Étiquette : avocat

Covid-19

Covid-19 | Conseils juridiques droit et nouvelles technologies pour entreprises

Le monde est en crise et l’économie en pâtit.

La propagation du nouveau coronavirus connu sous le nom de “Covid-19“, de la Chine (province de Wuhan) à l’Europe, puis dans le monde entier, a donné lieu à des mesures sans précédent dans différents pays, dont la Suisse. Les enjeux de santé publique mêlent droit de la santé, protection des données personnelles et nouvelles technologies. Avec le télétravail et l’utilisation d’outils de conférence en ligne, nous saisissons l’occasion pour publier une mini-série juridique, des conseils et des documents à télécharger. Nous souhaitons apporter des informations et solutions simples et pratiques pour mieux comprendre les enjeux juridiques et les répercutions économiques.

L’impact est massif pour les organisations publiques et privées et le but de cette mini-série est d’examiner et de publier tous les lundis, un sujet en lien avec le Covid-19.

_______________________________

NOTRE MINI SERIE JURIDIQUE

Nous nous mobilisons pour fournir des conseils juridiques de base aux individus et entreprises en lien avec le Covid-19.  Comme à l’accoutumée, cette série est bilingue, FR/EN avec même certains épisodes en italien!!  Le premier épisode renseigne sur l’application de la loi sur les épidémies et de son ordonnance fédérale.

Voici la liste de nos épisodes que vous pouvez retrouvez sur notre page dédiée au Covid-19 sur notre plateforme datalex:

Episode 1: Ce qu’il faut savoir sur la loi fédérale sur les épidémies

Episode 2: Télémédecine et droit: recommendations et bonnes pratiques

Episode 3: Sanctions pénales: que risque-t-on ?

Episode 4: Directives médico-éthiques: règles de triage aux soins intensifs

_______________________________

POINT DE VUE SUR LA PROTECTION DES DONNEES EN SUISSE / ALLEMAGNE / BELGIQUE

Pour fournir de plus amples informations en matière de technologies et protection des données, nous participons régulièrement à des wébinaires  sur la protection des données personnelles avec des études d’avocats partout dans le monde faisant partie du réseau PrivacyRules. Voici les quatre parties de notre collaboration avec des experts allemand et belges et des réflexions en matière de protection des données comparées dans ces trois pays.

Les épisodes sont en anglais:

Partie 1:  Position des autorités de protection des données

Partie 2:  Enjeux et solutions possibles

Partie 3:  Conseils pour les entreprises

Partie 4:  Prochaines étapes post-covid-19

_______________________________

IMPACT SUR L’ECONOMIE

Si la décision historique de la suisse de limiter les manifestations à maximum 1000 personnes vise à réduire le risque de propagation du virus, elle a un impact majeur sur les organisateurs d’événements, ainsi que sur d’autres secteurs de l’industrie. Les employeurs doivent faire face à des solutions de travail à distance et mettre en place des politiques sanitaires ainsi que des restrictions de voyage. Ils doivent également veiller à ne pas interrompre la chaîne d’approvisionnement des marchandises, faire face à la résiliation de contrats et leur inexécution.

Les répercussions économiques en Suisse comme partout dans le monde sont énormes. Le salon horloger Watches and Wonders a été annulé le 27 février 2020, suivi du salon de l’automobile à Genève (GIMS), annulé le 28 février 2020. Puis ce fut le Cully Jazz Festival annulé le 10 mars 2020. Les organisateurs ont annoncé ne pas exclure une fermeture définitive, vu les pertes considérables mettant en péril de futures éditions.

Alors que l’Italie vient de décider le 9 mars 2020 de mettre le pays en quarantaine, la France a aussi décidé de limiter les manifestations à un maximum de 1000 personnes. En Espagne, le Salon mondial du mobile de Barcelone a été annulé et devait représenter plus de 110’000 visiteurs et générer 492 millions d’euros de retombées économiques locales, ainsi que plus de 14’000 emplois. Même topo pour le Grand Prix de Chine de Formule 1 prévu le 19 avril à Shanghai qui a été reporté.

Dans cette mini-série dédiée au Covid-19, nous discuterons de sujets clés et fournirons des conseils pratiques. Le premier épisode donne des éclairages sur la loi fédérale sur les épidémies (LEp) ainsi que sur la manière dont les autorités fédérales et cantonales peuvent imposer des mesures en Suisse.

La liste de tous les épisodes de cette série est accessible sur la page des publications de ce blog.

_______________________________

COMPÉTENCES FÉDÉRALES vs CANTONALES

Le 28 février 2020, le Conseil fédéral a décidé, par voie d’ordonnance fédérale, d’interdire les rassemblements publics de plus de 1000 personnes. Cette décision résulte de la flambée du coronavirus “Covid-19”. Il s’agit d’une mesure qui, normalement, incombe aux cantons. Néanmoins, dans des situations d’urgence particulière qui requièrent la protection de la population contre des maladies transmissibles, la Confédération peut édicter des mesures par voie d’ordonnance fédérale. Elle a usé de ce pouvoir pour limiter les rassemblements de personnes. Par ailleurs, l’Office fédéral de la santé publique (‘OFSP‘) a expliqué, dans un communiqué du 28 février 2020, quelles étaient les différentes situations dans lesquelles on peut se trouver lorsqu’il faut faire face à une maladie contagieuse qui met en danger la santé publique.

(1) En situation normale, les cantons sont compétents pour mettre en place les mesures nécessaires pour protéger la population. Il s’agit des mesures de quarantaine et les mesures d’isolement.

(2) En situation particulière,  le Conseil fédéral peut empiéter sur l’autonomie des cantons. Tel est le cas si : (a) les cantons ne peuvent plus exercer leurs prérogatives ou prendre les mesures appropriées s’il existe un risque élevé d’infection et de propagation pour la population, un risque pour la santé publique ou pour l’économie. Cela peut aussi être le cas si: (b) l’OMS décrète une urgence sanitaire sur le plan international menaçant la Suisse.

(3) Enfin, les situations extraordinaires surviennent en cas de “menace extraordinaire pour la santé publique“. Dans de telles circonstances, le Conseil fédéral peut édicter une ordonnance fédérale sans base légale pour intervenir de manière rapide et ciblée.

—

Par Gabriel Avigdor | NTIC.ch

Révision de la LPD: Conférence pour les médecins

Ce jeudi 24 octobre 2019, j’aurai le plaisir d’intervenir et de présenter la révision de la loi fédérale sur la protection des données (LPD). J’aborderai l’état actuel des discussions au Parlement fédéral et les conséquences de ce texte pour les médecins pratiquant en cabinet lors d’une conférence organisée par FMH Services à l’hôtel Aquatis à Lausanne.

Depuis l’entrée en application du RGPD le 25 mai 2018, la protection des données est devenue un thème d’actualité et de préoccupations pour de nombreux secteurs du marché, notamment dans le milieu de la santé. Les différents acteurs de la santé, qu’il s’agisse des institutions de soins, hôpitaux, cliniques ou des médecins, sont particulièrement sensibles à ces changements législatifs vu la sensibilité des données traitées au quotidien.

