Utilisation abusive / détournée des données

La transparence, la responsabilité et l'audit étant les principes opérationnels du RGPD, les enjeux posés pour l'implication des patients et les données des patients dans la dimension des soins de santé, en particulier pour s'assurer qu'il n'y a pas de d'utilisation abusive ou détournée des données, sont les suivants :

1. Consentement éclairé explicite et justification - en raison de la nature sensible des informations personnelles, les patients doivent être pleinement informés et consentir explicitement à la divulgation de leurs informations personnelles. Les professionnels de santé et du secteur médical doivent obtenir le consentement explicite et éclairé du patient à chaque fois que les données sont susceptibles d'être utilisées. Cela peut nuire au bon déroulement des opérations, à la flexibilité et à l'efficacité.
2. Conformité de la chaîne d'approvisionnement - la conformité est essentielle à chaque étape du cycle de vie de la chaîne de délivrance des soins de santé. Si la conformité n'est pas satisfaisante ou ne peut être prouvée, cela peut perturber la chaîne de délivrance des soins de santé et entraîner une augmentation des coûts et des charges.
3. Risques de divulgation non autorisée - lorsque les données d'un patient doivent être partagées avec d'autres, le risque de divulgation non autorisée peut survenir, et la vie privée du patient pourrait être affectée si des données spécifiques peuvent être consultées. Ce risque, par exemple, est également un élément contre lequel il faut se prémunir dans le cadre d'un partage plus large des données des patients, au regard de l’Espace européen des données de santé.  
4. Enjeux de sécurité - avec un partage plus large des données des patients, les risques de sécurité peuvent également augmenter si les systèmes qui protègent les données ne sont pas mis à jour (par exemple).
5. Pressions de conformité - alors que tous les établissements de santé sont concernés par le traitement des données des patients, les établissements qui manquent de personnel (par exemple) ou qui ne sont pas en mesure de nommer un délégué à la protection des données qualifié risquent de ne pas se conformer à la réglementation en raison des pressions de conformité.

Le RGPD contient des dispositions étendues concernant le traitement des données personnelles dans le cadre desquelles les données des patients sont également prises en compte. Les différentes parties prenantes impliquées dans le traitement des données ont des obligations spécifiques qui leur sont imposées par le RGPD, notamment l'obligation d'obtenir le consentement éclairé des patients. En raison de ces dispositions détaillées, on s'attend à ce qu'il y ait des violations de données à caractère personnel, des utilisations détournées ou abusives de données en cas de non-respect de ces dispositions spécifiques.

Outre le RGPD, l'EHDS (qui est la dernière initiative de l'EDPB et du Contrôleur européen de la protection des données (CEPD)), encourage le partage des données dans un espace commun, impliquant un échange, une utilisation et une réutilisation sûrs et sécurisés des données de santé. L'EHDS élargit l'utilisation des données de santé électroniques afin de fournir des soins de santé à la personne auprès de laquelle ces données ont été collectées (utilisation primaire) et d'améliorer la recherche, l'innovation, l'élaboration des politiques de santé, la sécurité des patients, la médecine personnalisée, les statistiques officielles ou les activités réglementaires (utilisation secondaire, voir Partage des données / Ouverture des données | EuroGCT). Néanmoins, l'utilisation abusive ou détournée des données sont peu prises en compte dans l'EHDS. 

Principes du RGPD - Article 5

Le RGPD énonce six principes clés que tous les responsables du traitement des données doivent respecter en matière de traitement des données. Ces principes s'appliquent également aux données des patients. Les six principes relatifs au traitement des données sont présentés ci-dessous et doivent être strictement respectés par les responsables du traitement des données afin d'éviter l'utilisation abusive ou détournée des données, et la « limitation de la finalité » est particulièrement pertinente.

