Catégorie : Protection des données

Vol de données clients Swisscom – Une sonnette d’alarme pour la Suisse?

L’affaire du vol des données clients Swisscom auprès d’un de ses partenaires survenu ce 7 février 2018 fait suite à une longue liste d’incidents au niveau international (Equifax, Yahoo, Wannacry, Uber, Linkedin,…). Mais aussi en Suisse (Digitec, Swisscom), avec une liste qui va encore s’allonger ces prochaines années. Cet incident permet de se rendre compte concrètement que les grands opérateurs, ceux qui devraient d’ordinaire inspirer confiance, ne sont pas à l’abri des attaques. D’ailleurs, il en va de même pour tous les autres acteurs, secteurs publics et privés confondus. Néanmoins, ce sont surtout nos données qui sont à risque.

Risques limités, mais vol significatif à l’échelle suisse

A l’échelle de la Suisse, ce sont quand même les données de 800’000 clients volées il y a de cela 3 mois et annoncé le 7 février 2018 seulement. Difficile d’extrapoler cela aux incidents survenus auprès de vrais géants. Même si ce vol de données peut paraître dérisoire en comparaison avec d’autres vols de données historiques (3 milliards de données de comptes Yahoo!, au travers de Verizon, compromis en 2014), ce nombre est pourtant assez significatif pour un opérateur helvétique.

Notification tardive, mais conforme

A noter aussi une notification de la part de Swisscom qui intervient tardivement, mais qui correspond aux obligations actuelles imposées aux responsables de traitement selon le droit suisse: il n’y en a pas.

Conséquences de ce vol

Ce vol de données jugées par l’opérateur Swisscom comme

“pas particulièrement sensibles “

n’aura probablement que peu de répercutions sur les individus, mais véhicule un mauvais message au public qui pourrait laisser penser que lorsque des données personnelles sont volées, ce n’est pas important. De plus, il s’agit d’une terminologie malheureuse qui peut prêter à confusion (voir plus bas).

Les désagréments attendus pourraient aller du marketing ciblé, aux tentatives d’obtention de paiements indus, de prestations financières ou de communication de données bancaires par téléphone, SMS ou courrier. Par conséquent, une certaine vigilance accrue est dès lors de mise pour les clients ayant fait l’objet d’un vol de leur données. Ce genre d’incidents n’est donc pas à prendre à la légère dans un contexte où les inquiétudes des citoyens face à la course effrénée aux technologies et à l’utilisation massive des données ne concordent pas vraiment avec celles d’une majorité de nos politiques et parlementaires.

La Suisse tarde et risque de perdre sa compétitivité

Plutôt en retard. La Suisse peine à suivre le train des technologies et se trouve être en retard sur certains aspects liés au numérique, notamment la protection des données. Le droit suisse n’est pas encore complètement “périmé” et apporte bon nombre de réponses face à l’avancée rapide des technologies. Simplement, il n’est plus très moderne et pour un pays bénéficiant d’autant d’innovateurs, de start-ups et d’entreprises high-tech, il est difficile de comprendre le manque de prise de décisions et d’initiatives pour faire de la Suisse un Etat moderne, voir modèle.

Le modèle à la suisse trouve réellement ses limites. Institutions politiques, démocratie semi-directe et directe, ainsi que sa trop grande prudence aboutit toujours au même discours:

” attendons de voir ce que les autres feront, nous verrons ensuite“

Cette mentalité semble dépassée et plutôt antagoniste avec le fait que les technologies touchent à des questions fondamentales de notre société. Le droit du travail va bouleverser les métiers non créatifs (IA), l’éducation doit être repensée, la médecine et la santé vont drastiquement changer, la responsabilité individuelle va augmenter, la formation et la création de nouveaux métiers à tous les échelons (apprentissages, hautes écoles, universités) doit être anticipée, et les données de nos citoyens ainsi que de toutes celles des entreprises qui font confiance à la Suisse pour les y héberger ou laisser transiter, doivent être en sûreté.

Est-ce la peur de faire des erreurs, la peur du risque, des générations de dirigeants étatiques et ou privés qui attendent d’être à la retraite pour dire “ouf, heureusement que je n’ai pas eu à m’en charger” ou “je n’y comprends rien de toute façon“? Difficile de répondre à cette question. Pourquoi la Suisse ne pourrait-elle pas inspirer, elle dont l’économie internationale bénéficie encore de sa réputation basée sur la confiance, sa neutralité, sa discrétion, son exigence, sa capacité de travail et son sérieux?

Il semble URGENT pour la Suisse d’accélérer sa prise d’initiative au niveau politique et législatif si elle souhaite rester compétitive face aux acteurs du marché européen. Par ailleurs, on constate que des entreprises suisses qui ne seront pas soumises au Règlement (UE) 679/2016, autrement connu sous le doux nom de RGPD (ou GDPR en anglais), se mettent en conformité pour éviter de perdre des parts de marché.

Loin de Swisscom, l’exemple de Talk-Talk

En octobre 2016, l’entreprise de télécoms anglaise Talk-Talk avait perdu 101’000 clients suite à un vol de numéros de comptes bancaires d’environ 157’000 de ses clients. Cela avait abouti à une amende record de £400’000, qui n’était finalement rien face aux répercutions économiques suite à cet incident, lesquelles se sont élevées à environ £60 millions, dont:

  • £45 millions de coûts liés à (a) la remise en ligne du service, (b) l’interruption du service et des affaires, (c) la réaction à l’incident et les frais de consultants, ainsi que
  • £15 millions pour l’amélioration et prévention des incidents.

De plus, le communiqué de presse avait été effectué en urgence et sans préparation, ce qui avait eu des conséquences désastreuses sur la confiance auprès de ses clients et le départ de bon nombre d’entre eux.

Pour donner un ordre de grandeur, cette même amende sous l’angle du RGDP aurait pu se monter à quelques £59 millions si l’événement s’était produit le 26 mai 2018, contre £400’000 en octobre 2016…des montants franchement différents.