L’objectif de cette conférence est de faire le tour des nouveautés qu’apportera (vraisemblablement) la révision totale de la loi sur la protection des données en Suisse, notamment les recommandations pour se préparer à ces modifications législatives pour les médecins pratiquant en cabinet privé. Il sera également l’occasion d’aborder l’applicabilité du RGPD ainsi que les bonnes pratiques pour l’utilisation des technologies au cabinet médical ainsi qu’avec les patients.

La révision de la LPD doit viser à renforcer le droit des personnes concernées, en l’occurrence des patients, et à s’aligner sur les standards européens. Nous examinerons dans quelle mesure la révision remplit cet objectif.

________________________________

CONSEQUENCES POUR LA PRATIQUE AU CABINET 

Si la pratique n’a pas que peu changé, les consignes resteront semblables  pour la pratique d’un médecin. Par contre, le grand changement pour les traitement de données médicales se situe au niveau de l’utilisation des nouvelles technologies. Cela implique une vigilance et une diligence accrues de la part des professionnels de santé et des médecins.

Ainsi, la sécurité du dossier patient au cabinet reste plus que primordiale à cause des risques accrus liés à l’utilisation de systèmes d’information. Dans ce cadre, les recommandations du Préposé fédéral restent d’actualité (voir plus bas) et doivent être suivies, tout comme celles émises par le code de déontologies de la FMH et les associations professionnelles.

Il faut noter que les risques s’accroissent avec l’utilisation de système de télémédecine et des moyens de communications non-sécurisés, ainsi qu’en cas d’externalisation (sous-traitance) de services, comme la facturation ou le secrétariat.

________________________________

PLUSIEURS SANCTIONS D’HÔPITAUX ET MÉDECINS EN EUROPE

En Europe, nous avons déjà pu observer des condamnations d’hôpitaux à des sanctions administratives de plusieurs centaines de milliers d’Euros par des autorités de protection des données.

Depuis l’entrée en application du RGPD, la plupart des manquements ont consisté en des défauts de mesures de sécurité appropriées pour protéger les données de patient. De même, la violation du devoir de mettre en place des contrôles pour les droits d’accès à ces mêmes données aux dossiers patient a été souvent la cause des sanctions et manquements par les institutions de santé.

A ce sujet, les décisions européennes suivantes méritent d’être mentionnées:

  • Portugal: mon article et commentaires sur la condamnation d’un hôpital portugais à € 400’000.- d’amende. Mon article évoquait la situation de la Suisse et de la révision de la loi sur la protection des données;
  • Pays-Bas: la condamnation du Haga Hospital (Pays-Bas) à une amende de € 460’000.- pour avoir permis à des personnes non-autorisées à accéder au dossier médical d’une célébrité locale, l’amende concernait le défaut de mesures appropriées pour éviter les accès indus aux dossiers médicaux, notamment sans imposer l’authentification à deux facteurs;
  • Chypre: condamnation d’un médecin à € 14’000.- pour avoir publié sur Instagram des données médicales d’un patient sans son consentement. Après investigation, l’hôpital public a aussi été condamné à € 5’000 d’amende pour ne pas avoir pu retrouver trace du dossier médical suite à une demande d’accès d’un patient.

Ces exemples démontrent l’importance du respect des principes de protection des données. Les principes de bases de sécurité au cabinet et dans les hôpitaux sont primordiaux. Pour garantir une bonne maîtrise sur les données personnelles, il devient indispensable d’implémentation un programme complet de gestion et de protection des données médicales pour tout type d’acteurs de la santé. Ceci doit inclure la formation, des règles de conduite, des contrôles, ainsi que des mesures permettant de limiter au maximum des pertes, fuites et violation des données personnelles et un plan d’action en cas de violation de données pour remédier à la violation et notifier le cas échéant dite violation au préposé.

Même si le régime juridique de la LPD sera différent en Suisse comparé au système de sanctions européens (2% – 4% du chiffre d’affaires ou €10 – €20 Mio), ces règles de base et les principes sont essentiels et doivent être respectées pour éviter d’engager sa responsabilité civile ou pénale pour violation de la loi sur la protection des données, cas échéant du code pénal (art. 321 CP) pour la violation du secret médical. En effet, comme actuellement, le système de sanctions tel que prévu par le texte de loi débattu au Parlement vise uniquement une possibilité pour les individus de passer par des procédures pénales pour violation de la loi fédérale sur la protection des données, avec des sanctions allant jusqu’à CHF 250’000.-.

—

Pour aller plus loin retrouvez mes autres articles sur la protection des données pour les acteurs de la santé:

La CNIL sanctionne Google pour €50 millions sous le RGPD

Ce 21 janvier 2019, la Commission Nationale de l’Informatique et des Libertés (CNIL) a infligé à Google LLC une amende de 50 millions d’euros pour violation du Règlement Général sur la Protection des Données (le “RGPD“).

Dans sa communication du 21 janvier 2019, l’autorité française a infligé à Google l’amende la plus élevée depuis le 25 mai 2018, considérant que Google avait commis des infractions graves au RGPD. Ces violations concernent la mauvaise information des utilisateurs, et la violation du consentement pour les services publicitaires ciblés. La décision complète de 31 pages est disponible ici.

UNE DECISION PARTIELLE ! Il est important de noter que cette décision est limitée à l’enquête de la CNIL relative à la configuration d’un nouvel appareil Android qu’un utilisateur utilise pour la première fois. Les investigations ne concernent uniquement les notices d’informations fournies aux utilisateurs lors de la création d’un compte utilisateur lors de configuration de leur nouveau téléphone Android et non pour les autres services. Par conséquent, vu que la plainte complète n’a pas encore été examinée par la CNIL, cette affaire est loin d’être terminée. La portée de l’affaire n’est donc que partielle, et les investigations complètes sont plus largement liées à la publicité ciblée sur les plateformes Youtube, Gmail et Google Search vont se poursuivre. Nous verrons quelles seront les conclusions de la CNIL sur la manière avec laquelle Google pourrait “forcer” les utilisateurs à consentir au partage de leurs données via les services de publicité ciblée.

On peut donc s’attendre à d’autres rebondissements la part de la CNIL dans les prochains mois à venir. Cette affaire n’est que le début d’une longue série. Les deux organisations ont également déposé (comme expliqué ci-dessous) des plaintes similaires contre d’autres GAFAM et ce, dans plusieurs juridictions.

________________________________

CONSTATATIONS DE LA CNIL

Après investigations, la CNIL a considéré que Google n’avait pas respecté ses obligations sous le RGPD pour trois raisons principales : (1) manque de transparence (art. 5 du RGPD), (2) information insuffisante (art. 12 et 13 du RGPD) ; et (3) collecte non valide du consentement (art. 7 du RGPD).

Les deux plaintes ont été déposées par l’organisation à but non lucratif “None Of Your Business” (NOYB) créée par Max Schrems et l’association La Quadrature du Net, une association française qui regroupe les plaintes de 9’974 personnes. Ces deux organisations reprochaient aux services de Google, dont les services de publicité ciblée sous Android OS, de violer le principe de transparence, de traiter les données sur la base d’un fondement juridique valable (art. 6 RGPD) tel que le consentement. Selon les plaignants, en ne respectant pas ses obligations, Google aurait contraint les utilisateurs à partager une quantité massive de données personnelles sans leur consentement et compromettant ainsi leur vie privée.

