Catégorie : Technologie

Vidéoconférence : Logiciels de santé et dispositifs médicaux

En matière de santé connectée et dispositifs médicaux, l’une des questions importante d’ordre juridique et réglementaire concerne les conditions légales, et la procédure à suivre, pour tout fabricant ou éditeur de logiciel de santé pour le développement de logiciel de santé qui peut être considéré comme un dispositif médical. Cela inclut les hôpitaux qui peuvent être considérés comme fabricants de dispositifs médicaux.

Le 4 juin 2018, j’ai eu l’honneur de présenter cette problématique au Centre de Recherche Clinique (CRC) des Hôpitaux Universitaires de Genève (HUG), présentation qui a été filmée et que vous trouverez ci-dessous. Cette présentation de 35 minutes n’est pas exhaustive et vise à apporter les bases élémentaires pour comprendre pourquoi un logiciel peut devoir être annoncé, obtenir une autorisation de Swissmedic, voire procéder à des essais cliniques après approbation d’une commission d’éthique.

Bon visionnage !

________________________________

POURQUOI CETTE CONFERENCE SUR LES LOGICIELS DE SANTE ?

L’innovation et les profonds bouleversements dans le domaine de la santé sont accélérés par la numérisation des données patients. L’essor phénoménal des nouvelles technologies de l’information et de la communication (NTIC) appliquées au domaine de la santé et les technologies avancées (intelligence artificielle, blockchain, etc.) nécessite une certaine prudence et vigilence tant pour les patients, que les professionnels de la santé et des précautions pour les acteurs de l’innovation et des assureurs.

De nombreuses et épineuses questions juridiques, éthiques, sociétales et assécurologiques se posent et requièrent une attention particulière de la part des professionnels de la santé et des experts en matière de technologies dès la conception des technologies de santé connectée (digital health et eHealth). Ainsi, l’accès au marché des applications de santé est réglementé, non seulement par les règles de droit médical, de la protection des données (LPD et RGPD), mais doit parfois passer par une procédure de certification, notamment le marquage CE et faire l’objet d’une annonce ou validation pour être distribué ou utilisé en hôpital.

J’en parlais déjà en 2016, dans mon article intitulé “La réglementation des applications médicales mobiles“, publié au sein du recueil édité par l’institut suisse de droit de la santé de Neuchâtel (IDS) et dans mon analyse de l’affaire européenne Philips et SNITEM de décembre 2017. Dans ce dernier article, j’y analyse les conséquences de la décision de la CJUE sur les logiciels d’aide à la prescription et dispensation médicale (LAP et LAD), mais également pour tous les autres logiciels de santé en Europe et en Suisse suite au procès gagné par Philips.

Pour toute question complémentaire, vous pouvez me contacter directement par e-mail.

—

Pour aller plus loin:

3 mois avant le RGPD – que va-t-il arriver si vous n’êtes pas prêt?

 

Conformité au RGDP… ces mots résonnent dans nos têtes comme s’ils n’en existaient pas d’autres.

En effet, la protection des données personnelles est devenue un thème non seulement à la mode, mais tout le monde en parle parce que cette nouvelle réglementation bouleverse au delà du paysage légal. En 2017, le RGPD est vite devenu l’un des sujets réglementaires et juridiques probablement le plus discuté actuellement et cela va encore augmenter dans les prochains mois. La date de conformité approche et nous ne sommes qu’à un peu plus de 3 mois du 25 mai 2018, cette fameuse date butoir après laquelle le Règlement (UE) 2016/679  (RGPD ou GPDR) s’appliquera à tous les organismes publics et privés qui tomberont dans le champs d’application matériel (art. 2) et territorial (art. 3) de ce Règlement.

La protection des données et la cybersécurité vont gagner en importance avec les compagnes de sensibilisation massives, l’importance de penser à la protection des données dès le début ou dès la conception avant tout traitement des données (privacy by design), et l’incroyable augmentation du nombre de professionnels de la protection des données apparaissant au niveau mondial, prônant ce domaine qui n’est pourtant pas si nouveau.

Dans cette course historique pour la conformité en matière de protection des données, la Commission européenne a publié son nouveau site internet contenant des lignes directrices très complètes au sujet du RGPD. Cette plateforme est conçue de manière très intuitive, intelligible, simple et de facile d’accès. Le contenu comporte plusieurs sections couvrant les principaux thèmes traités par le RGPD, dont notamment:

ainsi qu’une section infographique contenant un résumé des domaines clés liés au nouveau Règlement comme les droits et obligations, les règles organisationnelles, la gouvernance, et les conséquences en cas de non-conformité. Et il ne reste plus beaucoup de temps. Au peu moins de 3 mois avant que les organisations traitant des données personnelles aient à démontrer aux autorités de quelle manière elles sont conformes avec la loi (principe de ”responsabilité” ou “accountability” en anglais – art. 5 § 2 RGPD).

__________________

A QUOI S’ATTENDRE SI VOUS N’ÊTES PAS “RGDP-CONFORME” EN MAI 2018?

Sur son nouveau site, la Commission rappelle les 4 étapes clés avant qu’une autorité de contrôle (“supervisory authority”) puisse prononcer une amende administrative (art. 83 RGPD) aux entreprises et organisations qui seraient en violation de leurs obligations:

(1) AVERTISSEMENT ⇨ (2) RAPPEL A L’ORDRE ⇨ (3) SUSPENSION DU TRAITEMENT DE DONNEES ⇨ (4) AMENDE

Le Règlement (UE) 679/2016, les sanctions doivent être prononcées de sorte qu’elle soient “dans chaque cas effectives, proportionnées et dissuasives” (art. 83 § 1 in fine RGPD). De plus, le régime de sanctions permet à une autorité de contrôle de prononcer une amende en sus d’une autre mesure telle que notamment:

  • avertissement (art. 58 (2) (a) et considérant 150 RGPD);
  • retrait d’une certification (art. 58 (2) (h) RGPD); ou
  • suspension du traitement de données (art. 58 (2) (j) et 83 (5) (e) RGPD).

__________________

LES AUTORITES NE VONT PAS SANCTIONNER TOUT LE MONDE DES LE 26 MAI 2018 

Il est devenu courant d’entendre et de lire de nombreuses personnes et cabinets de conseils sortant de nul part, criant sur les réseaux sociaux et sur internet que la fin du monde est prévue pour mai 2018 en cas de non-conformité. La réalité est un peu plus complexe que cela et de telles assertions ne correspondent pas à la réalité. Il est vrai qu’après le 25 mai 2018, la protection des données aura effectué un saut de géant en avant, et que le délai pour les responsables de traitement de se mettre en conformité sera échu. Des sanctions pourraient dès lors s’abattre sur les organisations qui ne seraient pas conformes. Ok, cela est théoriquement vrai avec des amendes très salées.

Toutefois, cela ne devrait arriver qu’après une analyse de la situation par une autorité de contrôle, includant des échanges de communications, des audits, dans le cas où une personne concernée dépose une plainte pour violation ou non respect de ses droits, ou en cas de saisie de la justice par un individu pour violation de la loi.