Remarques et réflexions suite à l’incident Swisscom

  • Sonnette d’alarme pour la Suisse. Pour une entreprise détenue à 51% par la Confédération, ce genre d’événement devrait faire office de catalyseur. Les récents développements parlementaires sur la révision totale de la loi fédérale sur la protection des données (tant sur le contenu que sur la décision de scinder le projet en deux) semblent pourtant indiquer que la Suisse n’est pas pressée d’encadrer la protection des données pour ses citoyens, avec comme risques de rater le tournant du numérique, de perdre le statut de pays avec un niveau de protection adéquat pour le transfert des données, d’attirer des entreprises peu recommandables en abaissant le standard, d’être moins compétitif et j’en passe. Cela alors que l’Europe et d’autres pays sont en train de faire l’inverse. Un tel incident devrait être un signal d’alarme pour la Suisse qui ne peut plus rester passive devant des voisins européens proactifs et chamboulant le paysage réglementaire. Cela est d’autant plus important si la Suisse veut rester compétitive économiquement et attirer les entreprises garantissant un niveau d’exigences et de confiance élevé pour l’utilisation des nouvelles technologies, la protection des données, la cybersécurité et l’industrie 4.0.
  • Une cible de choix. Les grands opérateurs et entreprises sont aujourd’hui une cible de premier choix qui ne peuvent pas se permettre de prendre à la légère ces problématiques. Les cyberattaques vont se multiplier dans les années à venir et il est dès lors nécessaire de comprendre, maîtriser et anticiper ce genre de scénarios, afin d’éviter une situation de type “Talk-Talk”. Si l’entreprise se protège et élève ses standards, elle protège en même temps sa réputation, son business et ses clients.
  • Notifications en cas d’incidents. Le projet de loi fédérale sur la protection des données, qui devrait bientôt imposer un délai de 72 heures dès la connaissance de l’incident pour le notifier aux autorités, est une étape clef dans le cadre des incidents en matière de cybersecurité. Pour les entreprises soumises au RGPD, cette obligation implique de mettre en place les mesures nécessaires pour s’organiser à l’interne, prévenir les incidents, les détecter, les notifier, minimiser les risques, etc. Des obligations et une organisation, dont encore peu d’entreprises sont habituées à mettre en place.
  • Notification obligatoire ou non ? Aujourd’hui, aucune obligation n’existe en Suisse. La cybersécurité n’est pas développée contrairement à l’Europe ou aux Etats-Unis dont les législations étatiques regorgent de pratiques en la matière. Seul le RGPD, pour les entreprises qui y sont soumises, et le projet de révision de la LPD prévoient des modifications allant en ce sens. Il sera également crucial de mettre en place les mesures adéquates (telles que l’anonymisation, la pseudonymisation, le cryptage, etc.) qui pourraient éviter de devoir notifier aux autorités les incidents et perdre ainsi sa réputation et des clients. Lorsque des mesures adéquates sont prises au préalable, elles peuvent avoir comme effet que personne ne le sache. En effet, s’il n’existe qu’un risque minime ou inexistant pour les données personnelles, personne n’aura besoin de le savoir. Le responsable du traitement protège ainsi sa réputation et la confiance auprès des clients. Par exemple, si vous perdez votre carte de crédit, mais que des chiffres sont effacés, il n’y aura presque aucun risque pour une utilisation indue de votre carte de crédit.
  • Contrats avec les tiers et procès. On l’a vu, ce n’est pas Swisscom qui s’est directement fait voler ses données mais une entreprise “partenaire”. Il est par conséquent important, surtout au vu du nouveau régime d’amendes (voir mon article sur les amendes selon le RGPD), de prévoir un contrat avec ses fournisseurs qui soit en béton. Vu les prochaines modifications législatives et l’arrivée du RGPD, il est essentiel de revoir ses contrats pour qu’ils tiennent compte de la problématique des incidents et avoir une idée claire de ce qu’il advient contractuellement en pareil cas. C’est dans ce cas qu’on peut pourra analyser la relation contractuelle et éventuellement se retourner contre son fournisseur. Dans ce contrat, on songera par exemple à: (a) définir les rôles de chaque partie (responsable ou sous-traitant), (b) n’agir que sur instruction du responsable du traitement des données, (c) garantir des mesures de sécurité adéquate, (d) imposer une formation des employés du fournisseur, (e) que des sauvegardes suffisantes soient effectuées régulièrement et à plusieurs endroits, (f) une possibilité de récupérer ses données en tout temps, même en cas d’incidents, (g) obliger le tiers à notifier tout incident par le partenaire dans un délai très court, (h) une collaboration entre les parties en tout temps, (i) permettre ou non la sous-traitance de 2e niveau et en être informé au préalable, avec droit de refus ou de résiliation du contrat, (j) le transfert des données vers un pays tiers, (k) prévoir des indemnités, pénalités en cas de violation du contrat, (l) de désigner comme juste motif de résiliation du contrat en cas d’incident, etc. (la liste est encore longue!). En résumé, le contrat avec ses partenaires d’affaires qui traitent les données de ses clients, doit être absolument revu pour anticiper les récents développements. Cela fera la différence en cas négociation, dans le cadre d’un litige, ou de procès.
  • Enfin, sur le caractère sensible des données, la prise de position de Swisscom prête à confusion. Le caractère sensible ou non d’une donnée est définit dans la loi et a une portée juridique particulière. Soit une donnée entre dans cette catégorie, soit pas. Une donnée sensible se rapporte par exemple à une information sur la santé, sur les orientations politiques, philosophiques, religieuses, les particularités raciales et ethniques, (bientôt le profilage et les données biométriques) et pouvant se rapporter directement ou indirectement à un individu. Cette catégorie est mieux protégée par la loi, car le consentement exprès de la personne concernée doit être recueilli et peut-être retiré en tout temps. Lorsqu’on mentionne “sensible” on pense parfois à la valeur de la donnée, ce qui n’est pas la même chose. Une donnée peut être considérée comme “sensible“, soit parce qu’elle est à risque (donnée de comptes bancaires), a une valeur économique (information sur un brevet d’invention en cours de développement), soit parce qu’une protection et une confidentialité particulière doit y être accordée (secrets d’affaires). Ainsi, lorsque Christian Neuhaus indique que

“aucune donnée sensible, telle que mot de passe ou information bancaire, n’a été subtilisée”

alors que ni un mot de passe, ni une information bancaire ne sont une donnée sensible, ni même probablement une donnée personnelle au sens juridique du terme et échapperaient à la réglementation sur la protection des données.

Il existe clairement une grande confusion entre la notion de données sensibles selon la loi, ou selon qu’elle est considérée comme “critique” ou que le degré de confidentialité requis est élevé. Cela dénote bien que la protection des données, ses règles et ses principes sont méconnus et ont encore beaucoup de chemin à faire.

La Suisse et la protection des données: une affaire à suivre de près !

Première pilule connectée à un smartphone approuvée par la FDA

ABILIFY MYCITE: UNE PREMIERE POUR LA SANTE CONNECTEE

Une page importante s’est tournée dans l’histoire de la santé connectée le 13 novembre 2017. La FDA, l’autorité américaine de régulation des médicaments et des dispositifs médicaux, a  approuvé la mise sur le marché de ‘Abilify MyCite’, une pilule qui envoie un signal à un patch collé sur les côtes du patient et qui communique par bluetooth à une App médicale. Il s’agit de la première pilule connectée permettant de suivre l’ingestion de médicaments par un patient. Abilify est le nom commercial d’un médicament contenant de l’“aripiprazole“, molécule utilisée pour le traitement des personnes atteintes de schizophrénie, et pour le traitement et la prévention des récidives des épisodes maniaques modérés à sévères du trouble bipolaire de type I. 

L’approbation pour la mise sur le marché de cette pilule cumulée à celle du patch  connecté est une première pour la FDA, a commenté le Pharmacytimes, même si le senseur lui-même utilisé avec l’aripiprazole était déjà autorisé depuis 2012 par l’autorité américaine.  Plus d’informations spécifiques à cette approbation peuvent être consultées sur le site de la FDA.

________________________________

TECHNOLOGIE – COMMENT CA MARCHE?

D’un point de vue technologique, le senseur intégré dans la pillule Abilify Mycite se synchronise avec une application smartphone du patient, via le patch collé à la surface de la peau au niveau des côtes. Le patient ingère la pilule et une alerte est envoyée à un objet connecté (smartphone) via l’App mobile du patient. Si le patient partage ses données avec son médecin, ce dernier peut dès lors surveiller la prise de médicament. Selon des informations du site de la chaîné télévisée américaine PBS, les chercheurs œuvrent aussi à fabriquer des comprimés électroniques recueillant des paramètres comme la température interne du corps durant plusieurs jours.

________________________________

ASPECTS TECHNIQUES

Techniquement, LiveScience relate que la pilule intègre une puce en silicone dotée d’un circuit logique, composés de cuivre et de magnésium. Lorsque le senseur est mis dans une solution aqueuse, ou dans toute autre solution contenant des molécules polarisées, (tel que l’acide chlorhydrique – HCL – contenu dans l’estomac et qui dissout la pilule en conservant le senseur intact), ce dispositif génère un très faible courant, mais suffisant pour que la puce s’active. Techniquement, il s’agit d’une source de courant partielle et “le patient devient la batterie”.

Une fois activée, la puce de 1 mm de long et 0,3 mm envoie un signal très simple permettant d’encoder un seul nombre. Ce nombre identifie la pilule et indique à l’objet porté par le patient (le senseur sous la forme d’un bandage adhésif) que le médicament a été ingéré. Le signal n’est pas envoyé sous la forme d’un signal radio, mais le circuit logique émet un faible courant modulé, dont le niveau peut se représenter graphiquement comme une onde sinusoïdale. Dès lors que le corps humain est conducteur, le senseur perçoit ces changements et le courant modulé est capable d’encoder des 1 et des 0, de manière similaire à un signal FM.  Au fond, le fonctionnement est semblable à celui d’une ECG (électro-cardiogramme), puisque ces machines détectent les changements de courant électrique dans le corps humain afin de surveiller la fréquence cardiaque. Le senseur collé sur la peau a la même fonction, bien que que le courant soit plus faible.

La pilule est conçue pour ne fonctionner que durant 3 minutes environ, soit juste assez de temps pour envoyer un signal au patch permettant de le mettre en marche et récolter les données nécessaires pour comptabiliser l’ingestion du médicament par le patient. Cela a pour effet d’économiser des batteries, et permet au senseur de fonctionner pendant toute une semaine.

Le patch et les senseurs sont fabriqués par la société Proteus Digital Health et la molécule d’aripiprazole mise sur le marché par l’entreprise pharmaceutique japonaise Otsuka Pharmaceutical.

________________________________

ENJEUX ETHIQUES ET JURIDIQUES

 SUIVI DU PATIENT ET REDUCTION DES COÛTS DE LA SANTE

Le PHM (Personal Health Monitoring) comporte au moins deux avantages relatifs:

  • A L’OBSERVANCE, soit le fait de s’assurer que le patient souffrant de maladie mentale prenne régulièrement sa médication. Ceci peut être particulièrement intéressant pour les patients qui peuvent se trouver dans un état d’incapacité de discernement (comme pour les personnes âgées). Aux Etat-Unis, une étude menée par le National center for biotechnology information a démontré qu’un schizophrène sur deux répondant bien aux médicaments existants ne suivait pas son traitement de manière satisfaisante. L’observance (bon suivi d’un traitement) est donc également un enjeu important pour les patients atteints de maladies mentale;
  • AUX COÛTS DE LA SANTE, qui seraient réduits par la réduction de personnes oubliant de prendre leur pilule. Les conséquences sont d’ordre médicales et économiques. En effet, une personne qui ne prend pas, ou qui oublie de prendre ses médicaux, peut voir sa santé se dégrader, et nécessiter plus de médicaments, une ré-hospitalisation, voire une opération en cas d’indicent. Cet article indique notamment que les coûts pour le contribuable liés aux patients qui oublient de prendre leur médicaments pourraient s’élever à quelque $ 100 milliards. Un rapport américain prétendrait même des chiffres compris entre $100 et $300 milliards…
*  *  *
AVANCEE TECHNOLOGIQUE OUI, MAIS EST-CE UN PROGRES?