Les plaintes déposées auprès de la CNIL et les griefs émis contre Google viennent d’être acceptées et confirmées par la CNIL dans ses conclusions du 21 janvier 2019. Il est intéressant de lire sur le blog de NOYB que Google vient de déménager son siège européen en Irlande à compter du 22 janvier 2019, et aura pour autorité principale de référence (lead supervisory authority) l’autorité irlandaise (Irish Data Protection Commision) de protection des données.

Considérations intéressantes de la CNIL. Dans ses considérants, l’autorité française explique qu’avec les services actuels de Google, vu notamment la manière avec laquelle les données des utilisateurs sont collectées, le volume des traitements et le type de données collectées

il résulte que ces données collectées via les services de publicité ciblée révèlent des pans entiers de la vie d’une personne

Ces traitements étant considérés comme très intrusifs pour les individus, le risqué pour la sphère privée est élevé. La CNIL a également noté dans ses considérants que le modèle économique de Google reposait en partie sur ces services de publicité ciblée.

Enfin, la CNIL nous explique que, pour l’essentiel, malgré les efforts de Google pour modifier ses processus, l’entreprise n’est toujours pas conforme au RGPD. Cela signifie que tant que Google ne se conformera pas au Règlement, elle pourra être confrontée à d’autres plaintes et, éventuellement, à d’autres amendes, à moins de changer radicalement toutes ses notices d’informations et la manière de collecter le consentement.

________________________________

BREF RETOUR SUR L’HISTOIRE DE CETTE AFFAIRE

Deux plaintes massives les 25 et 28 mai 2018 pour 7,6 milliards d’euros

25 mai 2018. Max Schrems – l’étudiant autrichien militant de la protection de la vie privée qui a causé l’annulation du Safe Harbor par la Cour de justice européenne – a fondé une organisation à but non lucratif appelée “None Of Your Business” (NOYB) pour aider les consommateurs à déposer plainte et faire valoir leurs droits contre les grandes entreprises, telles que les GAFAM, et leurs permettre de saisir les autorités pour faire respecter et protéger leur vie privée. Le jour où le Règlement Général sur la Protection des Données est devenu exécutoire au 25 mai 2018, Max Schrems a poursuivi Instagram (Belgique), WhatsApp (Hambourg), Facebook (Autriche) et Android (France) avec des plaintes massives totalisant quelques € 7,6 milliards via l’ONG NOYB pour violation du RGPD.

28 mai 2018. Le 28 mai 2018, le groupe français de défense des droits numériques “La Quadrature du Net” a déposé une plainte respectivement contre Google, Apple, Facebook, Amazon et LinkedIn devant la CNIL au nom de 12.000 personnes pour traitement illicite de leurs données personnelles.

La sanction de 50 millions d’euros infligée aujourd’hui par la CNIL n’est qu’une sanction contre une seule entreprise – Google LLC – et dans une seule juridiction. D’autres sanctions sont très probablement à venir si d’autres autorités suivent les arguments et considérations de la CNIL, de plus comme nous l’avons mentionné, cette sanction n’est qu’une décision partielle de toute l’affaire liées à la publicité ciblée et au consentement forcé des utilisateurs.

En termes de procédure, Google peut faire appel contre cette sanction et contester l’amende (edit 24-janv-2019) ce que l’entreprise vient d’annoncer publiquement. Même si l’amende reste faible par rapport aux €4mia qu’elle peut encourir en cas d’amende maximale, le montant est élevé pour cette affaire. En faisant appel contre cette décision, Google va initier ce qui sera un premier précédent dans l’interprétation des exigences du RGPD sur l’information et sur comment recueillir valablement le consentement, en particulier dans le domaine de la publicité ciblée.

L’appel de Google est par conséquent, hautement stratégique. Ne pas contester cette amende laisserait la place à d’autres sanctions plus sévères, vu que l’affaire n’est encore que partielle. De plus, cela pourrait être perçu comme une manière indirecte de reconnaître sa responsabilité et la mise en place de pratiques non-conformes. Enfin, Google se défend en arguant qu’elle a travaillé dur pour mettre en place une collecte de données afin de respecter la transparence. Nous verrons si son travail aura été suffisant ou non.

________________________________

L’AFFAIRE VUE D’UN PEU PLUS PRES

La CNIL fournit les explications suivantes pour justifier la sanction contre Google :

  • Violation du principe de transparence : le principe de transparence concerne la manière d’informer les individus sur les activités de traitement des données opérés par le responsable de traitement. Ceci prend généralement la forme de politiques de confidentialité ou de notices d’informations (selon les termes utilisés). L’information contenue dans ces notices se doit d’être concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, en particulier pour toute information destinée spécifiquement à un enfant (art. 12 al. 1 GDPR).

Google conforme ? Mmh, pas vraiment. Google a disséminé ces informations un peu partout dans sa plate-forme et dans ses pages liées à la confidentialité, lesquelles ne sont accessibles que par des liens ou des boutons sur lesquels il faut cliquer pour aller plus loin et en savoir plus. Cette méthode chronophage décourage la plupart des utilisateurs de trouver les options pour désactiver ou configurer le niveau de protection de la sphère privée. Cette manière de faire rend l’accès et la compréhension à ces pages et options difficile. Au final, toutes ces informations n’étaient accessibles qu’après 5 ou 6 actions, et après plusieurs étapes pour obtenir une liste des données collectées. Ainsi, l’information fournie par Google n’était pas claire, trop vague et décrite de façon trop générique. Si personne ne prend le temps de lire ces informations, elles ne sont pas fournies correctement et sont contraires au RGPD et au principe de transparence. De plus, Google n’avait pas informé les utilisateurs sur la durée de conservation de certaines données personnelles.

  • Consentement invalide : Pour rappel, le consentement n’est pas toujours nécessaire. Mais lorsqu’il est utilisé comme fondement juridique pour traiter des données personnelles, il se doit d’être recueilli de manière particulière. Selon la CNIL, Google a clairement, et de manière plutôt crasse, manqué à ses obligations de requérir valablement le consentement des utilisateurs pour traiter leurs données personnelles. En l’espèce, la CNIL a constaté une telle violation pour les options de publicité personnalisée, selon les deux motifs suivants :

Le consentement n’était pas éclairé. Cela signifie que les utilisateurs ne sont pas en mesure de comprendre effectivement la portée de l’utilisation de leurs données pour les activités de traitement. Par exemple, dans la section “publicité personnalisée“, il n’est pas possible de voir combien de services sont utilisés, ni combien de sites et applications sont liées au traitement de ces données. En somme a aucune information n’est disponible de manière claire sur le volume de données personnelles que ces services traitent ou pourront traiter ou combiner avec d’autres services.

Le consentement n’était ni spécifique, ni univoque (pas ambigu) malgré le fait que les utilisateurs pouvaient sélectionner des options dans les paramètres de configuration.