Si une chose est certaine, si vous n’y êtes pas encore et que vous pensez êtes soumis au RGPD, vous feriez mieux de vous y mettre tout de suite ou alors préparer votre ligne de défense pour indiquer en quoi votre entreprise n’est pas soumise au RGPD. Cependant, il semble utile de rappeler quelques considérations un peu moins alarmistes sur le régime de sanctions selon le RGPD et la mise en conformité. En voici quelques unes:

  • Il ne va pas pleuvoir des amendes dès le 26 mai 2018. Il s’agit d’un mythe créé par des entreprises qui pratiquent le marketing par la peur et qui se réjouiront de vous offrir toute une panoplie de de services, solutions informatiques et cocktail pack de mise en conformité au RGPD. Les entreprises déjà alertes sur cette problématique ne sont font pas avoir, mais les plus petites structures qui sont nouvelles dans le monde du numérique peuvent tomber dans le piège.
  • Question de preuve et d’interprétation. Une autorité ne va pas prononcer une amende avant d’avoir pu considérer que le responsable de traitement a concrètement manqué à ses obligations, probablement après l’avoir interpellé, puis probablement averti (cela concerne les responsables, mais aussi leurs sous-traitants) d’un violation de la loi. Des délais de mise en conformité seront accordés et, en fonction de la gravité des manquements, une certaine flexibilité sera accordée. Cela implique de mener des investigations, par exemple en demandant des explications documentées, en menant des audits auprès des responsables de traitement, des sous-traitants, des détaillants, des fournisseurs, des partenaires commerciaux, mais également par une interprétation du Règlement. Et ce n’est pas chose aisée.
  • Cela va prendre du temps d’examiner les plaintes. Selon Steve Eckersley, du Bureau du commissaire à l’information anglais (ICO UK), certaines enquêtes prennent de 8 à 12 mois”. Cela prend donc du temps qui permet au responsable de corriger le tir. Steve Echersley cite comme exemples que “le bureau du Commissaire à l’information est en train de recruter entre 100-150 personnes pour travailler sur les aspects liés au RGPD et à la cybersécurité” et prédit qu’ils s’attendent à recevoir quelques “30’000 notifications d’incident par année“. Ce n’est pas un nombre à prendre à la légère.
  • Les autorités ont aussi leurs obligations. Les autorités sont, et resteront, très occupées à mettre en place leur propres équipes afin de renseigner, aider, guider les responsables de traitement dans l’applicabilité, l’interprétation, mais aussi la mise en place des mesures nécessaires à être conforme au Règlement. Elles doivent aussi réfléchir à intégrer ou non des exceptions au RGPD dans leur droit national, examiner comment traiter et gérer les notifications d’incidents, travailler sur la soumission d’analyses d’impact (DPIA), etc.
  • Sanctionner n’est pas une priorité. La priorité n’est pas de sanction tout le monde dès mai 2018, mais plus de pouvoir démontrer que votre organisation met la protection des données en haut de la liste des tâches à accomplir et que des mesures concrètes sont prises pour y remédier, que les bonnes personnes sont en place, que la gouvernance a été pensée, qu’un budget a été alloué, etc. La conformité au RGPD, est pour la plupart des responsables de traitement, un énorme projet qui se prolongera au moins sur les 5 ans à venir, et qui continuera d’être, pour toutes les parties prenantes. Les autorités de contrôle sont d’ailleurs elles-mêmes mises sous pression par la Commission européenne pour leur propre mise en conformité! Le fait qu’elles soient très occupées, ne signifie pas pour autant qu’aucune sanction ne sera prononcée. Ces amendes arriveront, il y aura des exemples auprès des grands, moyens et petits. Mais simplement pas tout de suite.
  • Le Règlement (UE) 2016/679 n’indique pas les amendes comme première mesure en cas de non-conformité. Lorsque un audit RGPD sera mené, il y aura place au dialogue et échanges entre les autorités, juristes, avocats, conseillers internes à la protection des données (DPO), sous-traitants et autres acteurs de cet écosystème. Il sera également intéressant d’observer si le niveau de plaintes par des individus va augmenter dans le futur ou si le RGPD va instaurer une confiance accrue auprès du public. On oublie parfois que le le RGPD est formidable opportunité pour les organisations de rester compétitives. Une attitude responsable, une volonté de mettre les clients et les individus au centre de leurs intérêts en respectant au mieux leurs droits peut être un grand coup de marketing permettant d’indiquer un haut niveau de standard en la matière, le cas échéant en se démarquant de la concurrence.
  • Maintient de la conformité au cours du temps. La conformité doit être maintenue et surveillée dans le temps. La conformité au RGPD n’est pas un projet unique. Elle s’intègre au sein d’une entreprise comme nouveau comportement vis-à-vis de leurs clients, partenaires d’affaires, employés, etc. et les processus internes en seront modifiés en conséquence. Cela devrait continuer aussi longtemps que ce Règlement sera en vigueur, ce qui implique qu’une amende pourrait arriver bien plus tard. Une entreprise peut être prête pour mai 2018, et ne plus l’être dans le futur si le programme de protection des données n’est pas maintenu.
  • Interprétation de la loi et droit nationaux.  Plus de 60 articles du RGPD permettent aux Etats Membres de l’UE de déroger au Règlement dans leur droit national. Cela veut dire que de connaître le RGPD sur le bout des doigts maintenant, n’est pas suffisant. Il y aura probablement 28 RGPD différents (ou 27 dès le Brexit). Il y aura de nombreuses différences selon les pays, avec un exemple déjà très aboutit en Allemagne, premier pays à avoir adopté et adapté sa loi interne au RGPD. Enfin, beaucoup d’articles du RGPD ne sont pas clairs et sont déjà sujets à interprétation par de nombreux commentateurs. La conformité reste une analyse au cas par cas et il n’est pas possible d’avoir une solution clé-en-main applicable à tous, même si beaucoup de principes sont communs. Dans cet article, il est également mentionné qu’il “faudra probablement environ 10 ans avant qu’on puisse considérer le RGPD comme un texte législatif mature et qui est compris correctement”.

Tout cela permet de tempérer quelque peu les ardeurs et se rendre compte de l’ampleur de cette réglementation.

__________________

D’AUTRES MENACES ET RISQUES QUE LES AMENDES

Les entreprises et organisations traitant des données personnelles et qui sont soumises au RGPD (responsables et sous-traitants) ne devraient pas se focaliser sur les amendes. Une amende risque de n’être qu’un mauvais goût supplémentaire à un menu déjà trop salé.

Lors d’un traitement de données personelles, il s’agit de prendre également en considération les autres risques et menaces à l’activité et aux affaires en cas de non-conformité. Voici quelques exemples:

  • atteinte à la réputation, pertes financières, pertes de cliens après un incident. Les notifications en matière de cybersecurité, tant aux autorités en cas de risque (art. 33 RGPD), qu’aux personnes concernées en cas de risque élevé (art. 34 RGPD), les atteintes à la réputation peuvent causer parexemple des dommages considérables à la réputation, engendrant des opportunités d’affaires perdues, perte de clientèle, responsabilités contractuelles et violation de contrats. Ces événements peuvent être bien plus dommageables qu’une amende. L’affaire désastreuse de Talk-Talk, a été causée par un porte-parole qui s’est exprimé devant la presse sans préparation suffisante, donna le pire des signaux causant la panique des clients après le communiqué de presse lié à l’incident.
  • discontinuité des affaires et coûts de remise en service suite à un incident. Non seuelement les incidents en matière de cybersécurité peuvent causer un arrêt de l’activité et impact sur la réputation, mais cela impliquera des dépenses qui peuvent être considérables. Dans le cas de Talk-Talk, alors que l’amende s’est élevées à GBP 400,000, les dommages totaux se sont chiffrés à environ GBP 60 millions… Les dépenses peuvent concerner les enquêtes et investigations, correction des erreurs, prévention des nouvelles, et mise en place de nouvelles mesures et processus, etc. Avec l’augmentation des systèmes informatiques et du numérique, le traitement des données par des réseaux connectés, il est probable que des données personnelles soient concernées. Si tel n’est pas le cas, la réglementation ne s’applique pas. C’est là que la mise en place de mesures techniques et organisationnelles adéquates joue un rôle clef. Dans le cas le plus optimiste, une organisation bien équipée et préparée pourrait même ne pas avoir à notifier les individus, ni même les autorités. En effet, si les données ne sont pas personnelles, ou si l’incident n’est “pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques“, alors aucune notification n’est requise. Quoi qu’il en soit, la réflexion et l’intégration d’une politique en matière de cybersécurité pour se préparer et savoir notifier de manière adéquate et dans les délais un incident est absolument cruciale. Cela nécessite d’impliquer les personnes au plus haut niveau hiérarchique.
  • suspension du traitement des données. Un incident en matière de cybersecurité peut causer une cessation temporaire de l’activité, mais autorité peut aussi l’ordonner. Cela pose encore des questions pratiques pour savoir comment une autorité peut mettre en exécution une telle mesure (probablement par les forces de police), cela pourrait être très dommageable en particulier si le traitement de ces données est essentiel à la poursuite de l’activité et des affaires.
  • prise de parts du marché par des concurrents. Il s’agit d’un élément auquel les responsables de traitement devraient aussi songer.  Et c’est aussi là que le RGPD constitue une réelle opportunité pour certains acteurs. Mettre en avant sa conformité un réel gage d’excellence en matière de gestion de la protection des données personnelles.
  • activité péjorée sur le long terme.
  • perte de confiance par le public.
  • pertes d’employés et démission de cadre dirigeants.
  • budget supplémentaire et non planifié en matière de sécurité, protection des données, restructuration interne, établissement de nouvelles positions, audits internes.
  • etc.