Cette avancée technologique est notable et le potentiel pour la réduction des coûts de la santé important. Pourtant, cela ne fait pas l’unanimité, notamment au sein du corps médical, et il est légitime de se demander dans quelle mesure l’utilisation d’une nouvelle technologie peut contribuer à une amélioration, non juste à un progrès scientifique. Qu’est-ce que le progrès apporte de plus, de mieux qu’avant ce progrès ? Peut-on déduire de cet apport scientifique que les bénéfices pour le patient l’emporteront sur les bénéfices financiers par exemple ?  Certains ont déjà manifesté des réticences et les questions liées à la surveillance de la santé ont déjà fait l’objet de recherches et de publications scientifiques sur ce domaine complexe (voir quelques références en fin d’article).

Bien que certains parlent de Big Brother médical ou biomédical selon le New York Times, la surveillance de la santé pose de nombreuses questions éthiques, dont au moins 8 sont à noter:

  1. vie privée et risques pour l’ingérence dans la vie privée du patient, collecte de données sensibles, voire biométriques du patient et d’un traitement de ces données de santé conforme à la volonté d’un patient qui peut être en incapacité de discernement;
  2. visibilité et caractère invasif – aspects liés au fait que des tiers peuvent s’apercevoir qu’une personne fait l’objet d’une surveillance médicale (probablement pas dans le cas d’Abilify, mais oui ) et qu’on considère dès lors différemment la personne parce qu’on la voit comme un “malade” ou qu’en société cette personne fasse plus l’objet, soit d’une discrimination, soit être plus vulnérable;
  3. (sur)médicalisation – cela peut aboutir à une situation où l’environnement de vie du patient devient le point central de traitement avec une perte de la séparation entre lieu privé et lieu de soins. A cela s’ajoute une stigmatisation liée au fait d’être sous surveillance;
  4. isolation sociale – par le fait que le patient ne se déplace plus pour procéder à son check-up régulier, le patient s’exclut de la société avec les conséquences psychologiques et médicales en cas de baisse de motivation, moral, etc.;
  5. autodétermination en matière médicale – quelle place pour le choix du patient lorsqu’il est suivi par son médecin qui peut savoir qu’il ne suit plus le traitement indiqué? Cela n’induit-il pas une certaine pression sur le patient?
  6. honte et aspects identitaires – quelles répercutions sur la personnalité du patient qui est perçu par la société comme marginal, si son traitement est visible?
  7. fourniture de soins – comment les soins sont-ils dispensés lorsqu’ils se font à distance et que le patient ne se déplace plus, est-ce une manière efficace de soigner, cette manière peut-elle être exclusive ou doit-on la combiner avec des rendez-vous physiques?
  8. sécurité, fiabilité et technologie mis en place

Ces aspects créent-t-ils une dé-responsabilisation du patient ou plutôt sur-responsabilisation, sont-ils bénéfiques ou néfastes?

On peut encore se poser la question des conséquences d’un point de vue assécurologique (assurances) si le patient ne prend pas sa pilule alors qu’il est surveillé, que cela soit avec ou sans dégradation de l’état de santé du patient.  Suspension, réduction, arrêt du remboursement des soins, mesures médicales ? Comment et sous quelles conditions ces informations pourraient être transmises à l’assureur de base ou complémentaire?

CONCLUSION INTERMEDIAIRE

Il existe donc de nombreuses, et sérieuses, interrogations sur les bénéfices réels du monitoring du corps humain par le patient ou un tiers autorisé ainsi que des questions juridiques et éthiques. Le risque d’ingérence dans la vie privée allant au delà du nécessaire, l’utilisation dérivée de cette surveillance et la pression induite, poussent à se demander dans quelle mesure les patients peuvent valablement consentir à ces mesures ou à pouvoir retirer leur consentement à ces mesures, ainsi qu’au traitement de leurs données personnelles. De plus, le fait que les patients atteints de troubles d’ordre psychiatrique  peuvent se trouver en situation d’incapacité de discernement pose encore des questions épineuses.

Les capteurs/senseurs intégrés dans Abilify sont (très probablement) configurés par défaut pour ne collecter que les informations utiles à la prise ou non du médicament. Soit le patient l’a prise, soit pas.  Mais, dès lors qu’il s’agit de capteurs, ceux-ci pourraient potentiellement collecter et traiter bien d’autres données que celles prévues au départ. Il pourrait s’agir de la fréquence cardiaque, de la quantité de sommeil, de la forme physique dans laquelle on se trouve, etc. La préoccupation principale serait une utilisation malintentionnée qui pourrait être faite de ces données par des organisations ou entreprises. De plus, comme pour toutes nouvelles technologies, nous n’avons que très peu de recul sur le potentiel et les risques, et peu de réglementation ou lignes directrices ont été publiées, comme l’indique cet article.

*  *  *
ATTENTION  AU RESPECT DE LA VIE PRIVEE ET AU SECRET MEDICAL

Un pilule connectée pose des questions liées à la sphère privée et à la protection des données. D’un point de la protection des données en Europe et en Suisse, ces données médicales entrent, lorsqu’elles permettent directement ou indirectement d’identifier un individu, dans la catégorie de données sensibles. Il en va de même des données biométriques qui sont une catégorie nouvellement intégrée dans le RGDP (art. 4 (14) RGPD) et dans le projet de révision de loi fédérale sur la protection des données (art. 4 let. c ch. 4 Projet-LPD).

Ainsi, tout traitement de ces données est illicite à moins que le responsable de traitement ne démontre une base juridique valable, telle que le consentement explicite (art. 9 §2 (a) RGPD, ou exprès du patient (art. 4 al. 5 et 13 al. 1 de la LDP). Le recueil de ce consentement doit s’opérer par le biais d’une information suffisante, doit s’exprimer de manière libre, être exposée clairement et sans ambiguïté, pour le traitement en question décrivant le but, la nature, ce qui en est fait, etc., par le professionnel de la santé et d’éventuels tiers pour qu’il soit valable (principe de transparence et consentement libre et éclairé).

Le fait de fournir des services en matière médicale implique le respect non seulement des règles en matière de protection des données, mais aussi de secret médical, dont seul le patient est le maître. Toute violation peut entraîner, sur plainte, une responsabilité pénale (art. 320 et 321 CP, art. 35 LPD, entre autres). En cas d’utilisation de ces données et si elles sont transmises à des tiers, tels que des sous-traitants, sans l’autorisation préalable exprès, le traitement est illicite et le responsable de traitement peut se voir condamner pénalement pour violation de ce secret. Sous l’angle de la protection des données, ce secret doit être garanti par le responsable de traitement et ses éventuels sous-traitants suisses (art. 9 §2 (h) et 9 §3 du RGDP), ou dans certains cas limités prévus par la loi, justifiée par des intérêts privés prépondérants (art. 13 al. 2 LPD). Selon le préposé fédéral à la protection données, ces données ne devraient d’ailleurs pas quitter la Suisse, ce qui exclurait l’utilisation des solutions cloud avec transmission de données transfrontières hors de la Suisse, sans consentement du patient et garanties suffisantes. A ce sujet, voir ma précédente note sur les recommandations du préposé fédéral en matière d’outsourcing pour l’externalisation de la facturation en matière médicale.

Enfin, pour les responsables de traitement soumis au RGPD, une violation de données pourrait conduire une autorité à prononcer des sanctions pouvant aller jusqu’à 2 à 4% du chiffre d’affaire annuel du groupe ou 10 à 20 millions selon les art. 83 ss du RGPD.

On ne peut que vivement recommander d’appliquer des méthodes de protection des données dès la conception (privacy by design) et par défaut (privacy by default) pour ce genre de technologies. Ce guide de considérations éthiques peut être un premier élément de départ en plus de connaître les exigences légales.

________________________________

CONCLUSION

L’approbation par la FDA de ce médicament connecté est un signal très fort et positif pour l’industrie et l’innovation en matière de santé et médicaments connectés, les technologies avancées en matière de sciences de la vie et dispositifs médicaux connectés.L’amélioration potentielle de la qualité de vie des patients, la facilité et l’efficacité du traitement, la réduction potentielle des coûts de la santé est notable et il faut se réjouir que ces initiatives réussies permette de réfléchir sur les manières d’aborder les nouvelles manières de se soigner grâce aux technologies. Il faudra dès lors s’attendre à bien d’autres innovations de ce type qui suivront dans les années à venir.

Comme pour toute nouvelle technologie, il n’est toutefois pas inutile de prendre un peu de recul, vu les nombreuses questions éthiques que cela peut soulever. Pour aboutir au résultat escompté, à savoir apporter de réelles améliorations, l’utilisation d’un tel dispositif nécessitera une implémentation réfléchie, vu la complexité du monitoring du corps humain.