Pour rappel, l’article 7 du RGPD prescrit que pour être valide :

la demande de consentement est présentée sous une forme qui la distingue clairement de ces autres questions, sous une forme compréhensible et aisément accessible, et formulée en des termes clairs et simples

Avec les services et options de publicité ciblée de Google, les utilisateurs ne pouvaient accéder à ces paramètres qu’en cliquant sur “plus d’options” et n’avaient pas accès immédiatement à ces options. Une étape supplémentaire était donc nécessaire et plus il y a d’étapes, plus l’on décourage l’utilisateur de passer du temps à configurer ces options. De plus, la case à cocher pour l’option de “publicité ciblée” était pré-cochée par défaut, ce qui oblige l’utilisateur à la désactiver manuellement. L’option reste active si l’utilisateur ne fait rien, à moins qu’il y ait une action de sa part pour désactiver l’option. L’utilisation de cases pré-cochées est contraire au principe de protection des données par défaut (Privacy-by-default) selon l’art. 25 RGPD. Cette disposition exige de désactiver tous les réglages ou paramètres par défaut afin d’appliquer une protection maximale de la confidentialité à l’utilisateur. Il appartient dès lors à celui-ci de décider s’il souhaite augmenter le niveau “d’intrusion” dans sa vie privée pour accepter de partager ses données personn

Enfin, Google n’a fourni qu’une seule case à cocher pour plusieurs finalités ce qui apparaît comme suit :

“J’accepte les conditions générales de Google” et “J’accepte que mes données soient utilisées comme décrit ci-dessus et comme indiqué dans la politique de confidentialité“

Pour la finalité du traitement, on appelle cela un consentement groupé (bundled consent), qui n’est pas spécifique à chaque finalité (but du traitement) et ne fournit aucun détail afin de permettre à l’utilisateur de choisir quels buts du traitement il accepte pour le traitement de ses données. Une telle pratique n’est pas conforme aux exigences du RGPD et viole les articles 7, 12 et 13 du RGPD sur le consentement valable et l’information complète.  Lorsque plusieurs finalités de traitement existent, les utilisateurs doivent avoir la possibilité de ne consentir qu’aux finalités qu’ils souhaitent. Le fait d’avoir plusieurs finalités (purpose) incluses et cumulées, ne permet pas de les découpler et de les sélectionner au cas par cas.

________________________________

CES EXIGENCES SONT-ELLES NOUVELLES AVEC LE RGPD?

Oui et non.

Oui, les exigences relatives à la collecte d’un consentement valide ont été considérablement renforcées. Il n’est pas aussi facile qu’auparavant de recueillir un consentement valide et, comme ce cas le démontre, il y a des personnes et des autorités qui peuvent avoir un mot à dire et imposer une amende à votre organisation.

Non, les principes du consentement, de la base juridique valable (legal basis for processing) et de l’information des personnes concernées par une déclaration de confidentialité ne sont pas nouveaux en Europe ni en Suisse ou dans les pays ayant adoptés une législiation complète sur la protection des données. L’obligation de traiter les données à caractère personnel selon un motif légitime existait déjà sous l’empire de la directive 95/46/CE et s’applique aussi sous la loi fédérale sur la protection des données en Suisse (LPD). Une entreprise responsable de la collecte et du traitement de données personnelles (data controller) doit justifier le traitement sur la base d’un motif valable.

Pour rappel, le RGPD propose 6 bases légales différentes pour justifier le traitement des données personnelles (article 6 du RGPD), lesquelles sont :

  • le consentement ;
  • l’exécution d’un contrat ;
  • le respect d’une obligation légale ;
  • protéger les intérêts vitaux des personnes physiques ;
  • l’exécution d’une mission effectuée dans l’intérêt public ou dans l’exercice de l’autorité publique ; et
  • l’intérêt légitime.

En l’absence de base juridique valable, le traitement devient illicite et le traitement des données doit être arrêté. Chacune de ces bases légales a ses avantages et ses inconvénients, mais lorsque vous utilisez le consentement, vous devez veiller à le recueillir selon les prescriptions strictes du RGPD (voir ci-dessus). Avec le RGPD, le consentement est devenu plus difficile à obtenir et lorsqu’il n’est pas obtenu valablement le traitement devient illégal.

Voilà ce qui est arrivé à Google LLC dans cette affaire liée à la publicité ciblée, mais qui n’est à ce jour que la première partie d’une longue série de péripéties des GAFAM en 2019. Affaires à suivre !

________________________________

Par Gabriel Avigdor | NTIC.ch | Digital Lawyer

Vidéoconférence : Logiciels de santé et dispositifs médicaux

En matière de santé connectée et dispositifs médicaux, l’une des questions importante d’ordre juridique et réglementaire concerne les conditions légales, et la procédure à suivre, pour tout fabricant ou éditeur de logiciel de santé pour le développement de logiciel de santé qui peut être considéré comme un dispositif médical. Cela inclut les hôpitaux qui peuvent être considérés comme fabricants de dispositifs médicaux.

Le 4 juin 2018, j’ai eu l’honneur de présenter cette problématique au Centre de Recherche Clinique (CRC) des Hôpitaux Universitaires de Genève (HUG), présentation qui a été filmée et que vous trouverez ci-dessous. Cette présentation de 35 minutes n’est pas exhaustive et vise à apporter les bases élémentaires pour comprendre pourquoi un logiciel peut devoir être annoncé, obtenir une autorisation de Swissmedic, voire procéder à des essais cliniques après approbation d’une commission d’éthique.

Bon visionnage !

________________________________

POURQUOI CETTE CONFERENCE SUR LES LOGICIELS DE SANTE ?

L’innovation et les profonds bouleversements dans le domaine de la santé sont accélérés par la numérisation des données patients. L’essor phénoménal des nouvelles technologies de l’information et de la communication (NTIC) appliquées au domaine de la santé et les technologies avancées (intelligence artificielle, blockchain, etc.) nécessite une certaine prudence et vigilence tant pour les patients, que les professionnels de la santé et des précautions pour les acteurs de l’innovation et des assureurs.

De nombreuses et épineuses questions juridiques, éthiques, sociétales et assécurologiques se posent et requièrent une attention particulière de la part des professionnels de la santé et des experts en matière de technologies dès la conception des technologies de santé connectée (digital health et eHealth). Ainsi, l’accès au marché des applications de santé est réglementé, non seulement par les règles de droit médical, de la protection des données (LPD et RGPD), mais doit parfois passer par une procédure de certification, notamment le marquage CE et faire l’objet d’une annonce ou validation pour être distribué ou utilisé en hôpital.

J’en parlais déjà en 2016, dans mon article intitulé “La réglementation des applications médicales mobiles“, publié au sein du recueil édité par l’institut suisse de droit de la santé de Neuchâtel (IDS) et dans mon analyse de l’affaire européenne Philips et SNITEM de décembre 2017. Dans ce dernier article, j’y analyse les conséquences de la décision de la CJUE sur les logiciels d’aide à la prescription et dispensation médicale (LAP et LAD), mais également pour tous les autres logiciels de santé en Europe et en Suisse suite au procès gagné par Philips.

Pour toute question complémentaire, vous pouvez me contacter directement par e-mail.