Il est certains que toutes les entreprises et organisations dans le monde et qui sont soumises au RGPD ne seront pas prêt pour le 25 mai 2018. Les responsables traitant de grosses quantité de données, sensibles qui plus est, et créant un risque pour les individus, seront dans le collimateur des autorités. Cela est évident. Cette soit-disant “Loi Facebook” va peut-être motiver les autorités à se concenter sur les GAFAM, BATX et leurs partenaires contractuels, mais cela concerne tous les acteurs.

Par cet article, j’espère avoir pu donner quelques pistes indiquant que l’alarmisme n’est pas la bonne approche et n’est pas conforme à la réalité. Tant qu’une entreprise est capable de démontrer son avancement vers la conformité, qu’il s’agit d’une priorité, qu’elle a pris les mesures en vue d’aboutir à une conformité le plus rapidement possible, cette entreprise se trouve sur la bonne voie.

Soyez prêts et non effrayés. Faites du RGPD, une opportunité pour votre entprise ou organisation et non un point bloquant. Ne craignez pas les amendes, mais préparez-vous pour démontrer que vous êtes ou allez être conformes.

__________________

Par Gabriel Avigdor | NTIC.ch

Première pilule connectée à un smartphone approuvée par la FDA

ABILIFY MYCITE: UNE PREMIERE POUR LA SANTE CONNECTEE

Une page importante s’est tournée dans l’histoire de la santé connectée le 13 novembre 2017. La FDA, l’autorité américaine de régulation des médicaments et des dispositifs médicaux, a  approuvé la mise sur le marché de ‘Abilify MyCite’, une pilule qui envoie un signal à un patch collé sur les côtes du patient et qui communique par bluetooth à une App médicale. Il s’agit de la première pilule connectée permettant de suivre l’ingestion de médicaments par un patient. Abilify est le nom commercial d’un médicament contenant de l’“aripiprazole“, molécule utilisée pour le traitement des personnes atteintes de schizophrénie, et pour le traitement et la prévention des récidives des épisodes maniaques modérés à sévères du trouble bipolaire de type I. 

L’approbation pour la mise sur le marché de cette pilule cumulée à celle du patch  connecté est une première pour la FDA, a commenté le Pharmacytimes, même si le senseur lui-même utilisé avec l’aripiprazole était déjà autorisé depuis 2012 par l’autorité américaine.  Plus d’informations spécifiques à cette approbation peuvent être consultées sur le site de la FDA.

________________________________

TECHNOLOGIE – COMMENT CA MARCHE?

D’un point de vue technologique, le senseur intégré dans la pillule Abilify Mycite se synchronise avec une application smartphone du patient, via le patch collé à la surface de la peau au niveau des côtes. Le patient ingère la pilule et une alerte est envoyée à un objet connecté (smartphone) via l’App mobile du patient. Si le patient partage ses données avec son médecin, ce dernier peut dès lors surveiller la prise de médicament. Selon des informations du site de la chaîné télévisée américaine PBS, les chercheurs œuvrent aussi à fabriquer des comprimés électroniques recueillant des paramètres comme la température interne du corps durant plusieurs jours.

________________________________

ASPECTS TECHNIQUES

Techniquement, LiveScience relate que la pilule intègre une puce en silicone dotée d’un circuit logique, composés de cuivre et de magnésium. Lorsque le senseur est mis dans une solution aqueuse, ou dans toute autre solution contenant des molécules polarisées, (tel que l’acide chlorhydrique – HCL – contenu dans l’estomac et qui dissout la pilule en conservant le senseur intact), ce dispositif génère un très faible courant, mais suffisant pour que la puce s’active. Techniquement, il s’agit d’une source de courant partielle et “le patient devient la batterie”.

Une fois activée, la puce de 1 mm de long et 0,3 mm envoie un signal très simple permettant d’encoder un seul nombre. Ce nombre identifie la pilule et indique à l’objet porté par le patient (le senseur sous la forme d’un bandage adhésif) que le médicament a été ingéré. Le signal n’est pas envoyé sous la forme d’un signal radio, mais le circuit logique émet un faible courant modulé, dont le niveau peut se représenter graphiquement comme une onde sinusoïdale. Dès lors que le corps humain est conducteur, le senseur perçoit ces changements et le courant modulé est capable d’encoder des 1 et des 0, de manière similaire à un signal FM.  Au fond, le fonctionnement est semblable à celui d’une ECG (électro-cardiogramme), puisque ces machines détectent les changements de courant électrique dans le corps humain afin de surveiller la fréquence cardiaque. Le senseur collé sur la peau a la même fonction, bien que que le courant soit plus faible.

La pilule est conçue pour ne fonctionner que durant 3 minutes environ, soit juste assez de temps pour envoyer un signal au patch permettant de le mettre en marche et récolter les données nécessaires pour comptabiliser l’ingestion du médicament par le patient. Cela a pour effet d’économiser des batteries, et permet au senseur de fonctionner pendant toute une semaine.

Le patch et les senseurs sont fabriqués par la société Proteus Digital Health et la molécule d’aripiprazole mise sur le marché par l’entreprise pharmaceutique japonaise Otsuka Pharmaceutical.

________________________________

ENJEUX ETHIQUES ET JURIDIQUES

 SUIVI DU PATIENT ET REDUCTION DES COÛTS DE LA SANTE

Le PHM (Personal Health Monitoring) comporte au moins deux avantages relatifs:

  • A L’OBSERVANCE, soit le fait de s’assurer que le patient souffrant de maladie mentale prenne régulièrement sa médication. Ceci peut être particulièrement intéressant pour les patients qui peuvent se trouver dans un état d’incapacité de discernement (comme pour les personnes âgées). Aux Etat-Unis, une étude menée par le National center for biotechnology information a démontré qu’un schizophrène sur deux répondant bien aux médicaments existants ne suivait pas son traitement de manière satisfaisante. L’observance (bon suivi d’un traitement) est donc également un enjeu important pour les patients atteints de maladies mentale;
  • AUX COÛTS DE LA SANTE, qui seraient réduits par la réduction de personnes oubliant de prendre leur pilule. Les conséquences sont d’ordre médicales et économiques. En effet, une personne qui ne prend pas, ou qui oublie de prendre ses médicaux, peut voir sa santé se dégrader, et nécessiter plus de médicaments, une ré-hospitalisation, voire une opération en cas d’indicent. Cet article indique notamment que les coûts pour le contribuable liés aux patients qui oublient de prendre leur médicaments pourraient s’élever à quelque $ 100 milliards. Un rapport américain prétendrait même des chiffres compris entre $100 et $300 milliards…
*  *  *
AVANCEE TECHNOLOGIQUE OUI, MAIS EST-CE UN PROGRES?

Cette avancée technologique est notable et le potentiel pour la réduction des coûts de la santé important. Pourtant, cela ne fait pas l’unanimité, notamment au sein du corps médical, et il est légitime de se demander dans quelle mesure l’utilisation d’une nouvelle technologie peut contribuer à une amélioration, non juste à un progrès scientifique. Qu’est-ce que le progrès apporte de plus, de mieux qu’avant ce progrès ? Peut-on déduire de cet apport scientifique que les bénéfices pour le patient l’emporteront sur les bénéfices financiers par exemple ?  Certains ont déjà manifesté des réticences et les questions liées à la surveillance de la santé ont déjà fait l’objet de recherches et de publications scientifiques sur ce domaine complexe (voir quelques références en fin d’article).