Enfin, la protection du secret médical et les aspects de protection des données ne sont pas à négliger et il conviendra d’informer le patient avant le traitement sur le but, la manière de collecter les données, ne traiter que les données nécessaires en vue du traitement, travailler et collaborer avec le patient avec éthique, respect pour l’individu en particulier pour des personnes ayant des troubles psychiatriques, des capacités de discernement réduites de manière permanent ou passagère.

Quelques liens pour aller plus loin:

  • Mittelstadt, Brent, Ben Fairweather, Mark Shaw and Neil McBride. “The Ethical Implications of Personal Health Monitoring.” IJT 5.2 (2014): 37-60. Web. 4 Feb. 2018. doi:10.4018/ijt.2014070104
  • Mittelstadt, B., Fairweather, N.B., McBride, N., Shaw, M., 2011. Ethical Issues of Personal Health Monitoring: A Literature Review, in: ETHICOMP 2011 Conference Proceedings, ETHICOMP 2011, Sheffield, UK.
  • Elin Palm, Anders Nordgren, Marcel Verweij and Göran Collste, Ethically Sound Technology? Guidelines for Interactive Ethical Assessment of Personal Health Monitoring, 2013, Interdisciplinary Assessment of Personal Health Monitoring, 105-114.
  • Nordgren, Anders. (2013). Privacy by Design in Personal Health Monitoring. Health care analysis : HCA : journal of health philosophy and policy. 23. . 10.1007/s10728-013-0262-3.
  • Protection des données et sphère privée dans la santé connectée, article d’un blog pour la recherche et l’innovation dans les nouvelles technologies
  • Notice informationnelle du fabricant Otsuka Pharmaceutical pour Abilify Mycite.

_____________________

Par Gabriel Avigdor | NTIC.ch

Externalisation de la facturation dans le domaine médical: recommandations

Plus de transparence pour la facturation médicale effectuée par un tiers

______________________________________________________

Dans le domaine médical, la délégation de la facturation à un tiers (outsourcing ou externalisation) est fréquente et comporte plusieurs avantages économiques. L’externalisation vise à augmenter l’efficacité d’une tâche en confiant le travail à une entreprise spécialisée. La sous-traitance permet également une réduction des coûts en personnel et donc une économie des places de travail dans les locaux, mais aussi une responsabilité de l’investissement, une gestion du personnel et une formation effectuées et prises en charge financièrement par le tiers. Enfin, l’on peut bénéficier d’un reporting régulier et une coopération de la part du partenaire contractuel.

Au delà de ces bénéfices, la sous-traitance de la facturation médicale pose aussi des questions pratiques en matière de protection des données et de préservation du secret médical. En effet, l’utilisation de ces données à des fins autres que celles prévues par le contrat entre le professionnel de la santé et le patient, peut être illégal, car contraire (1) à la loi fédérale sur la protection des données (LPD), (2) à l’article 321 du Code pénal suisse (CP) portant sur l’obligation de respecter le secret médical, ainsi qu’à (3) certaines législations cantonales. A titre d’exemple, l’article 80 de la loi vaudoise sur la santé publique consacre cette obligation pour les professionnels de la santé de conserver le secret.

Violations constatées de la LPD et mise à mal du secret médical

______________________________________________________

Le préposé fédéral à la protection des données et à la transparence (PFPDT) a constaté dans son 24e rapport annuel 2016/2017 que certains prestataires traitant les factures pour le compte de médecins saisissaient l’occasion pour utiliser ces données de facturation pour leurs fins propres telles que:

  • la création de base de données sur la solvabilité des patients et leur notation; et
  • la vente de ces données à des tiers (assurances, etc.).

Selon le PFPDT:

les professionnels de la santé se doivent d’être précis et d’attirer l’attention du patient clairement sur les traitements de données prévus effectués par le prestataire, y compris la vente possible à des tiers, et à recueillir le consentement exprès du patient.

Obligation de garder le secret ou consentement explicite

D’un point de vue juridique, les données médicales – données liées à la santé – sont des données sensibles qui requièrent le consentement exprès, et de préférence écrit, du patient (art. 4 al. 5 LPD) pour être transmises à un tiers et utilisées par celui-ci en dehors de la facturation. Leur communication et utilisation à des fins autres que la facturation par le tiers ne peut être effectuée que si le patient a pu y consentir valablement. Ainsi, pour garantir le respect du secret médical, le transfert à un tiers et son utilisation sont soumis à la limitation de l’art. 321 CP et de la LPD (art. 10a al. 1 let b) si le détenteur du secret n’a pas délié le professionnel de la santé. Sauf consentement explicite (ou exprès) du patient, il existe alors une double violation de la LPD et du Code pénal (voire de lois cantonales) qui prohibent la divulgation de données médicales à des tiers.

Que doit contenir mon contrat d’outsourcing?

_______________________________________________

Pour être conforme, le contrat d’outsourcing doit intégrer des dispositions sur la protection des données et leur sécurité. Parmi ces dispositions on songera au moins à intégrer:

Avec un fournisseur basé en Suisse uniquement:

  • une référence aux dispositions la LPD (art. 6 et 10a LPD) pour la sous-traitance ;
  • une assurance du fournisseur qu’il se conformera à la LPD ;
  • une assurance du fournisseur qu’il répondra aux éventuels requêtes d’individus relatives à leurs données ;
  • requérir le consentement préalable du professionnel de la santé ou de l’hôpital en cas de sous-traitance par le fournisseur ;
  • décrire précisément le but de la collecte et indiquer quelles données personnelles sont utilisées ;
  • une obligation pour les employés, auxiliaire, consultants, etc. de se conformer aux mêmes obligations que le contrat et à la LPD ;
  • une obligation pour le fournisseur de garantir la mise en place de mesures technique et organisationnelle pour sécuriser les données ;

Avec un fournisseur nécessitant un transfert transfrontalier :

  • inclure une disposition pour régler un tel transfert de données personnelles vers un pays tiers. Lorsque le pays tiers ne garantit pas un niveau de protection adéquat pour traiter les données, le contrat devra également inclure une obligation :
    • d’intégrer les clauses contractuelles types, telles que les EU model clauses applicables au transfert entre maître de fichiers et sous-traitant (controller-to-processor, ‘C2P’), se fonder sur le Privacy Shield (Attention: le Privacy Shield ne protège pas les données codées “key-coded data”), ou le contrat type de transfert de données du préposé) ;
    • pour le fournisseur de faire signer les EU model clauses (voire privacy shield ou clauses contractuelles équivalentes) à toutes ses filiales qui traiteraient (ce qui inclut l’accès aux données depuis l’étranger) des données personnelles depuis un pays sans niveau de protection adéquat ;
    • d’informer préalablement le professionnel de la santé de tout transfert à un tiers, incluant un droit d’objection, et lui fournir les informations y relatives, tel que l’indentité du tiers et le lieu du datacenter,
    • en cas de sous-traitant du fournisseur, de garantir qu’ils s’engagent aux mêmes conditions contractuelles et légales que le fournisseur.

Selon les recommandations du Préposé:

Quiconque communique des données personnelles à l’étranger doit examiner dans chaque cas si la personnalité de l’intéressé n’en est pas menacée. En d’autres termes, un médecin qui communique des données personnelles à l’étranger doit vérifier si le pays en question dispose d’une protection des données équivalente à celle de la Suisse.

ATTENTION: A noter que, selon les recommandations du Préposé fédéral, l’utilisation de services d’externalisation de données médicales auprès tiers dans le cloud ne peut s’opérer qu’en Suisse, avec un contrat qui interdit au tiers de communiquer ces données à des tiers. Cette mesure serait la seule à garantir le respect du secret médical, dont la divulgation est sanctionnée selon l’article 321 CP.

______________________________________________________

Comment faire en pratique ?

– Recommandations pour respecter la protection des données et le secret médical –

Toujours selon le PFPDT, il n’est ainsi pas suffisant d’indiquer quelque part dans le cabinet médical ou en petites lettres dans un formulaire de consentement que ces données pourraient faire l’objet d’un transfert pour une utilisation autre que de la pure facturation. Le patient doit être informé de manière complète et y consentir sans pression quelconque. Cette note du préposé met l’accent sur le principe de transparence qui implique une information complète fournie au patient avant le transfert de ces données, ainsi que le fondement juridique de la collecte qu’est le consentement exprès.

Pour le patient

La conséquence de cette note du préposé pour les patients est un renforcement de la transparence à leur égard pour mieux les protéger d’une utilisation indue de ces données et de leur sphère privée. Vu que le consentement du patient est requis, le patient doit aussi avoir la possibilité, à tout moment, de retirer son consentement pour l’utilisation qui irait au delà du but premier qu’est la facturation. Dans ce cas, le soignant et le prestataire devront respecter la volonté du patient et limiter le traitement aux fins indiquées par ce dernier, soit l’accès et le traitement uniquement pour effectuer de la facturation.