—

Pour aller plus loin:

Première pilule connectée à un smartphone approuvée par la FDA

ABILIFY MYCITE: UNE PREMIERE POUR LA SANTE CONNECTEE

Une page importante s’est tournée dans l’histoire de la santé connectée le 13 novembre 2017. La FDA, l’autorité américaine de régulation des médicaments et des dispositifs médicaux, a  approuvé la mise sur le marché de ‘Abilify MyCite’, une pilule qui envoie un signal à un patch collé sur les côtes du patient et qui communique par bluetooth à une App médicale. Il s’agit de la première pilule connectée permettant de suivre l’ingestion de médicaments par un patient. Abilify est le nom commercial d’un médicament contenant de l’“aripiprazole“, molécule utilisée pour le traitement des personnes atteintes de schizophrénie, et pour le traitement et la prévention des récidives des épisodes maniaques modérés à sévères du trouble bipolaire de type I. 

L’approbation pour la mise sur le marché de cette pilule cumulée à celle du patch  connecté est une première pour la FDA, a commenté le Pharmacytimes, même si le senseur lui-même utilisé avec l’aripiprazole était déjà autorisé depuis 2012 par l’autorité américaine.  Plus d’informations spécifiques à cette approbation peuvent être consultées sur le site de la FDA.

________________________________

TECHNOLOGIE – COMMENT CA MARCHE?

D’un point de vue technologique, le senseur intégré dans la pillule Abilify Mycite se synchronise avec une application smartphone du patient, via le patch collé à la surface de la peau au niveau des côtes. Le patient ingère la pilule et une alerte est envoyée à un objet connecté (smartphone) via l’App mobile du patient. Si le patient partage ses données avec son médecin, ce dernier peut dès lors surveiller la prise de médicament. Selon des informations du site de la chaîné télévisée américaine PBS, les chercheurs œuvrent aussi à fabriquer des comprimés électroniques recueillant des paramètres comme la température interne du corps durant plusieurs jours.

________________________________

ASPECTS TECHNIQUES

Techniquement, LiveScience relate que la pilule intègre une puce en silicone dotée d’un circuit logique, composés de cuivre et de magnésium. Lorsque le senseur est mis dans une solution aqueuse, ou dans toute autre solution contenant des molécules polarisées, (tel que l’acide chlorhydrique – HCL – contenu dans l’estomac et qui dissout la pilule en conservant le senseur intact), ce dispositif génère un très faible courant, mais suffisant pour que la puce s’active. Techniquement, il s’agit d’une source de courant partielle et “le patient devient la batterie”.

Une fois activée, la puce de 1 mm de long et 0,3 mm envoie un signal très simple permettant d’encoder un seul nombre. Ce nombre identifie la pilule et indique à l’objet porté par le patient (le senseur sous la forme d’un bandage adhésif) que le médicament a été ingéré. Le signal n’est pas envoyé sous la forme d’un signal radio, mais le circuit logique émet un faible courant modulé, dont le niveau peut se représenter graphiquement comme une onde sinusoïdale. Dès lors que le corps humain est conducteur, le senseur perçoit ces changements et le courant modulé est capable d’encoder des 1 et des 0, de manière similaire à un signal FM.  Au fond, le fonctionnement est semblable à celui d’une ECG (électro-cardiogramme), puisque ces machines détectent les changements de courant électrique dans le corps humain afin de surveiller la fréquence cardiaque. Le senseur collé sur la peau a la même fonction, bien que que le courant soit plus faible.

La pilule est conçue pour ne fonctionner que durant 3 minutes environ, soit juste assez de temps pour envoyer un signal au patch permettant de le mettre en marche et récolter les données nécessaires pour comptabiliser l’ingestion du médicament par le patient. Cela a pour effet d’économiser des batteries, et permet au senseur de fonctionner pendant toute une semaine.

Le patch et les senseurs sont fabriqués par la société Proteus Digital Health et la molécule d’aripiprazole mise sur le marché par l’entreprise pharmaceutique japonaise Otsuka Pharmaceutical.

________________________________

ENJEUX ETHIQUES ET JURIDIQUES

 SUIVI DU PATIENT ET REDUCTION DES COÛTS DE LA SANTE

Le PHM (Personal Health Monitoring) comporte au moins deux avantages relatifs:

  • A L’OBSERVANCE, soit le fait de s’assurer que le patient souffrant de maladie mentale prenne régulièrement sa médication. Ceci peut être particulièrement intéressant pour les patients qui peuvent se trouver dans un état d’incapacité de discernement (comme pour les personnes âgées). Aux Etat-Unis, une étude menée par le National center for biotechnology information a démontré qu’un schizophrène sur deux répondant bien aux médicaments existants ne suivait pas son traitement de manière satisfaisante. L’observance (bon suivi d’un traitement) est donc également un enjeu important pour les patients atteints de maladies mentale;
  • AUX COÛTS DE LA SANTE, qui seraient réduits par la réduction de personnes oubliant de prendre leur pilule. Les conséquences sont d’ordre médicales et économiques. En effet, une personne qui ne prend pas, ou qui oublie de prendre ses médicaux, peut voir sa santé se dégrader, et nécessiter plus de médicaments, une ré-hospitalisation, voire une opération en cas d’indicent. Cet article indique notamment que les coûts pour le contribuable liés aux patients qui oublient de prendre leur médicaments pourraient s’élever à quelque $ 100 milliards. Un rapport américain prétendrait même des chiffres compris entre $100 et $300 milliards…
*  *  *
AVANCEE TECHNOLOGIQUE OUI, MAIS EST-CE UN PROGRES?

Cette avancée technologique est notable et le potentiel pour la réduction des coûts de la santé important. Pourtant, cela ne fait pas l’unanimité, notamment au sein du corps médical, et il est légitime de se demander dans quelle mesure l’utilisation d’une nouvelle technologie peut contribuer à une amélioration, non juste à un progrès scientifique. Qu’est-ce que le progrès apporte de plus, de mieux qu’avant ce progrès ? Peut-on déduire de cet apport scientifique que les bénéfices pour le patient l’emporteront sur les bénéfices financiers par exemple ?  Certains ont déjà manifesté des réticences et les questions liées à la surveillance de la santé ont déjà fait l’objet de recherches et de publications scientifiques sur ce domaine complexe (voir quelques références en fin d’article).