Les données à caractère personnel doivent être :

1. traitées de manière licite, loyale et transparente à l'égard de la personne concernée (« licéité, loyauté et transparence ») ;
2. collectées pour des finalités déterminées, explicites et légitimes et non traitées ultérieurement de manière incompatible avec ces finalités ; le traitement ultérieur à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique, ou à des fins statistiques     n'est pas considéré, conformément à l'Article 89(1), comme incompatible avec les finalités initiales (« limitation de la finalité ») ; 
3. adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (« minimisation des données ») ;
4. exactes et, si nécessaire, mises à jour ; toutes les mesures raisonnables doivent être prises pour que les données à caractère personnel inexactes, au regard des finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans délai (« exactitude ») ;
5. conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont traitées. Les données à caractère personnel peuvent être conservées pendant une durée plus longue dans la mesure où elles sont traitées uniquement à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique, ou à des fins statistiques     conformément à l'article 89(1), sous réserve de la mise en œuvre des mesures techniques et organisationnelles appropriées requises par le Règlement afin de sauvegarder les droits et libertés de la personne concernée (« limitation de la conservation ») ;
6. traitées d'une manière qui garantisse une sécurité appropriée des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou l'endommagement accidentel, au moyen de mesures techniques ou organisationnelles appropriées (« intégrité et confidentialité »).

Définitions des données relatives aux patients - Article 4(13) et (15) ; et circonstances dans lesquelles les données relatives aux patients peuvent être traitées ou partagées - Article 9

Le respect des spécifications du RGPD concernant les circonstances dans lesquelles les données des patients peuvent être traitées est nécessaire pour garantir l’absence d'utilisation abusive ou détournée des données. Dans le RGPD, les données des patients peuvent être considérées comme des données sensibles. Cela englobe les « données concernant la santé » et les « données génétiques » définies aux articles 4(15) et 4(13) du RGPD Il est interdit de traiter (y compris de partager) ces données relatives aux patients, sauf dans des circonstances limitées.

Les circonstances limitées dans lesquelles les données des patients peuvent être traitées ou partagées sont définies à l'article 9 du RGPD (paragraphes 1 et 2), comme suit :

• Le traitement des données à caractère personnel qui révèle l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique sont interdits.
• Le paragraphe 1 ne s'applique pas si l'une des conditions suivantes est remplie :

1. la personne concernée a donné son consentement explicite au traitement de ces données à caractère personnel pour une ou plusieurs finalités spécifiques, sauf lorsque le droit de l'Union ou le droit de l'État membre prévoit que l'interdiction visée au paragraphe 1 ne peut pas être levée par la personne concernée ;
2. le traitement est nécessaire aux fins de l'exécution des obligations et de l'exercice des droits propres au responsable du traitement ou à la personne concernée en matière de droit du travail, de la sécurité sociale et de la protection sociale, dans la mesure où ce traitement est autorisé par le droit de l'Union, par le droit d'un État membre ou par une convention collective conclue en vertu du droit d'un État membre qui prévoit des garanties appropriées pour les droits fondamentaux et les intérêts de la personne concernée ;
3. le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne physique, dans le cas où la personne concernée se trouve dans l'incapacité physique ou juridique de donner son consentement ;
4. le traitement est effectué, dans le cadre de leurs activités légitimes et moyennant les garanties appropriées, par une fondation, une association ou tout autre organisme à but non lucratif et poursuivant une finalité politique, philosophique, religieuse ou syndicale, à condition que ledit traitement se rapporte exclusivement aux membres ou aux anciens membres dudit organisme ou aux personnes entretenant avec celui-ci des contacts réguliers en liaison avec ses finalités et que les données à caractère personnel ne soient pas communiquées en dehors de cet organisme sans le consentement des personnes concernées ;
5. le traitement porte sur des données à caractère personnel qui sont manifestement rendues publiques par la personne concernée ;
6. le traitement est nécessaire à la constatation, à l'exercice ou à la défense d'un droit en justice ou chaque fois que des juridictions agissent dans le cadre de leur fonction juridictionnelle ;
7. le traitement est nécessaire pour des motifs d'intérêt public important, sur la base du droit de l'Union ou du droit d'un État membre qui doit être proportionné à l'objectif poursuivi, respecter l'essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée ;
8. le traitement est nécessaire aux fins de la médecine préventive ou de la médecine du travail, de l'appréciation de la capacité de travail du travailleur, de diagnostics médicaux, de la prise en charge sanitaire ou sociale, ou de la gestion des systèmes et des services de soins de santé ou de protection sociale sur la base du droit de l'Union, du droit d'un État membre ou en vertu d'un contrat conclu avec un professionnel de santé et soumis aux conditions et garanties visées au paragraphe 3 ;
9. le traitement est nécessaire pour des motifs d'intérêt public dans le domaine de la santé publique, tels que la protection contre les menaces transfrontalières graves pesant sur la santé, ou aux fins de garantir des normes élevées de qualité et de sécurité des soins de santé et des médicaments ou des dispositifs médicaux, sur la base du droit de l'Union ou du droit de l'État membre qui prévoit des mesures appropriées et spécifiques pour la sauvegarde des droits et libertés de la personne concernée, notamment le secret professionnel;
10. le traitement est nécessaire à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques, conformément à l'article 89, paragraphe 1, sur la base du droit de l'Union ou du droit d'un État membre qui doit être proportionné à l'objectif poursuivi, respecter l'essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée.