Pour les professionnels de la santé et hôpitaux

Cette obligation de transparence n’est pas nouvelle. Elle découle déjà de la législation protégeant le secret médical et de la protection des données, mais elle est mise en exergue pour insister sur le fait, qu’en pratique, on ne peut simplement collecter des données et en faire ce que l’on veut. Aller au delà d’un but prévu sans en informer le patient et requérir son consentement explicite est illicite. Le patient doit être en mesure de recevoir cette information, y consentir, et le cas échéant retirer tout ou partie de son consentement au traitement additionnel de ces données à des fins autres que la facturation.

Etant donné que le prestataire est un sous-traitant (data processor), ce dernier doit se conformer aux exigences du maître de fichiers (data controller) pour respecter le traitement licite des données et une utilisation conforme au contrat d’externalisation. La prudence commanderait par conséquent aux professionnels de la santé et aux hôpitaux au moins:

Vis-à-vis du prestataire de :

  • s’assurer que le prestataire n’utilise pas ces données à d’autres fins que ne le permet le contrat;
  • s’assurer que le prestataire respectera cet engagement ainsi que les règles en matière de protection des données, le prestataire n’étant, lui-même, probablement pas astreint au secret médical;
  • en cas d’utilisation d’un fournisseur de service cloud, n’utiliser que des prestataires situés en Suisse qui stockent leur données en Suisse et s’assurer qu’il existe une clause dans le contrat d’externalisation interdisant au fournisseur de transmettre des données médicales non anonymisées à des tiers situés à l’étranger (voir la note du Préposé citée en référence en fin d’article).

Vis-à-vis du patient de :

  • mettre à jour leurs formulaires de consentement, en distinguant clairement et visiblement la partie du consentement à une intervention médicale de celle du consentement à l’utilisation des données médicales par un tiers;
  • si les données devaient être utilisées à d’autres fins que de la facturation:
    • recueillir le consentement du patient après l’en avoir dûment informé; ou
    • l’informer du fait que ces données pourraient ou ont été transmises à des tiers sans son consentement et prendre les mesures adéquates.

Pour les prestataires

Le préposé ne se prononce pas sur la position du prestataire de facturation médicale et de son éventuelle responsabilité civile vis-à-vis du patient pour une utilisation indue des données. Il indique néanmoins que les précautions à prendre sont plutôt pour le protéger du risque lié à la violation du secret et de la protection des données. En effet, le patient aurait le droit de demander réparation pour le préjudice subit, ainsi que l’arrêt, l’effacement, voire la transmission des données à des tiers.

Il pourrait s’avérer utile que le prestataire :

  • conclue un contrat de sous-traitance avec le professionnel de la santé contrat qui délimitera les droits et obligations liées au traitement des données patient ;
  • anonymise les données avant de les transmettre à des tiers, ou à tous le moins mette en place des mesures permettant de diminuer le risque d’identification des patients (hashage, pseudonymisation), ce qui pourrait lui éviter de se voir reprocher une utilisation indue ainsi qu’un blocage de l’utilisation de ces données par le patient ;
  • clarifie avec le médecin ce qu’il entend faire des données et s’il envisage une utilisation qui diffère d’un but de facturation ;
  • requière, le cas échéant, du professionnel qu’il recueille valablement le consentement du patient ;
  • éventuellement prévoie une exonération de responsabilité pour le cas où le professionnel n’aurait pas recueilli valablement ce consentement auprès du patient ; et
  • intègre une clause de remboursement en cas de dommages causés en lien avec la violation du secret.

—

Pour aller plus loin, vous pouvez retrouver les documents suivants sur le site du préposé:

—

Par Gabriel Avigdor | NTIC.ch

Gabriel Avigdor, avocat PME magazine

Avocats 4.0: les futures stars du barreau

“En Suisse romande, une nouvelle génération d’avocats émerge pour répondre aux défis législatifs de la quatrième révolution industrielle”.

Très honoré d’avoir un portrait dans le dernier numéro de PME Magazine de juillet 2017 sur les avocats spécialisés dans les nouvelles technologies dans un article du 28 juin 2017 par Sven Jorganssen.

L’article est disponible ici et la version online peut-être consultée ici.

Bonne lecture.

RGPD – 1 an: un bref retour vers le futur

LE RGPD ARRIVE – ETES-VOUS PRÊTS?

Dans un peu moins d’un an, le règlement général sur la protection des données (GDPR en anglais, RGDP en français) sera directement applicable aux Etats membres de l’Union Européenne. Ce règlement vise avant tout à protéger les droits fondamentaux des individus face au traitement de leurs données personnelles et à réglementer la libre circulation de celles-ci.

QUAND, A QUI ET OÙ

Il sera directement applicable dès le 25 mai 2018  en Europe, mais son application territoriale s’étendra aussi aux responsables de traitement situés en dehors de l’UE, lorsqu’un traitement de données personnelles est lié à l’offre de biens et services en Europe, ou au suivi de comportements de personnes situées en Europe (art. 3 RGPD). L’application du RGPD est donc bien plus étendu qu’en Europe,  la Suisse est donc concernée (tout comme les USA)!

SANCTIONS

Au niveau des sanctions on se rapproche des chiffres que l’on connaît en matière de droit de la concurrence, soit jusqu’à 10% du CA annuel mondial. Ici, les sanctions envisagées par ce texte en cas de violation grave du règlement vont jusqu’à € 20 millions ou 4% du chiffre d’affaire annuel mondial du groupe (art. 83 §5 RGPD).

S’Y PREPARER MAINTENANT

Il est essentiel que toute entreprise suisse se renseigne sur l’applicabilité du règlement à son entreprise, si cela n’est pas déjà fait. En effet, les exigences de ce règlement peuvent impliquer, suivant la taille de l’entreprise, de nombreux changements et adaptations des processus internes et externes avec ses fournisseurs, partenaires commerciaux et clients afin d’être en conformité en mai prochain. Vu que ces changements peuvent avoir des coûts importants, il s’agit du dernier moment pour s’y préparer.

__________________

A RETENIR

Beaucoup ont déjà écrit sur ce sujet (voir la liste en bas).

La plupart des grandes études d’avocats ont par ailleurs déjà développé de nombreux guides outils, documentations ou webinar pour s’y préparer à son entrée en vigueur. Il n’est donc pas question de faire un  xième exposé sur le RGPD, mais plutôt de rappeler les changements clés pour les individus et les entreprises avec les enjeux qui s’y accompagnent.

En somme, que faut-il retenir du RGPD et à quoi faut-il accorder une attention particulière?

Le RGPD va-t-il vraiment changer les choses? En ce qui concerne les entreprises, clairement oui!

  • Il abroge et remplace la Directive UE 95/46/CE et sera directement applicable puisqu’il s’agit d’un règlement.
  • Plus d’entreprises sont concernées: Il s’applique aux Etats membres de l’UE, mais aussi aux acteurs situés en dehors de l’UE, comme la Suisse.
  • Droits des individus renforcés: les droits des individus sont renforcés et l’obligation de transparence devient plus étendue.
  • En particulier les “privacy notice” ainsi que les exigences en matières de consentement sont considérablement renforcées. Tout doit être clair, lisible, compréhensible, simple et le consentement doit être aussi simple à donner, qu’à retirer.
  • Tout responsable de traitement, doit mettre en place les processus internes nécessaires à garantir la conformité au RGPD et doit s’organiser pour pouvoir le démontrer aux autorités en cas d’audit.
  • Une analyse d’impact de protection des données (fameux “DPIA”) doit être effectuée avant tout traitement, lorsque celui-ci implique un risque élevé pour les individus pour le traitement de leurs données personnelles.
  • Les grands principes de protection des données personnelles sont conservés (information, protection, proportionalité du traitement, etc.) avec certains ajouts tels que “privacy by design” – penser à la protection des données dès la conception, “privacy by default” – exigence de protection des données le plus élevé dès le départ, ou encore la “portabilité des données” – possibilité d’exporter ses données dans un format lisible et transférable dans un autre environement.
  • En cas de faille de sécurité  (“data breach“), le responsable de traitement à l’obligation de l’annoncer dans les 72 heures en prenant toutes les mesures nécessaires pour réduire le risque lié à cette faille. Cas échéant,  le responsable de traitement devra aussi notifier les individus.
  • Désignation de data protection officer (DPO)
  • Pour une liste complète, voir les liens en bas de l’article.

Les exigences du RGPD impliquent de s’y préparer. Les entreprises ne peuvent plus ignorer la protection des données, puisqu’elles dont vont devoir considérablement changer leur manière de fonctionner et d’opérer.

__________________

ET LA SUISSE?

La Suisse va-t-elle s’aligner sur le RGPD?  Principalement oui, mais avec quelques différences que l’on peut retrouver dans ce tableau.