Bien que certains parlent de Big Brother médical ou biomédical selon le New York Times, la surveillance de la santé pose de nombreuses questions éthiques, dont au moins 8 sont à noter:

  1. vie privée et risques pour l’ingérence dans la vie privée du patient, collecte de données sensibles, voire biométriques du patient et d’un traitement de ces données de santé conforme à la volonté d’un patient qui peut être en incapacité de discernement;
  2. visibilité et caractère invasif – aspects liés au fait que des tiers peuvent s’apercevoir qu’une personne fait l’objet d’une surveillance médicale (probablement pas dans le cas d’Abilify, mais oui ) et qu’on considère dès lors différemment la personne parce qu’on la voit comme un “malade” ou qu’en société cette personne fasse plus l’objet, soit d’une discrimination, soit être plus vulnérable;
  3. (sur)médicalisation – cela peut aboutir à une situation où l’environnement de vie du patient devient le point central de traitement avec une perte de la séparation entre lieu privé et lieu de soins. A cela s’ajoute une stigmatisation liée au fait d’être sous surveillance;
  4. isolation sociale – par le fait que le patient ne se déplace plus pour procéder à son check-up régulier, le patient s’exclut de la société avec les conséquences psychologiques et médicales en cas de baisse de motivation, moral, etc.;
  5. autodétermination en matière médicale – quelle place pour le choix du patient lorsqu’il est suivi par son médecin qui peut savoir qu’il ne suit plus le traitement indiqué? Cela n’induit-il pas une certaine pression sur le patient?
  6. honte et aspects identitaires – quelles répercutions sur la personnalité du patient qui est perçu par la société comme marginal, si son traitement est visible?
  7. fourniture de soins – comment les soins sont-ils dispensés lorsqu’ils se font à distance et que le patient ne se déplace plus, est-ce une manière efficace de soigner, cette manière peut-elle être exclusive ou doit-on la combiner avec des rendez-vous physiques?
  8. sécurité, fiabilité et technologie mis en place

Ces aspects créent-t-ils une dé-responsabilisation du patient ou plutôt sur-responsabilisation, sont-ils bénéfiques ou néfastes?

On peut encore se poser la question des conséquences d’un point de vue assécurologique (assurances) si le patient ne prend pas sa pilule alors qu’il est surveillé, que cela soit avec ou sans dégradation de l’état de santé du patient.  Suspension, réduction, arrêt du remboursement des soins, mesures médicales ? Comment et sous quelles conditions ces informations pourraient être transmises à l’assureur de base ou complémentaire?

CONCLUSION INTERMEDIAIRE

Il existe donc de nombreuses, et sérieuses, interrogations sur les bénéfices réels du monitoring du corps humain par le patient ou un tiers autorisé ainsi que des questions juridiques et éthiques. Le risque d’ingérence dans la vie privée allant au delà du nécessaire, l’utilisation dérivée de cette surveillance et la pression induite, poussent à se demander dans quelle mesure les patients peuvent valablement consentir à ces mesures ou à pouvoir retirer leur consentement à ces mesures, ainsi qu’au traitement de leurs données personnelles. De plus, le fait que les patients atteints de troubles d’ordre psychiatrique  peuvent se trouver en situation d’incapacité de discernement pose encore des questions épineuses.

Les capteurs/senseurs intégrés dans Abilify sont (très probablement) configurés par défaut pour ne collecter que les informations utiles à la prise ou non du médicament. Soit le patient l’a prise, soit pas.  Mais, dès lors qu’il s’agit de capteurs, ceux-ci pourraient potentiellement collecter et traiter bien d’autres données que celles prévues au départ. Il pourrait s’agir de la fréquence cardiaque, de la quantité de sommeil, de la forme physique dans laquelle on se trouve, etc. La préoccupation principale serait une utilisation malintentionnée qui pourrait être faite de ces données par des organisations ou entreprises. De plus, comme pour toutes nouvelles technologies, nous n’avons que très peu de recul sur le potentiel et les risques, et peu de réglementation ou lignes directrices ont été publiées, comme l’indique cet article.

*  *  *
ATTENTION  AU RESPECT DE LA VIE PRIVEE ET AU SECRET MEDICAL

Un pilule connectée pose des questions liées à la sphère privée et à la protection des données. D’un point de la protection des données en Europe et en Suisse, ces données médicales entrent, lorsqu’elles permettent directement ou indirectement d’identifier un individu, dans la catégorie de données sensibles. Il en va de même des données biométriques qui sont une catégorie nouvellement intégrée dans le RGDP (art. 4 (14) RGPD) et dans le projet de révision de loi fédérale sur la protection des données (art. 4 let. c ch. 4 Projet-LPD).

Ainsi, tout traitement de ces données est illicite à moins que le responsable de traitement ne démontre une base juridique valable, telle que le consentement explicite (art. 9 §2 (a) RGPD, ou exprès du patient (art. 4 al. 5 et 13 al. 1 de la LDP). Le recueil de ce consentement doit s’opérer par le biais d’une information suffisante, doit s’exprimer de manière libre, être exposée clairement et sans ambiguïté, pour le traitement en question décrivant le but, la nature, ce qui en est fait, etc., par le professionnel de la santé et d’éventuels tiers pour qu’il soit valable (principe de transparence et consentement libre et éclairé).

Le fait de fournir des services en matière médicale implique le respect non seulement des règles en matière de protection des données, mais aussi de secret médical, dont seul le patient est le maître. Toute violation peut entraîner, sur plainte, une responsabilité pénale (art. 320 et 321 CP, art. 35 LPD, entre autres). En cas d’utilisation de ces données et si elles sont transmises à des tiers, tels que des sous-traitants, sans l’autorisation préalable exprès, le traitement est illicite et le responsable de traitement peut se voir condamner pénalement pour violation de ce secret. Sous l’angle de la protection des données, ce secret doit être garanti par le responsable de traitement et ses éventuels sous-traitants suisses (art. 9 §2 (h) et 9 §3 du RGDP), ou dans certains cas limités prévus par la loi, justifiée par des intérêts privés prépondérants (art. 13 al. 2 LPD). Selon le préposé fédéral à la protection données, ces données ne devraient d’ailleurs pas quitter la Suisse, ce qui exclurait l’utilisation des solutions cloud avec transmission de données transfrontières hors de la Suisse, sans consentement du patient et garanties suffisantes. A ce sujet, voir ma précédente note sur les recommandations du préposé fédéral en matière d’outsourcing pour l’externalisation de la facturation en matière médicale.

Enfin, pour les responsables de traitement soumis au RGPD, une violation de données pourrait conduire une autorité à prononcer des sanctions pouvant aller jusqu’à 2 à 4% du chiffre d’affaire annuel du groupe ou 10 à 20 millions selon les art. 83 ss du RGPD.

On ne peut que vivement recommander d’appliquer des méthodes de protection des données dès la conception (privacy by design) et par défaut (privacy by default) pour ce genre de technologies. Ce guide de considérations éthiques peut être un premier élément de départ en plus de connaître les exigences légales.

________________________________

CONCLUSION

L’approbation par la FDA de ce médicament connecté est un signal très fort et positif pour l’industrie et l’innovation en matière de santé et médicaments connectés, les technologies avancées en matière de sciences de la vie et dispositifs médicaux connectés.L’amélioration potentielle de la qualité de vie des patients, la facilité et l’efficacité du traitement, la réduction potentielle des coûts de la santé est notable et il faut se réjouir que ces initiatives réussies permette de réfléchir sur les manières d’aborder les nouvelles manières de se soigner grâce aux technologies. Il faudra dès lors s’attendre à bien d’autres innovations de ce type qui suivront dans les années à venir.

Comme pour toute nouvelle technologie, il n’est toutefois pas inutile de prendre un peu de recul, vu les nombreuses questions éthiques que cela peut soulever. Pour aboutir au résultat escompté, à savoir apporter de réelles améliorations, l’utilisation d’un tel dispositif nécessitera une implémentation réfléchie, vu la complexité du monitoring du corps humain.