Bien que certains parlent de Big Brother médical ou biomédical selon le New York Times, la surveillance de la santé pose de nombreuses questions éthiques, dont au moins 8 sont à noter:

  1. vie privée et risques pour l’ingérence dans la vie privée du patient, collecte de données sensibles, voire biométriques du patient et d’un traitement de ces données de santé conforme à la volonté d’un patient qui peut être en incapacité de discernement;
  2. visibilité et caractère invasif – aspects liés au fait que des tiers peuvent s’apercevoir qu’une personne fait l’objet d’une surveillance médicale (probablement pas dans le cas d’Abilify, mais oui ) et qu’on considère dès lors différemment la personne parce qu’on la voit comme un “malade” ou qu’en société cette personne fasse plus l’objet, soit d’une discrimination, soit être plus vulnérable;
  3. (sur)médicalisation – cela peut aboutir à une situation où l’environnement de vie du patient devient le point central de traitement avec une perte de la séparation entre lieu privé et lieu de soins. A cela s’ajoute une stigmatisation liée au fait d’être sous surveillance;
  4. isolation sociale – par le fait que le patient ne se déplace plus pour procéder à son check-up régulier, le patient s’exclut de la société avec les conséquences psychologiques et médicales en cas de baisse de motivation, moral, etc.;
  5. autodétermination en matière médicale – quelle place pour le choix du patient lorsqu’il est suivi par son médecin qui peut savoir qu’il ne suit plus le traitement indiqué? Cela n’induit-il pas une certaine pression sur le patient?
  6. honte et aspects identitaires – quelles répercutions sur la personnalité du patient qui est perçu par la société comme marginal, si son traitement est visible?
  7. fourniture de soins – comment les soins sont-ils dispensés lorsqu’ils se font à distance et que le patient ne se déplace plus, est-ce une manière efficace de soigner, cette manière peut-elle être exclusive ou doit-on la combiner avec des rendez-vous physiques?
  8. sécurité, fiabilité et technologie mis en place

Ces aspects créent-t-ils une dé-responsabilisation du patient ou plutôt sur-responsabilisation, sont-ils bénéfiques ou néfastes?

On peut encore se poser la question des conséquences d’un point de vue assécurologique (assurances) si le patient ne prend pas sa pilule alors qu’il est surveillé, que cela soit avec ou sans dégradation de l’état de santé du patient.  Suspension, réduction, arrêt du remboursement des soins, mesures médicales ? Comment et sous quelles conditions ces informations pourraient être transmises à l’assureur de base ou complémentaire?

CONCLUSION INTERMEDIAIRE

Il existe donc de nombreuses, et sérieuses, interrogations sur les bénéfices réels du monitoring du corps humain par le patient ou un tiers autorisé ainsi que des questions juridiques et éthiques. Le risque d’ingérence dans la vie privée allant au delà du nécessaire, l’utilisation dérivée de cette surveillance et la pression induite, poussent à se demander dans quelle mesure les patients peuvent valablement consentir à ces mesures ou à pouvoir retirer leur consentement à ces mesures, ainsi qu’au traitement de leurs données personnelles. De plus, le fait que les patients atteints de troubles d’ordre psychiatrique  peuvent se trouver en situation d’incapacité de discernement pose encore des questions épineuses.

Les capteurs/senseurs intégrés dans Abilify sont (très probablement) configurés par défaut pour ne collecter que les informations utiles à la prise ou non du médicament. Soit le patient l’a prise, soit pas.  Mais, dès lors qu’il s’agit de capteurs, ceux-ci pourraient potentiellement collecter et traiter bien d’autres données que celles prévues au départ. Il pourrait s’agir de la fréquence cardiaque, de la quantité de sommeil, de la forme physique dans laquelle on se trouve, etc. La préoccupation principale serait une utilisation malintentionnée qui pourrait être faite de ces données par des organisations ou entreprises. De plus, comme pour toutes nouvelles technologies, nous n’avons que très peu de recul sur le potentiel et les risques, et peu de réglementation ou lignes directrices ont été publiées, comme l’indique cet article.

*  *  *
ATTENTION  AU RESPECT DE LA VIE PRIVEE ET AU SECRET MEDICAL

Un pilule connectée pose des questions liées à la sphère privée et à la protection des données. D’un point de la protection des données en Europe et en Suisse, ces données médicales entrent, lorsqu’elles permettent directement ou indirectement d’identifier un individu, dans la catégorie de données sensibles. Il en va de même des données biométriques qui sont une catégorie nouvellement intégrée dans le RGDP (art. 4 (14) RGPD) et dans le projet de révision de loi fédérale sur la protection des données (art. 4 let. c ch. 4 Projet-LPD).

Ainsi, tout traitement de ces données est illicite à moins que le responsable de traitement ne démontre une base juridique valable, telle que le consentement explicite (art. 9 §2 (a) RGPD, ou exprès du patient (art. 4 al. 5 et 13 al. 1 de la LDP). Le recueil de ce consentement doit s’opérer par le biais d’une information suffisante, doit s’exprimer de manière libre, être exposée clairement et sans ambiguïté, pour le traitement en question décrivant le but, la nature, ce qui en est fait, etc., par le professionnel de la santé et d’éventuels tiers pour qu’il soit valable (principe de transparence et consentement libre et éclairé).

Le fait de fournir des services en matière médicale implique le respect non seulement des règles en matière de protection des données, mais aussi de secret médical, dont seul le patient est le maître. Toute violation peut entraîner, sur plainte, une responsabilité pénale (art. 320 et 321 CP, art. 35 LPD, entre autres). En cas d’utilisation de ces données et si elles sont transmises à des tiers, tels que des sous-traitants, sans l’autorisation préalable exprès, le traitement est illicite et le responsable de traitement peut se voir condamner pénalement pour violation de ce secret. Sous l’angle de la protection des données, ce secret doit être garanti par le responsable de traitement et ses éventuels sous-traitants suisses (art. 9 §2 (h) et 9 §3 du RGDP), ou dans certains cas limités prévus par la loi, justifiée par des intérêts privés prépondérants (art. 13 al. 2 LPD). Selon le préposé fédéral à la protection données, ces données ne devraient d’ailleurs pas quitter la Suisse, ce qui exclurait l’utilisation des solutions cloud avec transmission de données transfrontières hors de la Suisse, sans consentement du patient et garanties suffisantes. A ce sujet, voir ma précédente note sur les recommandations du préposé fédéral en matière d’outsourcing pour l’externalisation de la facturation en matière médicale.

Enfin, pour les responsables de traitement soumis au RGPD, une violation de données pourrait conduire une autorité à prononcer des sanctions pouvant aller jusqu’à 2 à 4% du chiffre d’affaire annuel du groupe ou 10 à 20 millions selon les art. 83 ss du RGPD.

On ne peut que vivement recommander d’appliquer des méthodes de protection des données dès la conception (privacy by design) et par défaut (privacy by default) pour ce genre de technologies. Ce guide de considérations éthiques peut être un premier élément de départ en plus de connaître les exigences légales.

________________________________

CONCLUSION

L’approbation par la FDA de ce médicament connecté est un signal très fort et positif pour l’industrie et l’innovation en matière de santé et médicaments connectés, les technologies avancées en matière de sciences de la vie et dispositifs médicaux connectés.L’amélioration potentielle de la qualité de vie des patients, la facilité et l’efficacité du traitement, la réduction potentielle des coûts de la santé est notable et il faut se réjouir que ces initiatives réussies permette de réfléchir sur les manières d’aborder les nouvelles manières de se soigner grâce aux technologies. Il faudra dès lors s’attendre à bien d’autres innovations de ce type qui suivront dans les années à venir.

Comme pour toute nouvelle technologie, il n’est toutefois pas inutile de prendre un peu de recul, vu les nombreuses questions éthiques que cela peut soulever. Pour aboutir au résultat escompté, à savoir apporter de réelles améliorations, l’utilisation d’un tel dispositif nécessitera une implémentation réfléchie, vu la complexité du monitoring du corps humain.