Connaissance essentielle des droits des patients en vertu du RGPD

Il est essentiel d'avoir une connaissance critique des droits conférés aux patients par le RGPD, afin de s'assurer à tout moment que les patients sont pleinement informés non seulement de leurs droits en matière de soins de santé, mais aussi des droits dont ils disposent en matière de protection de leurs propres données en vertu du RGPD. Lorsque les patients le demandent, le responsable du traitement des données doit se conformer à leur demande. Les principaux droits des patients en vertu du RGPD sont les suivants (European Patients Forum, n.d., en anglais) :

Les interactions avec les régulateurs sont spécifiquement prises en compte dans les dispositions du RGPD et de l'EHDS. Outre le rôle primordial de l’EDPB, le chapitre 6 du RGPD définit le rôle de l'autorité de contrôle indépendante, qui est une ou plusieurs autorités publiques chargées de contrôler l'application effective du RGPD dans chaque État membre. Ces autorités de contrôle indépendantes sont le premier point de contact national pour les responsables du traitement des données ou les sous-traitants, etc. (Article 57 RGPD). L'autorité de contrôle indépendante a notamment pour mission de « traiter les réclamations introduites par une personne concernée ou par un organisme, une organisation ou une association, conformément à l'article 80, examiner l'objet de la réclamation, dans la mesure nécessaire, et d’informer l'auteur de la réclamation de l'état d'avancement et de l'issue de l'enquête dans un délai raisonnable, notamment si un complément d'enquête ou une coordination avec une autre autorité de contrôle est nécessaire » (Article 57(1)(f), du RGPD). Il s'agit probablement de l'itération la plus proche de ce que pourrait impliquer une utilisation abusive ou détournée de données, pour laquelle les interactions avec les régulateurs deviennent alors nécessaires.

Dans le cadre de l'EHDS, outre le rôle général de l'EDPB et du CEPD, les interactions avec les régulateurs impliqueraient des connexions avec l'autorité de santé numérique de chaque État membre (Article 22 de la Proposition de Règlement relative à l'EHDS). Le rôle de ces dernières se recoupe en partie avec celui des autorités de contrôle indépendantes prévues par le RGPD (Article 51). Les détails spécifiques des tâches, responsabilités et pouvoirs des autorités de santé numérique des États membres et des autorités de contrôle figurent respectivement aux articles 22 à 26 de la Proposition de Règlement relative à l'EHDS, et aux articles 51 à 58 du RGPD. Leur organisation en tant qu'autorités distinctes ou en tant qu'autorité nationale unique dépendra de chaque État membre.

Publié: 22/08/2024

Auteurs:

Pin Lean Lau, Assistant Professor in Bio-Law, Brunel Law School, Brunel University London

Traduction par Luc-Sylvain Gilbert et Aurélie Mahalatchimy, août 2024

De la version anglaise écrite par le Dr. Pin Lean Lau en juin 2023