Enfin, la protection du secret médical et les aspects de protection des données ne sont pas à négliger et il conviendra d’informer le patient avant le traitement sur le but, la manière de collecter les données, ne traiter que les données nécessaires en vue du traitement, travailler et collaborer avec le patient avec éthique, respect pour l’individu en particulier pour des personnes ayant des troubles psychiatriques, des capacités de discernement réduites de manière permanent ou passagère.

Quelques liens pour aller plus loin:

  • Mittelstadt, Brent, Ben Fairweather, Mark Shaw and Neil McBride. “The Ethical Implications of Personal Health Monitoring.” IJT 5.2 (2014): 37-60. Web. 4 Feb. 2018. doi:10.4018/ijt.2014070104
  • Mittelstadt, B., Fairweather, N.B., McBride, N., Shaw, M., 2011. Ethical Issues of Personal Health Monitoring: A Literature Review, in: ETHICOMP 2011 Conference Proceedings, ETHICOMP 2011, Sheffield, UK.
  • Elin Palm, Anders Nordgren, Marcel Verweij and Göran Collste, Ethically Sound Technology? Guidelines for Interactive Ethical Assessment of Personal Health Monitoring, 2013, Interdisciplinary Assessment of Personal Health Monitoring, 105-114.
  • Nordgren, Anders. (2013). Privacy by Design in Personal Health Monitoring. Health care analysis : HCA : journal of health philosophy and policy. 23. . 10.1007/s10728-013-0262-3.
  • Protection des données et sphère privée dans la santé connectée, article d’un blog pour la recherche et l’innovation dans les nouvelles technologies
  • Notice informationnelle du fabricant Otsuka Pharmaceutical pour Abilify Mycite.

_____________________

Par Gabriel Avigdor | NTIC.ch

Un logiciel d’aide à la prescription médicale est un dispositif médical

Les logiciels  d’aide à la prescription médicale sont des dispositifs médicaux selon la CJUE

Le 7 décembre 2017, la Cour de Justice de l’Union Européenne (“CJUE”) a rendu un arrêt important pour les logiciels d’aide à la prescription médicale dans l’Affaire C-329/16 – SNITEM et Philips c. Premier Ministre des Affaires sociales et de la Santé. Une première jurisprudence qui suit les conclusions de l’avocat général du 28 juin 2017 et qui clarifie enfin les conditions permettant de considérer un logiciel comme dispositif médical.

Ainsi, la CJUE a considéré que la fonctionnalité d’un logiciel d’aide à la prescription médicale et qui permet “l’exploitation de données propres à un patient, aux fins, notamment, de détecter les contre-indications, les interactions médicamenteuses et les posologies excessives” est un dispositif médical (DM), cela même sans action directe dans ou sur le corps humain. Les fonctionnalités de ce logiciel qui visent un tel but sont dès lors soumises à la réglementation sur les dispositifs médicaux et doivent répondre aux exigences de la Directive 93/42/CEE. Par contre, les fonctionnalités de ce même logiciel qui ne répondraient pas à ces conditions ne pas sont soumises à la Directive.

__________________

Le marquage CE est suffisant

La Cour ajoute qu’une fois que le logiciel a obtenu l’apposition du “marquage CE“, une autorité nationale ne peut pas exiger de certification supplémentaire, puisque le marquage CE remplit déjà cette fonction.

Dans cette affaire française, un décret imposait l’obligation de certification pour les logiciels d’aide à la prescription (LAP) et à la dispensation médicale (LAD) prévue à l’article L.161-38 du code de la sécurité sociale (CSS). L’autorité française exigeait une certification spécifique, car elle considérait que les LAP et LAD n’entraient pas dans la catégorie des DM. Faux, a considéré la CJUE en balayant ce raisonnement et rappelant que la volonté de Philips de commercialiser son logiciel ICCA avait clairement une finalité médicale.

Il s’agit d’un arrêt important pour les éditeurs de logiciels actifs dans les logiciels ou les applications mobiles de santé qui souhaitent les mettre sur le marché en Europe, mais également en Suisse. En effet, si dans ses conclusions la Cour rappelle qu’il est obligatoire que le logiciel porte le marquage CE (art. 17 par. 1 de la Directive 93/42/CEE), elle précise toutefois qu’une fois fait, un tel logiciel de santé “peut être mis sur le marché et circuler librement dans l’Union sans aucune autre procédure supplémentaire, telle une nouvelle certification“.

Cet arrêt européen est un allègement qui sert l’industrie et permet de gagner du temps pour la mise sur le marché. Par cette clarification, on permet d’éviter de dépenser, dans le doute, des frais supplémentaires en vue d’une certification complémentaire pour les fonctionnalités bénéficiant déjà du marquage CE. On évite l’étape de la conformité préventive ou par précaution. D’un point de vue juridique, il faudra aussi se demander s’il est possible de se faire rembourser les frais  liés à l’obtention d’une certification inutile, voire illégale en cas d’annulation ou de modification de ce décret. En effet, cette décision est très probablement transposable à d’autres logiciels et potentiellement à d’autres Etats Membres de l’Union européenne.

__________________

Portée de cette décision

Quelle est la portée de cette décision?

D’abord, elle s’applique clairement aux logiciels d’aide à la prescription médicale. Mais pas seulement: cet arrêt clair de la CJUE s’étend potentiellement par analogie à tous les logiciels de santé ou applications mobiles de santé ayant une finalité médicale et qui produisent une action médicale, cela même si ce n’est pas dans ou sur le corps humain. Il est néanmoins nécessaire de procéder à une analyse pour chaque cas de figure.

Ensuite, cette décision s’applique aussi aux hôpitaux qui développent des logiciels ou des applications mobiles de santé, car ils sont considérés comme des fabricants de logiciels, même sans commercialisation, au même titre que le responsable de première mise sur le marché. Il sera dès lors nécessaire pour les établissements de soins qui développent des logiciels de procéder à une analyse des fonctionnalités avant d’être mis sur le marché ou déployé et, cas échéant, apposer le marquage CE.

D’un point de vue territorial, cette décision, bien qu’européenne, s’applique à la Suisse. En effet, la législation sanitaire suisse et Swissmedic renvoient aux Directives européennes et la Suisse reconnaît les logiciels mis sur le marché lorsqu’ils sont au bénéfice du marquage CE.

Enfin, cet arrêt même basé sur la Directive 93/42/CEE conserve sa validité avec l’entrée en vigueur du Règlement UE 2017/745 sur les dispositifs médicaux, qui la remplacera dès le 26 mai 2020.

Cette nouvelle fait écho à mon article de septembre 2016 sur “La réglementation des applications médicales mobiles” qui contient une analyse plus détaillée des conditions de mise sur le marché d’un logiciel de santé mobile aux USA, en Europe et en Suisse. Cette publication contient également des exemples de logiciels et applications mobiles de santé, autre que les logiciels d’aide à la prescription médicale qui peuvent être ou non des DM.

__________________

Plus en détails – Contexte du litige

En France, ce litige est né au sujet du logiciel “Intellispace Critical Care and Anesthesia” (“ICCA”) développé par Philips, qui s’oriente vers les technologies de la santé. Ce programme informatique a pour but l’aide à la prescription médicale et a pour domaine d’application “l’anesthésie et la réanimation et fournit au médecin les renseignements dont il a besoin pour prescrire correctement les médicaments, notamment en ce qui concerne leurs éventuelles contre‑indications, les interactions entre les différents médicaments et les posologies excessives”.

Le litige opposait le SNITEM (syndicat national de l’industrie des technologies médicales) et Philips d’une part, au Premier Ministre des Affaires sociales et de la Santé d’autre part.  Philips soutenait  que son logiciel, déjà au bénéfice du marquage CE n’avait pas besoin, contrairement à ce que prétendait l’autorité française, de faire l’objet d’une certification supplémentaire spécifique aux logiciels d’aide à la prescription médicale, tel que le prévoit un décret français. Philips soutenait que le marquage CE était suffisant, et que d’imposer une certification supplémentaire constituerait une “mesure d’effet équivalent à une restriction quantitative à l’importation“. L’autorité française, de son côté, soutenait que le logiciel: (a) n’était pas un dispositif médical, (b) ne pouvait pas être commercialisé sans l’autorisation des autorités nationales et enfin (c) ne peut pas être mis en vente libre sur la base du seul marquage CE.