Enfin, la protection du secret médical et les aspects de protection des données ne sont pas à négliger et il conviendra d’informer le patient avant le traitement sur le but, la manière de collecter les données, ne traiter que les données nécessaires en vue du traitement, travailler et collaborer avec le patient avec éthique, respect pour l’individu en particulier pour des personnes ayant des troubles psychiatriques, des capacités de discernement réduites de manière permanent ou passagère.

Quelques liens pour aller plus loin:

  • Mittelstadt, Brent, Ben Fairweather, Mark Shaw and Neil McBride. “The Ethical Implications of Personal Health Monitoring.” IJT 5.2 (2014): 37-60. Web. 4 Feb. 2018. doi:10.4018/ijt.2014070104
  • Mittelstadt, B., Fairweather, N.B., McBride, N., Shaw, M., 2011. Ethical Issues of Personal Health Monitoring: A Literature Review, in: ETHICOMP 2011 Conference Proceedings, ETHICOMP 2011, Sheffield, UK.
  • Elin Palm, Anders Nordgren, Marcel Verweij and Göran Collste, Ethically Sound Technology? Guidelines for Interactive Ethical Assessment of Personal Health Monitoring, 2013, Interdisciplinary Assessment of Personal Health Monitoring, 105-114.
  • Nordgren, Anders. (2013). Privacy by Design in Personal Health Monitoring. Health care analysis : HCA : journal of health philosophy and policy. 23. . 10.1007/s10728-013-0262-3.
  • Protection des données et sphère privée dans la santé connectée, article d’un blog pour la recherche et l’innovation dans les nouvelles technologies
  • Notice informationnelle du fabricant Otsuka Pharmaceutical pour Abilify Mycite.

_____________________

Par Gabriel Avigdor | NTIC.ch

Externalisation de la facturation dans le domaine médical: recommandations

Plus de transparence pour la facturation médicale effectuée par un tiers

______________________________________________________

Dans le domaine médical, la délégation de la facturation à un tiers (outsourcing ou externalisation) est fréquente et comporte plusieurs avantages économiques. L’externalisation vise à augmenter l’efficacité d’une tâche en confiant le travail à une entreprise spécialisée. La sous-traitance permet également une réduction des coûts en personnel et donc une économie des places de travail dans les locaux, mais aussi une responsabilité de l’investissement, une gestion du personnel et une formation effectuées et prises en charge financièrement par le tiers. Enfin, l’on peut bénéficier d’un reporting régulier et une coopération de la part du partenaire contractuel.

Au delà de ces bénéfices, la sous-traitance de la facturation médicale pose aussi des questions pratiques en matière de protection des données et de préservation du secret médical. En effet, l’utilisation de ces données à des fins autres que celles prévues par le contrat entre le professionnel de la santé et le patient, peut être illégal, car contraire (1) à la loi fédérale sur la protection des données (LPD), (2) à l’article 321 du Code pénal suisse (CP) portant sur l’obligation de respecter le secret médical, ainsi qu’à (3) certaines législations cantonales. A titre d’exemple, l’article 80 de la loi vaudoise sur la santé publique consacre cette obligation pour les professionnels de la santé de conserver le secret.

Violations constatées de la LPD et mise à mal du secret médical

______________________________________________________

Le préposé fédéral à la protection des données et à la transparence (PFPDT) a constaté dans son 24e rapport annuel 2016/2017 que certains prestataires traitant les factures pour le compte de médecins saisissaient l’occasion pour utiliser ces données de facturation pour leurs fins propres telles que:

  • la création de base de données sur la solvabilité des patients et leur notation; et
  • la vente de ces données à des tiers (assurances, etc.).

Selon le PFPDT:

les professionnels de la santé se doivent d’être précis et d’attirer l’attention du patient clairement sur les traitements de données prévus effectués par le prestataire, y compris la vente possible à des tiers, et à recueillir le consentement exprès du patient.

Obligation de garder le secret ou consentement explicite

D’un point de vue juridique, les données médicales – données liées à la santé – sont des données sensibles qui requièrent le consentement exprès, et de préférence écrit, du patient (art. 4 al. 5 LPD) pour être transmises à un tiers et utilisées par celui-ci en dehors de la facturation. Leur communication et utilisation à des fins autres que la facturation par le tiers ne peut être effectuée que si le patient a pu y consentir valablement. Ainsi, pour garantir le respect du secret médical, le transfert à un tiers et son utilisation sont soumis à la limitation de l’art. 321 CP et de la LPD (art. 10a al. 1 let b) si le détenteur du secret n’a pas délié le professionnel de la santé. Sauf consentement explicite (ou exprès) du patient, il existe alors une double violation de la LPD et du Code pénal (voire de lois cantonales) qui prohibent la divulgation de données médicales à des tiers.

Que doit contenir mon contrat d’outsourcing?

_______________________________________________

Pour être conforme, le contrat d’outsourcing doit intégrer des dispositions sur la protection des données et leur sécurité. Parmi ces dispositions on songera au moins à intégrer:

Avec un fournisseur basé en Suisse uniquement:

  • une référence aux dispositions la LPD (art. 6 et 10a LPD) pour la sous-traitance ;
  • une assurance du fournisseur qu’il se conformera à la LPD ;
  • une assurance du fournisseur qu’il répondra aux éventuels requêtes d’individus relatives à leurs données ;
  • requérir le consentement préalable du professionnel de la santé ou de l’hôpital en cas de sous-traitance par le fournisseur ;
  • décrire précisément le but de la collecte et indiquer quelles données personnelles sont utilisées ;
  • une obligation pour les employés, auxiliaire, consultants, etc. de se conformer aux mêmes obligations que le contrat et à la LPD ;
  • une obligation pour le fournisseur de garantir la mise en place de mesures technique et organisationnelle pour sécuriser les données ;

Avec un fournisseur nécessitant un transfert transfrontalier :

  • inclure une disposition pour régler un tel transfert de données personnelles vers un pays tiers. Lorsque le pays tiers ne garantit pas un niveau de protection adéquat pour traiter les données, le contrat devra également inclure une obligation :
    • d’intégrer les clauses contractuelles types, telles que les EU model clauses applicables au transfert entre maître de fichiers et sous-traitant (controller-to-processor, ‘C2P’), se fonder sur le Privacy Shield (Attention: le Privacy Shield ne protège pas les données codées “key-coded data”), ou le contrat type de transfert de données du préposé) ;
    • pour le fournisseur de faire signer les EU model clauses (voire privacy shield ou clauses contractuelles équivalentes) à toutes ses filiales qui traiteraient (ce qui inclut l’accès aux données depuis l’étranger) des données personnelles depuis un pays sans niveau de protection adéquat ;
    • d’informer préalablement le professionnel de la santé de tout transfert à un tiers, incluant un droit d’objection, et lui fournir les informations y relatives, tel que l’indentité du tiers et le lieu du datacenter,
    • en cas de sous-traitant du fournisseur, de garantir qu’ils s’engagent aux mêmes conditions contractuelles et légales que le fournisseur.

Selon les recommandations du Préposé:

Quiconque communique des données personnelles à l’étranger doit examiner dans chaque cas si la personnalité de l’intéressé n’en est pas menacée. En d’autres termes, un médecin qui communique des données personnelles à l’étranger doit vérifier si le pays en question dispose d’une protection des données équivalente à celle de la Suisse.

