Étiquette : Cloud

Externalisation de la facturation dans le domaine médical: recommandations

Plus de transparence pour la facturation médicale effectuée par un tiers

______________________________________________________

Dans le domaine médical, la délégation de la facturation à un tiers (outsourcing ou externalisation) est fréquente et comporte plusieurs avantages économiques. L’externalisation vise à augmenter l’efficacité d’une tâche en confiant le travail à une entreprise spécialisée. La sous-traitance permet également une réduction des coûts en personnel et donc une économie des places de travail dans les locaux, mais aussi une responsabilité de l’investissement, une gestion du personnel et une formation effectuées et prises en charge financièrement par le tiers. Enfin, l’on peut bénéficier d’un reporting régulier et une coopération de la part du partenaire contractuel.

Au delà de ces bénéfices, la sous-traitance de la facturation médicale pose aussi des questions pratiques en matière de protection des données et de préservation du secret médical. En effet, l’utilisation de ces données à des fins autres que celles prévues par le contrat entre le professionnel de la santé et le patient, peut être illégal, car contraire (1) à la loi fédérale sur la protection des données (LPD), (2) à l’article 321 du Code pénal suisse (CP) portant sur l’obligation de respecter le secret médical, ainsi qu’à (3) certaines législations cantonales. A titre d’exemple, l’article 80 de la loi vaudoise sur la santé publique consacre cette obligation pour les professionnels de la santé de conserver le secret.

Violations constatées de la LPD et mise à mal du secret médical

______________________________________________________

Le préposé fédéral à la protection des données et à la transparence (PFPDT) a constaté dans son 24e rapport annuel 2016/2017 que certains prestataires traitant les factures pour le compte de médecins saisissaient l’occasion pour utiliser ces données de facturation pour leurs fins propres telles que:

  • la création de base de données sur la solvabilité des patients et leur notation; et
  • la vente de ces données à des tiers (assurances, etc.).

Selon le PFPDT:

les professionnels de la santé se doivent d’être précis et d’attirer l’attention du patient clairement sur les traitements de données prévus effectués par le prestataire, y compris la vente possible à des tiers, et à recueillir le consentement exprès du patient.

Obligation de garder le secret ou consentement explicite

D’un point de vue juridique, les données médicales – données liées à la santé – sont des données sensibles qui requièrent le consentement exprès, et de préférence écrit, du patient (art. 4 al. 5 LPD) pour être transmises à un tiers et utilisées par celui-ci en dehors de la facturation. Leur communication et utilisation à des fins autres que la facturation par le tiers ne peut être effectuée que si le patient a pu y consentir valablement. Ainsi, pour garantir le respect du secret médical, le transfert à un tiers et son utilisation sont soumis à la limitation de l’art. 321 CP et de la LPD (art. 10a al. 1 let b) si le détenteur du secret n’a pas délié le professionnel de la santé. Sauf consentement explicite (ou exprès) du patient, il existe alors une double violation de la LPD et du Code pénal (voire de lois cantonales) qui prohibent la divulgation de données médicales à des tiers.

Que doit contenir mon contrat d’outsourcing?

_______________________________________________

Pour être conforme, le contrat d’outsourcing doit intégrer des dispositions sur la protection des données et leur sécurité. Parmi ces dispositions on songera au moins à intégrer:

Avec un fournisseur basé en Suisse uniquement:

  • une référence aux dispositions la LPD (art. 6 et 10a LPD) pour la sous-traitance ;
  • une assurance du fournisseur qu’il se conformera à la LPD ;
  • une assurance du fournisseur qu’il répondra aux éventuels requêtes d’individus relatives à leurs données ;
  • requérir le consentement préalable du professionnel de la santé ou de l’hôpital en cas de sous-traitance par le fournisseur ;
  • décrire précisément le but de la collecte et indiquer quelles données personnelles sont utilisées ;
  • une obligation pour les employés, auxiliaire, consultants, etc. de se conformer aux mêmes obligations que le contrat et à la LPD ;
  • une obligation pour le fournisseur de garantir la mise en place de mesures technique et organisationnelle pour sécuriser les données ;

Avec un fournisseur nécessitant un transfert transfrontalier :

  • inclure une disposition pour régler un tel transfert de données personnelles vers un pays tiers. Lorsque le pays tiers ne garantit pas un niveau de protection adéquat pour traiter les données, le contrat devra également inclure une obligation :
    • d’intégrer les clauses contractuelles types, telles que les EU model clauses applicables au transfert entre maître de fichiers et sous-traitant (controller-to-processor, ‘C2P’), se fonder sur le Privacy Shield (Attention: le Privacy Shield ne protège pas les données codées “key-coded data”), ou le contrat type de transfert de données du préposé) ;
    • pour le fournisseur de faire signer les EU model clauses (voire privacy shield ou clauses contractuelles équivalentes) à toutes ses filiales qui traiteraient (ce qui inclut l’accès aux données depuis l’étranger) des données personnelles depuis un pays sans niveau de protection adéquat ;
    • d’informer préalablement le professionnel de la santé de tout transfert à un tiers, incluant un droit d’objection, et lui fournir les informations y relatives, tel que l’indentité du tiers et le lieu du datacenter,
    • en cas de sous-traitant du fournisseur, de garantir qu’ils s’engagent aux mêmes conditions contractuelles et légales que le fournisseur.