En clair, Philips considérait que son logiciel est un dispositif médical et que s’il obtient le marquage CE, il peut être commercialisé sans devoir se conformer à d’autres exigences supplémentaires. Philips obtiendra gain de cause sur cette question.

__________________

Enjeux de cette affaire et  premier précédent

La question centrale de cette affaire posée à la CJUE, n’était pas celle de la certification, mais celle de savoir si, au regard de la Directive 93/42/CEE sur les dispositifs médicaux, le logiciel ICCA doit être qualifié de dispositif médical ou non. La question juridique posée à la CJUE peut paraître un peu banale, mais elle ne l’est en fait pas du tout. En effet, les obligations et les contraintes pour les fabricants de logiciels sont très différentes si le logiciel est qualifié de dispositif médical ou non. Alors que la CJUE ne l’avait fait qu’indirectement dans l’affaire allemande Brain Products GmbH c/ BioSemi VOF e.a., la CJUE se prononce enfin sur les critères permettant de qualifier un logiciel de DM. Dans l’affaire précitée, la CJUE avait seulement mentionné que les logiciels de bien-être sportif ou de fitness ne répondaient probablement pas à la qualification de dispositifs médicaux, tandis que le logiciel permettant d’enregistrer l’activité cérébrale humaine oui.

Cet arrêt rappelle également le renvoi au lignes directrices MEDDEV 2.1/6 de l’UE en matière de logiciels de santé qui font office de base pour déterminer si son logiciel de santé doit faire l’objet de la réglementation européenne sur les DM avant la mise sur le marché, comme l’a rappelé l’avocat général dans ses recommandations du 28 juin 2017.

__________________

CONDITIONS ET EXEMPLES 

Deux conditions cumulatives, rappelle la Cour, doivent être réunies pour qu’un logiciel soit considéré comme un dispositif médical.

1. Condition de la finalité: le logiciel doit être destiné par le fabricant à être utilisé chez l’homme à des fins, notamment, de diagnostic, de prévention, de contrôle, de traitement ou d’atténuation d’une maladie, ainsi que de diagnostic, de contrôle, de traitement, d’atténuation ou de compensation d’une blessure ou d’un handicap;

2. Condition de l’action produite: le logiciel doit produire un effet sur l’être humain, mais il importe peu que, pour être qualifiés de dispositif médical, le logiciel agisse directement ou non sur le corps humain, l’essentiel étant que sa finalité soit spécifiquement l’une de celles visées au chiffre 1.

Il est intéressant de relever que la CJUE précise que la condition de l’action produite  n’est pas déterminante. Au contraire, exiger que l’action produite ait un effet dans ou sur le corps humain pour qualifier un logiciel de dispositif médical, aurait pour effet que les logiciels n’ayant pas cet effet, mais étant destiné à des fins médicales par le fabricant ne seraient pas soumis à la réglementation sur les dispositifs médicaux, ce qui serait contraire à la volonté du législateur.

EXEMPLES SOUMIS OU NON A LA DIRECTIVE:

  • EST UN DM : un logiciel qui procède au recoupement des données propres du patient avec les médicaments que le médecin envisage de prescrire et est, ainsi, capable de lui fournir, de manière automatisée, une analyse visant à détecter, notamment, les éventuelles contre‑indications, interactions médicamenteuses et posologies excessives, est utilisé à des fins de prévention, de contrôle, de traitement ou d’atténuation d’une maladie et poursuit en conséquence une finalité spécifiquement médicale;
  • PAS UN DM : un logiciel qui, tout en ayant vocation à être utilisé dans un contexte médical, a pour finalité unique d’archiver, de collecter et de transmettre des données, comme un logiciel de stockage des données médicales du patient, un logiciel dont la fonction est limitée à indiquer au médecin traitant le nom du médicament générique associé à celui qu’il envisage de prescrire;
  • PAS UN DM : un logiciel destiné à faire état des contre-indications mentionnées par le fabricant de ce médicament dans sa notice d’utilisation;
  • PAS UN DM: un logiciel à usage général utilisé dans un environnement médical

Dans ce cas précis de logiciels d’aide à la prescription médicale, la CJUE précise encore qu’un tel logiciel “qui procède au recoupement des données propres du patient avec les médicaments que le médecin envisage de prescrire et est, ainsi, capable de lui fournir, de manière automatisée, une analyse visant à détecter, notamment, les éventuelles contre‑indications, interactions médicamenteuses et posologies excessives, est utilisé à des fins de prévention, de contrôle, de traitement ou d’atténuation d’une maladie et poursuit en conséquence une finalité spécifiquement médicale“.

__________________

CE QU’IL FAUT RETENIR

Trois grands principes sont à retenir de cet arrêt SNITEM et Philips c. Ministre des Affaires sociales et de la Santé du 7 décembre 2017:

  • Premièrement, la réglementation sur les dispositifs médicaux s’applique aux logiciels de santé pour les fonctionnalités qui répondent à deux conditions cumulatives que sont la finalité poursuivie, car destinées par le fabriquant à être utilisées comme telle et (2) l’action médicale produite par le logiciel;
  • Deuxièmement, seules les fonctionnalités du logiciel répondant à ces critères sont soumises aux règles sur les dispositifs médicaux, et non le code entier du logiciel;
  • Troisièmement, lorsque le marquage CE a été apposé, le logiciel peut librement circuler au sein de l’Union européenne [et donc en Suisse également] et peut être mis sur le marché sans nécessiter de certification supplémentaire.

__________________

Autres conséquences si un logiciel est un dispositif médical?

Si un logiciel est qualifié de DM, il devra respecter le devoir d’annonce pour les DM de classe I. Pour les DM à risque moyen à élevé (IIa, IIb et III) les obligations envers les autorités sanitaires (autorités nationales européenes ou Swissmedic en Suisse) sont plus strictes.

Suivant les conditions applicables, l’observation des produits (suivi des risques liés au dispositif durant tout son cycle de vie) et  la matériovigilence (notification des incidents graves survenus en Suisse ainsi que les mesures de précaution qui ont été prises) sera également nécessaire par le fabricant de logiciel, tout comme le respect d’exigences supplémentaires en matière de sécurité des produits et de contrôle de la qualité. Pour les produits provenant de l’UE, ceux-ci doivent avoir l’apposition du marquage CE, s’ils veulent bénéficier de la libre circulation et ne pas devoir demander d’autorisation de mise sur le marché.

L’ensemble des normes qui régit les DM établit les exigences nécessaires, selon le degré de risque du logiciel, pour autoriser leur mise sur le marché, cela afin de garantir la libre circulation de ces biens en tant que produits sûrs, garantissant la sécurité et la santé des patients. Cette réglementation européenne est applicable en Suisse, puisque la législation sanitaire (dont notamment la LPTh, ODim, OMéd et LRH) ainsi que Swissmedic s’y réfèrent expressément.

Pour aller plus loin:

__________________

Gabriel Avigdor | NTIC.ch

Externalisation de la facturation dans le domaine médical: recommandations

Plus de transparence pour la facturation médicale effectuée par un tiers

______________________________________________________

Dans le domaine médical, la délégation de la facturation à un tiers (outsourcing ou externalisation) est fréquente et comporte plusieurs avantages économiques. L’externalisation vise à augmenter l’efficacité d’une tâche en confiant le travail à une entreprise spécialisée. La sous-traitance permet également une réduction des coûts en personnel et donc une économie des places de travail dans les locaux, mais aussi une responsabilité de l’investissement, une gestion du personnel et une formation effectuées et prises en charge financièrement par le tiers. Enfin, l’on peut bénéficier d’un reporting régulier et une coopération de la part du partenaire contractuel.