  • L’avant-projet de révision de la loi fédérale sur la protection des données a été mis en consultation devant les Chambres fédérales et pourrait entrer en force fin 2018.
  • Quelques différences anecdotiques sont à noter, telles que l’absence de portabilité des données ou encore le droit d’accès des proches du défunt à des données personnelles (ex: cas de refus d’accès à un compte facebook par les parents d’une adolescente décédée), pour n’en citer que quelques unes.
  • L’obligation pour le responsable de traitement de notifier les individus tout changement de sous-traitant est bien plus problématique. En effet, suivant le nombre de sous-traitants (data processors) utilisés, cette obligation sera impossible à mettre en oeuvre pour les grandes entreprises multinationales. Il serait bon qu’une modification législative soit effectuée avant que le texte entre en vigueur, sous peine que de nombreuses entreprises n’arrivent pas à satisfaire à cette obligation.

__________________

LIENS UTILES

Drone

Réglementation des drones et cas pratiques !

INTRODUCTION

Un drone, ça sert à quoi ?

Nous entendons beaucoup parler des drones, ces minis hélicoptères téléguidés que l’on voit dans les magasins ou dans des vidéos de sport. Ils peuvent être utilisés à des fins civiles (privées, commerciale, humanitaire, etc.) ou militaires. On ne se rend pas encore compte qu’ils vont occuper de plus en plus de place dans notre bas ciel et qu’ils remplaceront bon nombre d’outils existants. Ils peuvent par exemple être utilisés pour :

  • Service de livraison de nourriture (à quand la première pizza livrée par un drone?) ou de colis commerciaux et privés: Amazon a annoncé que son programme Prime Air de livraison à l’aide de drones automatisés permet la livraison de colis en moins de 30 min. L’entreprise Qoqa lui a emboité le pas en mettant en place une phase de test du premier système de livraison par drones en Suisse : FlypaQ;
  • Cartographie et modélisation, comme le fait la société suisse Pix4D avec son logiciel de cartographie pour drones civils permettant de modéliser des bâtiments ou un terrain en 3D à partir d’images 2D assemblées;
  • Loisirs, vidéos personnelles, manifestations sportives et cinéma. Les drones autonomes sportifs sont très à la mode comme le montre la start-up française Hexo+. A Hollywood, la FAA a autorisé le vol de drones à des fins de tournage. Les caméramen sont remplacés dans les scènes de courses poursuite par des drones, ce qui offre des possibilités d’angles inédits. Skyfall, le loup de Wall Street ou Harry Potter et la chambre des secret ont par exemple utilisé des drones pour filmer des scènes en plein air.
  • Observation, surveillance privée ou publique, comme la localisation d’une personne en fuite ou la surveillance des manifestations par la police comme l’Euro2016;
  • Des fins humanitaires ou de secourismes surtout dans des zones très peu accessibles par les transports classiques ou pour délivrer de la nourriture, des médicaments, apporter un soutien logistique en cas de catastrophe naturelle, etc.;
  • Utilisation par l’armée, à des fins offensives, défensives, de repérage, d’espionnage, ou de surveillance de zones civiles…

Les idées ne manquent pas, comme en témoigne ce dossier très complet sur l’immense potentiel des drones. D’un point de vue économique, il existe un grand marché pour l’industrie, notamment celui de la fabrication et de la réparation, mais également du développement de logiciels proposant des interfaces et applications mobiles spécialisées et du transport.

Inconvénients et risques. Si l’on pense au potentiel, il faut également songer aux désavantages et aux risques. On peut mentionner le fait qu’une livraison à domicile est certes possible lorsque l’on dispose d’une maison avec un jardin et un joli seuil tout propre, comme le montre la très sympathique et naïve vidéo de présentation des drones d’Amazon. Mais qu’advient-il des citoyens lambda résidant en pleine ville ? Y aura-t-il la création de points de chute ou d’atterrissage en ville pour pallier cette contrainte et éviter les vols de colis ?  Les drones embarquent de plus en plus de caméra haute définition. Dans le cadre de la surveillance vidéo, les drones vont poser des problèmes pour le respect de la vie privée. Le Préposé fédéral à la Protection des Données et à la Transparence (PFPDT) a publié un billet sur son site en relation avec cette problématique. De plus, les risques d’accidents sont bels et bien réels comme le démontre la récente collision d’un drone avec un avion de ligne de British Airways avant d’atterrir à London Heathrow le 18 avril 2016. Les drones sont des engins volants télécommandés ou automatisés avec un certain poids et qui peuvent bien évidemment entrer en collision avec un autre objet ou animal volant ou s’écraser sur le sol. Les questions de responsabilités vont se poser et il sera prudent que le montant de couverture de l’assurance soit suffisamment élevé. D’un point de vue de la pollution sonore, on imagine bien qu’un ciel bondé de drones serait néfaste à l’environnement ainsi qu’aux habitants. En fonction de l’évolution, il faudra encore s’attendre à ce que les organisations de défense des animaux se mobilisent. Bien pire, on pourra penser au détournement ou au piratage d’un drone, mais également au terrorisme … Peut-être y a-t-il là une menace à ne pas sous-estimer.

L’avenir nous le dira.

____________________________

PARTIE I

CAS PRATIQUES SUR LES DRONES AUX USA

Les réalisateurs de séries télévisées sont très créatifs pour élaborer des scénarios originaux en lien avec les nouvelles technologies, surtout lorsque la réglementation n’est pas encore claire. Dans l’un des derniers épisodes de The Good Wife (S07e18), l’excellente série de Ridley Scott, il est question d’un litige entre privés un peu particulier puisqu’il s’agit d’un drone de surveillance qui vole au-dessus des quartiers résidentiels dans le but de prévenir et repérer les actes criminels. Le litige se déroule en trois actes, tels des casus juridiques universitaires ou d’examens du brevet d’avocat.

ACTE 1. Un organisme propriétaire d’un drone fait voler un prototype au-dessus des maisons d’un quartier dans un but de surveillance de potentiels actes de vandalismes ou criminels. L’engin décolle de manière aléatoire et survole plusieurs fois par jour les quartiers, filme le domaine public, mais également le domaine privé, soit les jardins et les maisons. Il s’avère qu’un habitant du quartier est thérapeute et qu’il exerce à domicile. Ses patients sont dès lors visibles par les airs sur les images de surveillance du drone. Il intente action devant le tribunal compétent pour violation de la sphère privée parce qu’on aperçoit des personnes qui n’ont pas consenti à être filmées par le drone. Il estime que le drone est responsable d’une diminution de sa clientèle qu’il chiffre à USD 300’000.- et réclame des dommages-intérêts au propriétaire du drone et demande l’interdiction de le faire voler.

Argumentation: Le voisin thérapeute invoque une intrusion dans sa sphère privée, selon le principe de droit anglo-saxon “intrusion upon seclusion“, mais perd son procès. Sous l’angle du 1er Amendment de la Constitution américaine, le droit du propriétaire du drone de prévenir les actes de vandalismes dans le quartier par une surveillance aérienne l’emporte sur le droit au respect de la vie privée et le drone peut voler !

____________________________

DON’T FLY OVER MY PROPERTY OR I WILL SHOOT YOUR DRONE !

ACTE  2. Puisqu’il est autorisé à voler, le drone continue à survoler le quartier. La caméra du drone filme le voisin thérapeute qui lui tire dessus avec son fusil au moment où celui-ci passe au-dessus de sa propriété et le détruit en plein vol. Cette fois, c’est le propriétaire du drone qui intente une action contre le thérapeute pour se faire rembourser la valeur du prototype, dont le montant s’élève à USD 80,000 (compensatory damages). Il requiert aussi le paiement de USD 10,000 à titre de dommages-intérêts punitifs et qu’interdiction soit faite au voisin de ne plus tirer sur un drone qui volerait dans le quartier.

Argumentation: Le voisin allègue qu’il s’est senti menacé par le drone pensant qu’il pouvait l’attaquer et qu’il l’a descendu pour repousser cette menace potentielle. Ses avocates plaident ainsi la “Castle doctrine” instaurée en 1628, qui est une sorte de cas de légitime défense anglo-saxonne spécifique à la propriété, selon laquelle une attaque imminente peut-être repoussée lorsqu’il existe une menace d’intrusion dans sa propriété. Le juge considère qu’il ne s’agit pas d’une crainte fondée et requiert des avocates qu’elles le prouvent. Un expert en drones est convoqué au tribunal et présente des vidéos de drones civils et militaires attestant qu’il est quasiment impossible de reconnaître un drone de combat d’un drone civil, que certains drones filment en infrarouge ou par détection de chaleur et que d’autres disposent de technologies connectées permettant de s’introduire dans l’ordinateur d’un foyer à distance et de lui voler ses données. L’expert conclut qu’un drone peut donc s’introduire dans une maison et violer la sphère privée d’un individu sans y entrer physiquement et lui dérober ses données en piratant son ordinateur.