ATTENTION: A noter que, selon les recommandations du Préposé fédéral, l’utilisation de services d’externalisation de données médicales auprès tiers dans le cloud ne peut s’opérer qu’en Suisse, avec un contrat qui interdit au tiers de communiquer ces données à des tiers. Cette mesure serait la seule à garantir le respect du secret médical, dont la divulgation est sanctionnée selon l’article 321 CP.

______________________________________________________

Comment faire en pratique ?

– Recommandations pour respecter la protection des données et le secret médical –

Toujours selon le PFPDT, il n’est ainsi pas suffisant d’indiquer quelque part dans le cabinet médical ou en petites lettres dans un formulaire de consentement que ces données pourraient faire l’objet d’un transfert pour une utilisation autre que de la pure facturation. Le patient doit être informé de manière complète et y consentir sans pression quelconque. Cette note du préposé met l’accent sur le principe de transparence qui implique une information complète fournie au patient avant le transfert de ces données, ainsi que le fondement juridique de la collecte qu’est le consentement exprès.

Pour le patient

La conséquence de cette note du préposé pour les patients est un renforcement de la transparence à leur égard pour mieux les protéger d’une utilisation indue de ces données et de leur sphère privée. Vu que le consentement du patient est requis, le patient doit aussi avoir la possibilité, à tout moment, de retirer son consentement pour l’utilisation qui irait au delà du but premier qu’est la facturation. Dans ce cas, le soignant et le prestataire devront respecter la volonté du patient et limiter le traitement aux fins indiquées par ce dernier, soit l’accès et le traitement uniquement pour effectuer de la facturation.

Pour les professionnels de la santé et hôpitaux

Cette obligation de transparence n’est pas nouvelle. Elle découle déjà de la législation protégeant le secret médical et de la protection des données, mais elle est mise en exergue pour insister sur le fait, qu’en pratique, on ne peut simplement collecter des données et en faire ce que l’on veut. Aller au delà d’un but prévu sans en informer le patient et requérir son consentement explicite est illicite. Le patient doit être en mesure de recevoir cette information, y consentir, et le cas échéant retirer tout ou partie de son consentement au traitement additionnel de ces données à des fins autres que la facturation.

Etant donné que le prestataire est un sous-traitant (data processor), ce dernier doit se conformer aux exigences du maître de fichiers (data controller) pour respecter le traitement licite des données et une utilisation conforme au contrat d’externalisation. La prudence commanderait par conséquent aux professionnels de la santé et aux hôpitaux au moins:

Vis-à-vis du prestataire de :

  • s’assurer que le prestataire n’utilise pas ces données à d’autres fins que ne le permet le contrat;
  • s’assurer que le prestataire respectera cet engagement ainsi que les règles en matière de protection des données, le prestataire n’étant, lui-même, probablement pas astreint au secret médical;
  • en cas d’utilisation d’un fournisseur de service cloud, n’utiliser que des prestataires situés en Suisse qui stockent leur données en Suisse et s’assurer qu’il existe une clause dans le contrat d’externalisation interdisant au fournisseur de transmettre des données médicales non anonymisées à des tiers situés à l’étranger (voir la note du Préposé citée en référence en fin d’article).

Vis-à-vis du patient de :

  • mettre à jour leurs formulaires de consentement, en distinguant clairement et visiblement la partie du consentement à une intervention médicale de celle du consentement à l’utilisation des données médicales par un tiers;
  • si les données devaient être utilisées à d’autres fins que de la facturation:
    • recueillir le consentement du patient après l’en avoir dûment informé; ou
    • l’informer du fait que ces données pourraient ou ont été transmises à des tiers sans son consentement et prendre les mesures adéquates.

Pour les prestataires

Le préposé ne se prononce pas sur la position du prestataire de facturation médicale et de son éventuelle responsabilité civile vis-à-vis du patient pour une utilisation indue des données. Il indique néanmoins que les précautions à prendre sont plutôt pour le protéger du risque lié à la violation du secret et de la protection des données. En effet, le patient aurait le droit de demander réparation pour le préjudice subit, ainsi que l’arrêt, l’effacement, voire la transmission des données à des tiers.

Il pourrait s’avérer utile que le prestataire :

  • conclue un contrat de sous-traitance avec le professionnel de la santé contrat qui délimitera les droits et obligations liées au traitement des données patient ;
  • anonymise les données avant de les transmettre à des tiers, ou à tous le moins mette en place des mesures permettant de diminuer le risque d’identification des patients (hashage, pseudonymisation), ce qui pourrait lui éviter de se voir reprocher une utilisation indue ainsi qu’un blocage de l’utilisation de ces données par le patient ;
  • clarifie avec le médecin ce qu’il entend faire des données et s’il envisage une utilisation qui diffère d’un but de facturation ;
  • requière, le cas échéant, du professionnel qu’il recueille valablement le consentement du patient ;
  • éventuellement prévoie une exonération de responsabilité pour le cas où le professionnel n’aurait pas recueilli valablement ce consentement auprès du patient ; et
  • intègre une clause de remboursement en cas de dommages causés en lien avec la violation du secret.

—

Pour aller plus loin, vous pouvez retrouver les documents suivants sur le site du préposé:

—

Par Gabriel Avigdor | NTIC.ch

Le recours électronique en Suisse

Mon premier article publié sur une plateforme juridique européenne spécialisée dans les NTIC vient d’être mis en ligne. En substance, il traite de la problématique du recours électronique en Suisse et de la responsabilité de l’avocat qui n’a pas vérifié que le recours avait été réceptionné par le Tribunal. L’article se base sur un arrêt du Tribunal fédéral (6B_691/2012 du 21 février 2013) qui confirme que l’avocat suisse reste seul responsable de l’envoi de ses procédures judiciaires devant les autorités et les Tribunaux, contrairement aux prestataires techniques qui ne peuvent pas garantir une service à 100%.

En résumé, le Tribunal fédéral a considéré qu’il existait un risque inhérent à l’usage des nouvelles technologies. Selon les juges notre Haute Cour, même si le serveur du prestataire technique par lequel doit transiter le recours tombe en panne le dernier jour du délai d’envoi de la procédure et même si la version du logiciel comporte des bugs ou des incompatibilités empêchant l’avocat sans sa faute de se connecter et d’envoyer l’acte en justice, l’avocat sera néanmoins tenu d’envoyer une copie papier par la poste sous peine de tardiveté…La conséquence sera l’irrecevabilité du recours ainsi que l’impossibilité pour l’avocat de requérir une restitution du délai pour déposer son recours.

Cet arrêt n’incite pas l’avocat à recourir par et à la voie électronique, confirmé par la pratique actuelle des tribunaux qui n’ont, pour la plupart, pas vraiment mis en place de moyens permettant de favoriser le dépôt d’actes de procédures par la voie électronique.

Pour une analyse critique de cet arrêt, rendez-vous à l’adresse suivante ou en version pdf :

http://www.droit-technologie.org/actuality-1587/le-recours-electronique-en-suisse.html

Bonne lecture.