Au delà de ces bénéfices, la sous-traitance de la facturation médicale pose aussi des questions pratiques en matière de protection des données et de préservation du secret médical. En effet, l’utilisation de ces données à des fins autres que celles prévues par le contrat entre le professionnel de la santé et le patient, peut être illégal, car contraire (1) à la loi fédérale sur la protection des données (LPD), (2) à l’article 321 du Code pénal suisse (CP) portant sur l’obligation de respecter le secret médical, ainsi qu’à (3) certaines législations cantonales. A titre d’exemple, l’article 80 de la loi vaudoise sur la santé publique consacre cette obligation pour les professionnels de la santé de conserver le secret.

Violations constatées de la LPD et mise à mal du secret médical

______________________________________________________

Le préposé fédéral à la protection des données et à la transparence (PFPDT) a constaté dans son 24e rapport annuel 2016/2017 que certains prestataires traitant les factures pour le compte de médecins saisissaient l’occasion pour utiliser ces données de facturation pour leurs fins propres telles que:

  • la création de base de données sur la solvabilité des patients et leur notation; et
  • la vente de ces données à des tiers (assurances, etc.).

Selon le PFPDT:

les professionnels de la santé se doivent d’être précis et d’attirer l’attention du patient clairement sur les traitements de données prévus effectués par le prestataire, y compris la vente possible à des tiers, et à recueillir le consentement exprès du patient.

Obligation de garder le secret ou consentement explicite

D’un point de vue juridique, les données médicales – données liées à la santé – sont des données sensibles qui requièrent le consentement exprès, et de préférence écrit, du patient (art. 4 al. 5 LPD) pour être transmises à un tiers et utilisées par celui-ci en dehors de la facturation. Leur communication et utilisation à des fins autres que la facturation par le tiers ne peut être effectuée que si le patient a pu y consentir valablement. Ainsi, pour garantir le respect du secret médical, le transfert à un tiers et son utilisation sont soumis à la limitation de l’art. 321 CP et de la LPD (art. 10a al. 1 let b) si le détenteur du secret n’a pas délié le professionnel de la santé. Sauf consentement explicite (ou exprès) du patient, il existe alors une double violation de la LPD et du Code pénal (voire de lois cantonales) qui prohibent la divulgation de données médicales à des tiers.

Que doit contenir mon contrat d’outsourcing?

_______________________________________________

Pour être conforme, le contrat d’outsourcing doit intégrer des dispositions sur la protection des données et leur sécurité. Parmi ces dispositions on songera au moins à intégrer:

Avec un fournisseur basé en Suisse uniquement:

  • une référence aux dispositions la LPD (art. 6 et 10a LPD) pour la sous-traitance ;
  • une assurance du fournisseur qu’il se conformera à la LPD ;
  • une assurance du fournisseur qu’il répondra aux éventuels requêtes d’individus relatives à leurs données ;
  • requérir le consentement préalable du professionnel de la santé ou de l’hôpital en cas de sous-traitance par le fournisseur ;
  • décrire précisément le but de la collecte et indiquer quelles données personnelles sont utilisées ;
  • une obligation pour les employés, auxiliaire, consultants, etc. de se conformer aux mêmes obligations que le contrat et à la LPD ;
  • une obligation pour le fournisseur de garantir la mise en place de mesures technique et organisationnelle pour sécuriser les données ;

Avec un fournisseur nécessitant un transfert transfrontalier :

  • inclure une disposition pour régler un tel transfert de données personnelles vers un pays tiers. Lorsque le pays tiers ne garantit pas un niveau de protection adéquat pour traiter les données, le contrat devra également inclure une obligation :
    • d’intégrer les clauses contractuelles types, telles que les EU model clauses applicables au transfert entre maître de fichiers et sous-traitant (controller-to-processor, ‘C2P’), se fonder sur le Privacy Shield (Attention: le Privacy Shield ne protège pas les données codées “key-coded data”), ou le contrat type de transfert de données du préposé) ;
    • pour le fournisseur de faire signer les EU model clauses (voire privacy shield ou clauses contractuelles équivalentes) à toutes ses filiales qui traiteraient (ce qui inclut l’accès aux données depuis l’étranger) des données personnelles depuis un pays sans niveau de protection adéquat ;
    • d’informer préalablement le professionnel de la santé de tout transfert à un tiers, incluant un droit d’objection, et lui fournir les informations y relatives, tel que l’indentité du tiers et le lieu du datacenter,
    • en cas de sous-traitant du fournisseur, de garantir qu’ils s’engagent aux mêmes conditions contractuelles et légales que le fournisseur.

Selon les recommandations du Préposé:

Quiconque communique des données personnelles à l’étranger doit examiner dans chaque cas si la personnalité de l’intéressé n’en est pas menacée. En d’autres termes, un médecin qui communique des données personnelles à l’étranger doit vérifier si le pays en question dispose d’une protection des données équivalente à celle de la Suisse.

ATTENTION: A noter que, selon les recommandations du Préposé fédéral, l’utilisation de services d’externalisation de données médicales auprès tiers dans le cloud ne peut s’opérer qu’en Suisse, avec un contrat qui interdit au tiers de communiquer ces données à des tiers. Cette mesure serait la seule à garantir le respect du secret médical, dont la divulgation est sanctionnée selon l’article 321 CP.

______________________________________________________

Comment faire en pratique ?

– Recommandations pour respecter la protection des données et le secret médical –

Toujours selon le PFPDT, il n’est ainsi pas suffisant d’indiquer quelque part dans le cabinet médical ou en petites lettres dans un formulaire de consentement que ces données pourraient faire l’objet d’un transfert pour une utilisation autre que de la pure facturation. Le patient doit être informé de manière complète et y consentir sans pression quelconque. Cette note du préposé met l’accent sur le principe de transparence qui implique une information complète fournie au patient avant le transfert de ces données, ainsi que le fondement juridique de la collecte qu’est le consentement exprès.

Pour le patient

La conséquence de cette note du préposé pour les patients est un renforcement de la transparence à leur égard pour mieux les protéger d’une utilisation indue de ces données et de leur sphère privée. Vu que le consentement du patient est requis, le patient doit aussi avoir la possibilité, à tout moment, de retirer son consentement pour l’utilisation qui irait au delà du but premier qu’est la facturation. Dans ce cas, le soignant et le prestataire devront respecter la volonté du patient et limiter le traitement aux fins indiquées par ce dernier, soit l’accès et le traitement uniquement pour effectuer de la facturation.

Pour les professionnels de la santé et hôpitaux

Cette obligation de transparence n’est pas nouvelle. Elle découle déjà de la législation protégeant le secret médical et de la protection des données, mais elle est mise en exergue pour insister sur le fait, qu’en pratique, on ne peut simplement collecter des données et en faire ce que l’on veut. Aller au delà d’un but prévu sans en informer le patient et requérir son consentement explicite est illicite. Le patient doit être en mesure de recevoir cette information, y consentir, et le cas échéant retirer tout ou partie de son consentement au traitement additionnel de ces données à des fins autres que la facturation.

Etant donné que le prestataire est un sous-traitant (data processor), ce dernier doit se conformer aux exigences du maître de fichiers (data controller) pour respecter le traitement licite des données et une utilisation conforme au contrat d’externalisation. La prudence commanderait par conséquent aux professionnels de la santé et aux hôpitaux au moins:

Vis-à-vis du prestataire de :

  • s’assurer que le prestataire n’utilise pas ces données à d’autres fins que ne le permet le contrat;
  • s’assurer que le prestataire respectera cet engagement ainsi que les règles en matière de protection des données, le prestataire n’étant, lui-même, probablement pas astreint au secret médical;
  • en cas d’utilisation d’un fournisseur de service cloud, n’utiliser que des prestataires situés en Suisse qui stockent leur données en Suisse et s’assurer qu’il existe une clause dans le contrat d’externalisation interdisant au fournisseur de transmettre des données médicales non anonymisées à des tiers situés à l’étranger (voir la note du Préposé citée en référence en fin d’article).