Malgré les efforts d’argumentation, c’est le propriétaire du drone qui gagne cette manche. La vidéo filmée par le drone montre qu’au moment où le voisin a tiré, le drone n’était pas en mode stationnaire, mais en mouvement et se dirigeait en dehors de sa propriété et qu’il opérait dès lors une “retraite”. Dans ces conditions, la castle doctrine ne peut pas s’appliquer puisque ce principe permet de repousser une menace imminente, mais interdit de tirer dans le dos de l’assaillant…

____________________________

THE SKY IS ALSO MY PROPERTY, RIGHT?

ACTE 3. Dans l’acte final, il est question de savoir si la législation fédérale sur les engins volants sans pilotes (unmanned aircraft systems) s’applique aux drones ou non, en particulier en fonction de la hauteur du sol, et si les drones doivent être enregistrés dans la base de données de la FAA (Federal Aviation Administration). Dans le scénario, le drone en question a été abattu à une hauteur de 200 pieds (60m) et il s’agit de savoir si le voisin a tiré sur un objet étant dans l’espace aérien réglementé par la législation fédérale de la FAA ou si ce sont les règles sur la propriété privée qui s’appliquent.

Argumentation: Un employé du service juridique de la FAA (unforcement and compliance division) est convoqué au Tribunal pour renseigner les parties s’il est légal ou non de tirer dans l’espace en question. Le juriste précise qu’il existe une zone intitulée “Classe G” – située entre 0 et 500 pieds (150m) d’altitude – qui échappe à la juridiction de la FAA. Selon l’avocate du voisin thérapeute, il serait ainsi illégal de rendre inutilisable un drone au-dessus de 500m, mais parfaitement légal en dessous. L’avocate du propriétaire du drone rétorque et invoque l’affaire US vs Causby. Dans cette affaire, un avion militaire passait fréquemment au-dessus de la ferme de M. Causby à une hauteur de 83 pieds (25m) causant l’effrayement des poules qui sautaient du mur et se tuaient. Cette affaire consacre le principe de droit romain “des étoiles aux enfers” (Usque ad sideras et usque ad inferos) et de droit anglo-saxon (from the depths to the heavens) de la propriété foncière verticale et qui, dans l’affaire Causby, pose la limite en dessous de laquelle un avion entre illégalement dans la propriété d’un privé et qui peut s’y opposer. Selon l’avocate du propriétaire du drone, l’affaire Causby s’applique et la hauteur de 200 pieds (60m), qui est au-dessus de 83 pieds, n’est plus dans la propriété du voisin, lequel n’est par conséquent pas en droit de tirer sur l’engin volant.

Interpellé, le juriste de la FAA considère qu’entre 83 pieds et 500 pieds la législation n’a pas précisé ne dit rien. Il indique que la FAA ne statuera pas tant que le secteur privé n’aura pas émis ses premières recommandations et le juge doit dès lors trancher le litige. Au final, le juge considère que la loi n’est pas du tout adaptée aux nouvelles technologies et qu’il est obligé de rendre une décision. Par dépit, il donne raison au propriétaire de drone en confirmant le principe de la limite de 83 pieds au-dessus de laquelle le drone n’est plus dans la propriété du thérapeute, lequel a violé la loi.

Cet épisode amusant démontre, à tout le moins aux États-Unis, que l’on peut jouer avec la loi et imaginer des scénarios liés aux nouvelles technologies et invoquer des jurisprudences sur les avions qui effraient des poulets pour une application analogique aux drones. De plus, en l’absence de réponse législative ou jurisprudentielle dans un domaine comme celui-ci, les réponses à des questions concrètes peuvent être parfois bien inadaptées.

Il ne s’agit que d’un résumé de l’épisode d’une série télévisée qui sert de base à la réflexion et non d’une recherche de droit comparé pour étudier la véracité ou la plausibilité de ces cas de figure selon le droit américain. Pour aller plus loin en droit américain, ce blog juridique plutôt complet est dédié à la législation applicable aux drones aux États-Unis.

____________________________

PARTIE II

LA REGLEMENTATION DES DRONES EN SUISSE

Qu’en est-il en Suisse ? Quelle est la législation s’appliquant aux drones et comment se serait déroulé ce procès fictif s’il avait eu lieu en Suisse?

En Suisse, les règles sur l’aviation sont émises par l’Office fédéral de l’aviation civile (OFAC). La loi fédérale sur l’aviation (LA) et l’Ordonnance du Département fédéral de l’environnement, des transports, de l’énergie et de la communication (DETEC) sur les aéronefs de catégories spéciales (OACS) régissent ce domaine. Les “règles de l’air” sont complétées par des normes européennes sur la hauteur minimale de vol. Vu les récents développements du marché des drones civils, l’OFAC a modifié son ordonnance, dont on peut retrouver un résumé sur cette notice.

Juridiquement, les drones civils de moins de 30 kilos sont qualifiés de modèles réduits d’aéronefs (art. 14b OACS). Ces aéronefs sans occupant ne sont soumis à aucune autorisation tant qu’un contact visuel permanent est maintenu avec le drone (art. 17 OACS, art. 12 OSAv a contrario). Lorsque le drone compris entre 0,5 et 30 kg sort du champ visuel du “pilote” et que l’on accroit sa portée, il faut une autorisation de l’OFAC. Il n’est pas non plus permis de faire circuler un tel engin à moins de 100m d’un rassemblement de personnes, ni dans les zones de contrôle (CTR) s’ils dépassent une hauteur de 150 m au-dessus du sol. Il est également interdit de s’approcher à moins de 5 km d’un aérodrome (art. 17 al. 2 let. a, b et c OACS). Certaines règles de l’air” de l’ORA (Ordonnance sur les règles de l’air) sont aussi applicables. A cela s’ajoutent que les cantons peuvent édicter des règles complémentaires, le cas échéant plus restrictives, sur les modèles réduits d’aéronefs (art. 19 OACS), pour réduire les nuisances ainsi que le danger auquel les personnes et les biens sont exposés au sol. Le Conseil d’Etat du canton de Vaud a par exemple rendu un arrêté concernant la commune de Lausanne en interdisant géographiquement et de manière limitée tout vol entre le 14 et le 31 mars 2015 et ce en raison d’une rencontre diplomatique (edit.: 04/10/2017).

Pour aller plus loin, voir le site de AirShoot suisse, qui donne également des détails pour l’utilisation d’un mini-drone dans le cadre de manifestations et qui traite de l’actualité des drones.

____________________________

CAS PRATIQUES AMERICAINS EN DROIT SUISSE

Il est intéressant de se demander, d’un point de vue théorique, comment l’affaire fictive de Ridley Scott aurait pu aboutir en Suisse. Certes, les procès aux Etats-Unis n’ont rien à voir avec ceux de notre continent et le droit obéit à des principes et des règles fondamentalement différentes, puisque nous comparons le « common law » (influence du droit anglo-saxon) et le « civil law » (influence du droit romain).

ACTE 1 – Surveillance privée sur le domaine privé et public. Le premier acte pose deux questions différentes, soit l’étendue du droit d’un privé ou d’une société d’utiliser un drone à des fins de surveillance, puis l’étendue de la responsabilité du propriétaire d’un drone pour la baisse de clientèle d’un habitant du quartier.

Argumentation : La vidéosurveillance par un drone fait appel, certes à la législation sur l’aviation civile, mais surtout aux règles de la protection du droit à l’image (art. 28 cc et LPD). Etant donné que le drone sillonne les airs de manière autonome et sans contact visuel direct avec l’appareil par le pilote, il faudra obtenir une autorisation de l’OFAC. Il est très vraisemblable que pour des raisons du droit à l’image, de sécurité, de proportionnalité, voire de nuisances sonores, une autorisation ne soit pas délivrée pour un vol autonome fréquent et aléatoire dans des quartiers résidentiels. Un drone de surveillance enregistre des données vidéo tant sur le domaine privé que le domaine public. Or la vidéosurveillance sur le domaine public par des privés est en principe jugée disproportionnée et interdite, sauf si la surface filmée de l’espace public est très faible. Dans la mesure où le drone doit enregistrer des images d’un nombre indéterminé de personnes qui ne peuvent pas éviter de se faire filmer et dont le respect du droit à l’image doit être protégé, une telle surveillance sera probablement illicite. C’est donc la police qui est compétente pour la surveillance du domaine public pour la prévention des infractions. Si un privé veut effectuer lui-même une surveillance sur le domaine public, il devra passer une convention avec la collectivité publique pour mettre en place un système de ce genre.

