutuelles, car elles leur permettent de gérer les risques, de verser les prestations, et de conclure des partenariats dans le secteur de la santé. Ces données leur fournissent des informations précieuses pour évaluer les besoins des adhérents, adapter les offres d’assurance, et optimiser les services rendus.

Suite à de nombreuses violation de données de santé la CNIL a du rappeler les règles

Si une violation est confirmée, les organismes concernés doivent notifier la CNIL dans les 72 heures suivant le moment où ils en ont pris connaissance. De plus, lorsqu’une fuite de données peut entraîner un risque élevé pour les droits et les libertés des personnes, les organismes responsables doivent informer individuellement les personnes concernées du fait que leurs données ont été compromise et publiées en ligne. Cela peut être le cas si, des données de santé sensibles ont été divulguées en grand nombre.

La CNIL rappelle que les responsables de traitement doivent assurer la sécurité des données qu’ils traitent en utilisant des moyens adaptés aux risques, en particulier pour les données sensibles comme les données de santé. En cas de manquement à ces obligations, la CNIL pourrait entreprendre des actions répressives, sans préjudice des actions que les autres autorités compétentes pourraient entreprendre.

En cas de violation de données de santé, l’organisation concernée est tenue de respecter plusieurs obligations :

• Signaler la violation : l’organisation doit signaler la violation de données de santé auprès des autorités compétentes, telles que la CNIL (Commission Nationale de l’Informatique et des Libertés) en France, ou le Garante per la Protezione dei Dati Personali en Italie. La notification doit être effectuée dans les meilleurs délais, pour permettre aux autorités de prendre les mesures nécessaires pour protéger les données de santé.
• Informer les personnes concernées : l’organisation doit informer les personnes dont les données de santé ont été violées, pour leur permettre de prendre les mesures de protection adaptées. L’information doit être claire et précise, et doit comprendre notamment les modalités de notification de la violation, les risques encourus par les personnes concernées, et les recommandations pour limiter les conséquences de la violation.
• Prendre des mesures de protection : l’organisation doit prendre des mesures pour protéger les données de santé contre toute autre violation. Ces mesures peuvent inclure la mise en place de contrôles d’accès plus stricts, la révision des procédures de sécurité, la mise à jour des logiciels, etc. Ces mesures doivent être adaptées aux caractéristiques de la violation, et doivent être mises en place dans les meilleurs délais pour limiter les conséquences de la violation.