Vis-à-vis du patient de :

  • mettre à jour leurs formulaires de consentement, en distinguant clairement et visiblement la partie du consentement à une intervention médicale de celle du consentement à l’utilisation des données médicales par un tiers;
  • si les données devaient être utilisées à d’autres fins que de la facturation:
    • recueillir le consentement du patient après l’en avoir dûment informé; ou
    • l’informer du fait que ces données pourraient ou ont été transmises à des tiers sans son consentement et prendre les mesures adéquates.

Pour les prestataires

Le préposé ne se prononce pas sur la position du prestataire de facturation médicale et de son éventuelle responsabilité civile vis-à-vis du patient pour une utilisation indue des données. Il indique néanmoins que les précautions à prendre sont plutôt pour le protéger du risque lié à la violation du secret et de la protection des données. En effet, le patient aurait le droit de demander réparation pour le préjudice subit, ainsi que l’arrêt, l’effacement, voire la transmission des données à des tiers.

Il pourrait s’avérer utile que le prestataire :

  • conclue un contrat de sous-traitance avec le professionnel de la santé contrat qui délimitera les droits et obligations liées au traitement des données patient ;
  • anonymise les données avant de les transmettre à des tiers, ou à tous le moins mette en place des mesures permettant de diminuer le risque d’identification des patients (hashage, pseudonymisation), ce qui pourrait lui éviter de se voir reprocher une utilisation indue ainsi qu’un blocage de l’utilisation de ces données par le patient ;
  • clarifie avec le médecin ce qu’il entend faire des données et s’il envisage une utilisation qui diffère d’un but de facturation ;
  • requière, le cas échéant, du professionnel qu’il recueille valablement le consentement du patient ;
  • éventuellement prévoie une exonération de responsabilité pour le cas où le professionnel n’aurait pas recueilli valablement ce consentement auprès du patient ; et
  • intègre une clause de remboursement en cas de dommages causés en lien avec la violation du secret.

—

Pour aller plus loin, vous pouvez retrouver les documents suivants sur le site du préposé:

—

Par Gabriel Avigdor | NTIC.ch

Gabriel Avigdor, avocat PME magazine

Avocats 4.0: les futures stars du barreau

“En Suisse romande, une nouvelle génération d’avocats émerge pour répondre aux défis législatifs de la quatrième révolution industrielle”.

Très honoré d’avoir un portrait dans le dernier numéro de PME Magazine de juillet 2017 sur les avocats spécialisés dans les nouvelles technologies dans un article du 28 juin 2017 par Sven Jorganssen.

L’article est disponible ici et la version online peut-être consultée ici.

Bonne lecture.

RGPD – 1 an: un bref retour vers le futur

LE RGPD ARRIVE – ETES-VOUS PRÊTS?

Dans un peu moins d’un an, le règlement général sur la protection des données (GDPR en anglais, RGDP en français) sera directement applicable aux Etats membres de l’Union Européenne. Ce règlement vise avant tout à protéger les droits fondamentaux des individus face au traitement de leurs données personnelles et à réglementer la libre circulation de celles-ci.

QUAND, A QUI ET OÙ

Il sera directement applicable dès le 25 mai 2018  en Europe, mais son application territoriale s’étendra aussi aux responsables de traitement situés en dehors de l’UE, lorsqu’un traitement de données personnelles est lié à l’offre de biens et services en Europe, ou au suivi de comportements de personnes situées en Europe (art. 3 RGPD). L’application du RGPD est donc bien plus étendu qu’en Europe,  la Suisse est donc concernée (tout comme les USA)!

SANCTIONS

Au niveau des sanctions on se rapproche des chiffres que l’on connaît en matière de droit de la concurrence, soit jusqu’à 10% du CA annuel mondial. Ici, les sanctions envisagées par ce texte en cas de violation grave du règlement vont jusqu’à € 20 millions ou 4% du chiffre d’affaire annuel mondial du groupe (art. 83 §5 RGPD).

S’Y PREPARER MAINTENANT

Il est essentiel que toute entreprise suisse se renseigne sur l’applicabilité du règlement à son entreprise, si cela n’est pas déjà fait. En effet, les exigences de ce règlement peuvent impliquer, suivant la taille de l’entreprise, de nombreux changements et adaptations des processus internes et externes avec ses fournisseurs, partenaires commerciaux et clients afin d’être en conformité en mai prochain. Vu que ces changements peuvent avoir des coûts importants, il s’agit du dernier moment pour s’y préparer.

__________________

A RETENIR

Beaucoup ont déjà écrit sur ce sujet (voir la liste en bas).

La plupart des grandes études d’avocats ont par ailleurs déjà développé de nombreux guides outils, documentations ou webinar pour s’y préparer à son entrée en vigueur. Il n’est donc pas question de faire un  xième exposé sur le RGPD, mais plutôt de rappeler les changements clés pour les individus et les entreprises avec les enjeux qui s’y accompagnent.

En somme, que faut-il retenir du RGPD et à quoi faut-il accorder une attention particulière?

Le RGPD va-t-il vraiment changer les choses? En ce qui concerne les entreprises, clairement oui!

  • Il abroge et remplace la Directive UE 95/46/CE et sera directement applicable puisqu’il s’agit d’un règlement.
  • Plus d’entreprises sont concernées: Il s’applique aux Etats membres de l’UE, mais aussi aux acteurs situés en dehors de l’UE, comme la Suisse.
  • Droits des individus renforcés: les droits des individus sont renforcés et l’obligation de transparence devient plus étendue.
  • En particulier les “privacy notice” ainsi que les exigences en matières de consentement sont considérablement renforcées. Tout doit être clair, lisible, compréhensible, simple et le consentement doit être aussi simple à donner, qu’à retirer.
  • Tout responsable de traitement, doit mettre en place les processus internes nécessaires à garantir la conformité au RGPD et doit s’organiser pour pouvoir le démontrer aux autorités en cas d’audit.
  • Une analyse d’impact de protection des données (fameux “DPIA”) doit être effectuée avant tout traitement, lorsque celui-ci implique un risque élevé pour les individus pour le traitement de leurs données personnelles.
  • Les grands principes de protection des données personnelles sont conservés (information, protection, proportionalité du traitement, etc.) avec certains ajouts tels que “privacy by design” – penser à la protection des données dès la conception, “privacy by default” – exigence de protection des données le plus élevé dès le départ, ou encore la “portabilité des données” – possibilité d’exporter ses données dans un format lisible et transférable dans un autre environement.
  • En cas de faille de sécurité  (“data breach“), le responsable de traitement à l’obligation de l’annoncer dans les 72 heures en prenant toutes les mesures nécessaires pour réduire le risque lié à cette faille. Cas échéant,  le responsable de traitement devra aussi notifier les individus.
  • Désignation de data protection officer (DPO)
  • Pour une liste complète, voir les liens en bas de l’article.

Les exigences du RGPD impliquent de s’y préparer. Les entreprises ne peuvent plus ignorer la protection des données, puisqu’elles dont vont devoir considérablement changer leur manière de fonctionner et d’opérer.

__________________

ET LA SUISSE?

La Suisse va-t-elle s’aligner sur le RGPD?  Principalement oui, mais avec quelques différences que l’on peut retrouver dans ce tableau.

  • L’avant-projet de révision de la loi fédérale sur la protection des données a été mis en consultation devant les Chambres fédérales et pourrait entrer en force fin 2018.
  • Quelques différences anecdotiques sont à noter, telles que l’absence de portabilité des données ou encore le droit d’accès des proches du défunt à des données personnelles (ex: cas de refus d’accès à un compte facebook par les parents d’une adolescente décédée), pour n’en citer que quelques unes.
  • L’obligation pour le responsable de traitement de notifier les individus tout changement de sous-traitant est bien plus problématique. En effet, suivant le nombre de sous-traitants (data processors) utilisés, cette obligation sera impossible à mettre en oeuvre pour les grandes entreprises multinationales. Il serait bon qu’une modification législative soit effectuée avant que le texte entre en vigueur, sous peine que de nombreuses entreprises n’arrivent pas à satisfaire à cette obligation.

__________________

LIENS UTILES