____________________________

LE CONSENTEMENT : NOEUD DU PROBLEME

S’agissant de la vidéosurveillance par des drones dans le domaine privé, le PFPDT a établi un memento sur la question. En résumé, si aucune personne n’est pas identifiable, soit par un floutage des visages ou des plaques d’immatriculation, soit par un angle particulier de prise de vue ou d’autres moyens techniques, la LPD ne s’appliquera pas. Se poseront d’autres questions telles que le droit du voisinage (si le propriétaire du drone est un voisin), comme les règles sur les immissions excessives pour le bruit occasionné par le drone (art. 684 al. 2 CC). Le but étant de reconnaître l’auteur d’une infraction, le surveillant ne voudra sûrement pas flouter les images et les stockera temporairement. Il faudra que chaque personne filmée, propriétaires, locataires et toute personne entrant dans le champ de vision du drone, soient informés (art. 4 al. 5 LPD) et consentent (art. 13 LPD), notamment par l’apposition d’un panneau d’avertissement contenant les coordonnées du propriétaire du drone (information) et sans s’y opposer (consentement). Un récent arrêt du TF arrêt 4A_576/2015 du 29 mars 2016 (commenté ici par Sylvain Métille) démontre que même à l’intérieur d’un bâtiment un seul locataire peut s’opposer et faire retirer les caméras de surveillance de tout l’immeuble. Dans notre cas, il y aura surement d’autres moyens moins invasifs pour surveiller ou prévenir des infractions, comme des systèmes d’alarmes privées ou des caméras ne filmant pas chez le voisin. On pourrait probablement raisonner différemment pour la surveillance d’un site de construction, archéologique ou celui d’une entreprise, dont la sécurité est primordiale et qui ne peut pas être assurée par d’autres moyens.

Outre les questions de droit de voisinage, la responsabilité du propriétaire du drone pour le préjudice causé au thérapeute est intéressante. Il s’agit d’un cas de responsabilité civile pour un préjudice économique consistant en la baisse d’un chiffre d’affaire. Un tel procès ne sera pas aisé pour le thérapeute. En effet, pour gagner son procès, le thérapeute devra démontrer, selon les règles des articles 41 CO ss, qu’il a subi un préjudice (consistant en la diminution de son chiffre d’affaires), qui se trouve en lien de causalité avec le vol du drone au-dessus des maisons. Il devra en outre démontrer que le propriétaire du drone a commis un acte illicite ( par exemple le non-respect de la LPD) et qu’il a commis une faute (intentionnelle ou par négligence). Si toutes ces conditions sont réunies et notamment s’il arrive à chiffrer le montant de son dommage, il pourrait gagner le procès et se voir allouer des dommages-intérêts correspondant au montant de sa clientèle perdue…

____________________________

PASSE-MOI MON FASS, QUE JE DEGOMME CE SATANE DRONE

ACTE 2 – Tirer sur un drone qui passe au-dessus de sa propriété. Le cas des armes est moins intéressant, puisque la législation est passablement différente entre les Etats-Unis et la Suisse. En effet, loin du 2e Amendement de la Constitution américaine qui prévoit le droit inconditionnel pour chaque citoyen américain de posséder une arme, la Suisse interdit toute acquisition, possession et utilisation d’armes à feu automatiques (art. 5 al. 1 à 3 LArm). Le fait qu’un permis soit nécessaire pour en posséder une (art. 8 LArm) n’en autorise pas pour autant le titulaire de s’en servir librement. Si le cas devait se présenter, le thérapeute sera très vraisemblablement dénoncé par un voisin aux autorités pénales pour avoir commis une infraction à la loi sur les armes, ou pour mise en danger de la vie d’autrui si le drone tombe et s’écrase sur un voisin ou un passant. La question serait relativement similaire si le voisin rendait inutilisable le drone sans arme (avec un autre objet) et qu’il s’écrase dans un périmètre à risque. Tout dépendra de la taille du drone et du lieu où celui-ci aura été abattu et si un incident survient. Si personne n’est blessé et que le drone est détruit, se posera alors la question de savoir si le drone pouvait passer au-dessus de la propriété du thérapeute pour qu’un remboursement soit envisageable ou non…

____________________________

JE DIS, UN DRONE AU DESSUS DE MON GAZON IL Y A !

ACTE 3 – Des enfers aux étoiles. Le principe de droit romain permettant au propriétaire d’un fonds de repousser toute menace ou perturbation à la propriété des enfers aux étoiles, c’est-à-dire indépendamment de la hauteur ou de la profondeur ne s’applique plus de nos jours. La jurisprudence relative à l’article 667 al. 1 CC indique de manière générale que le propriétaire peut dominer l’espace visé et exercer les possibilités d’utilisation qui découlent de la propriété et empêcher que des agissements de tiers, dans cet espace, portent atteinte à l’utilisation du fonds. C’est l’intérêt que présente l’exercice du droit de propriété qui définit dans chaque cas la limite de hauteur. Pour le Tribunal fédéral (TF), le droit de propriété va en tout cas jusqu’à la hauteur de la zone aérienne où passe un téléphérique à faible altitude (10 à 40m) sur un immeuble bâti. De plus, il est contraire au droit de survoler un fonds à faible altitude dans les environs d’un aérodrome privé sans l’accord du propriétaire qui peut s’opposer à des bas vols au-dessus de son terrain. Selon la jurisprudence du TF, Le propriétaire peut, pour se protéger contre des dommages contre son fonds, se défendre contre les activités de tiers qui sont préjudiciables, par exemple les nuisances des avions à une altitude de 108m, mais pas à 600m…

Argumentation : Vu la jurisprudence précitée, il existe une certitude jusqu’à 40m, une probabilité jusqu’à 108m et une grande incertitude sur une hauteur comprise entre 108m et 600m. Dans notre cas, le drone survole la propriété du thérapeute à une hauteur de 60m (200 pieds). Il serait probablement toujours dans sa propriété et, pour autant que l’activité lui soit préjudiciable et qu’il ait un intérêt, pourrait exercer ses droits relatifs à la propriété contre l’utilisateur du drone.

____________________________

JE VAIS DEPOSER PLAINTE PENALE MOI ! MAIS POUR QUEL MOTIF  AU FOND ?

D’un point de vue pénal, on peut penser à déposer une plainte pénale pour violation de domicile. Mais cette infraction pénale (art. 186 CP) sera probablement difficile d’application. En effet, elle concerne certes les jardins et endroits en plein air, mais ils doivent être fermés par une clôture. Or difficile de clôturer le ciel. De plus, on vise à empêcher qu’une personne physique y entre sans droit. La question de savoir si un engin volant peut induire une responsabilité pénale de son propriétaire qui se rendrait coupable – par extension – d’une violation de domicile est douteuse, mais elle se plaide ! D’autre part, l’infraction de mise en danger de la vie d’autrui paraîtrait également difficile à appliquer. En effet, pour que l’infraction soit constituée, l’auteur doit agir sans scrupules et créer un danger de mort imminent de la vie d’autrui (art. 129 CP). Tel serait par exemple le cas si le survol est tellement bas et rapide qu’il mettrait en danger de mort les résidents. Le cas de légitime défense dans le cadre d’une violation de domicile est tout à fait possible sous l’angle de l’article 15 CP, qui rend licite le fait de repousser une menace imminente, par exemple contre son domicile ou lorsque l’acte menace le droit de rester là où on se trouve (violation de la liberté personnelle). Dans ce cas, le drone pourrait être détruit pour se protéger. Enfin, le thérapeute pourrait encore tenter de déposer plainte pénale pour violation de la loi sur la protection des données (art. 34 et 35 LPD) s’il est filmé sans droit…

CONCLUSION

Si tirer un drone est interdit dans votre pays, alors peut-être faut-il songer à cela:

Citizenfour - NTIC

Citizen Four: A regarder absolument

CITIZEN FOUR – Un documentaire exceptionnel à ne pas rater 

Je viens de visionner le film documentaire CITIZEN FOUR (2014) de Laura Poitras qui retrace l’histoire des révélations d’Edward Snowden dont nous parlions ici. Cette documentariste américaine a été l’une des journalistes contactés par une source anonyme, aka CitizenFour, sensée détenir des informations et des documents top secrets permettant de révéler un scandale à l’échelle mondiale.

Au travers des images originales de l’interview d’Edward Snowden filmées par des journalistes du Guardian, dont Glenn Greenwald et Laura Poitras, dans un hôtel à Hong Kong au mois de mai 2013, ce reportage poignant nous place dans la peau du plus fameux lanceur d’alertes américain qui a risqué sa vie et sa liberté pour que les citoyens du monde, les entreprises, institutions et gouvernements reconnaissent l’ampleur de la surveillance de masse dite “passive” opérée par les Etats-Unis au travers de la NSA et leurs logiciels PRISM ou  XKeyscore des géants d’Internet et d’autres autorités européennes. Certaines images filmées dans un tribunal américain montrent les inquiétudes de certains juges face à l’intrusion de la NSA dans notre vie privée, mais également de l’absolue volonté des autorités de nier les faits ou d’utiliser des arguments de défense fondés sur la confidentialité du sujet pour des motifs de sécurité nationale…

Pour ceux qui n’ont pas encore vu ce brillante long métrage de presque 2 heures ou ceux qui souhaiteraient le revoir, ce film est disponible sur le site de la RTS en version originale sous-titrée français jusqu’à la fin du mois de mars 2016. Dépêchez-vous, il en vaut la peine !

http://www.rts.ch/play/tv/histoire-vivante/video/citizenfour?id=7532699

Bon visionnage.