Selon les recommandations du Préposé:

Quiconque communique des données personnelles à l’étranger doit examiner dans chaque cas si la personnalité de l’intéressé n’en est pas menacée. En d’autres termes, un médecin qui communique des données personnelles à l’étranger doit vérifier si le pays en question dispose d’une protection des données équivalente à celle de la Suisse.

ATTENTION: A noter que, selon les recommandations du Préposé fédéral, l’utilisation de services d’externalisation de données médicales auprès tiers dans le cloud ne peut s’opérer qu’en Suisse, avec un contrat qui interdit au tiers de communiquer ces données à des tiers. Cette mesure serait la seule à garantir le respect du secret médical, dont la divulgation est sanctionnée selon l’article 321 CP.

______________________________________________________

Comment faire en pratique ?

– Recommandations pour respecter la protection des données et le secret médical –

Toujours selon le PFPDT, il n’est ainsi pas suffisant d’indiquer quelque part dans le cabinet médical ou en petites lettres dans un formulaire de consentement que ces données pourraient faire l’objet d’un transfert pour une utilisation autre que de la pure facturation. Le patient doit être informé de manière complète et y consentir sans pression quelconque. Cette note du préposé met l’accent sur le principe de transparence qui implique une information complète fournie au patient avant le transfert de ces données, ainsi que le fondement juridique de la collecte qu’est le consentement exprès.

Pour le patient

La conséquence de cette note du préposé pour les patients est un renforcement de la transparence à leur égard pour mieux les protéger d’une utilisation indue de ces données et de leur sphère privée. Vu que le consentement du patient est requis, le patient doit aussi avoir la possibilité, à tout moment, de retirer son consentement pour l’utilisation qui irait au delà du but premier qu’est la facturation. Dans ce cas, le soignant et le prestataire devront respecter la volonté du patient et limiter le traitement aux fins indiquées par ce dernier, soit l’accès et le traitement uniquement pour effectuer de la facturation.

Pour les professionnels de la santé et hôpitaux

Cette obligation de transparence n’est pas nouvelle. Elle découle déjà de la législation protégeant le secret médical et de la protection des données, mais elle est mise en exergue pour insister sur le fait, qu’en pratique, on ne peut simplement collecter des données et en faire ce que l’on veut. Aller au delà d’un but prévu sans en informer le patient et requérir son consentement explicite est illicite. Le patient doit être en mesure de recevoir cette information, y consentir, et le cas échéant retirer tout ou partie de son consentement au traitement additionnel de ces données à des fins autres que la facturation.

Etant donné que le prestataire est un sous-traitant (data processor), ce dernier doit se conformer aux exigences du maître de fichiers (data controller) pour respecter le traitement licite des données et une utilisation conforme au contrat d’externalisation. La prudence commanderait par conséquent aux professionnels de la santé et aux hôpitaux au moins:

Vis-à-vis du prestataire de :

  • s’assurer que le prestataire n’utilise pas ces données à d’autres fins que ne le permet le contrat;
  • s’assurer que le prestataire respectera cet engagement ainsi que les règles en matière de protection des données, le prestataire n’étant, lui-même, probablement pas astreint au secret médical;
  • en cas d’utilisation d’un fournisseur de service cloud, n’utiliser que des prestataires situés en Suisse qui stockent leur données en Suisse et s’assurer qu’il existe une clause dans le contrat d’externalisation interdisant au fournisseur de transmettre des données médicales non anonymisées à des tiers situés à l’étranger (voir la note du Préposé citée en référence en fin d’article).

Vis-à-vis du patient de :

  • mettre à jour leurs formulaires de consentement, en distinguant clairement et visiblement la partie du consentement à une intervention médicale de celle du consentement à l’utilisation des données médicales par un tiers;
  • si les données devaient être utilisées à d’autres fins que de la facturation:
    • recueillir le consentement du patient après l’en avoir dûment informé; ou
    • l’informer du fait que ces données pourraient ou ont été transmises à des tiers sans son consentement et prendre les mesures adéquates.

Pour les prestataires

Le préposé ne se prononce pas sur la position du prestataire de facturation médicale et de son éventuelle responsabilité civile vis-à-vis du patient pour une utilisation indue des données. Il indique néanmoins que les précautions à prendre sont plutôt pour le protéger du risque lié à la violation du secret et de la protection des données. En effet, le patient aurait le droit de demander réparation pour le préjudice subit, ainsi que l’arrêt, l’effacement, voire la transmission des données à des tiers.

Il pourrait s’avérer utile que le prestataire :

  • conclue un contrat de sous-traitance avec le professionnel de la santé contrat qui délimitera les droits et obligations liées au traitement des données patient ;
  • anonymise les données avant de les transmettre à des tiers, ou à tous le moins mette en place des mesures permettant de diminuer le risque d’identification des patients (hashage, pseudonymisation), ce qui pourrait lui éviter de se voir reprocher une utilisation indue ainsi qu’un blocage de l’utilisation de ces données par le patient ;
  • clarifie avec le médecin ce qu’il entend faire des données et s’il envisage une utilisation qui diffère d’un but de facturation ;
  • requière, le cas échéant, du professionnel qu’il recueille valablement le consentement du patient ;
  • éventuellement prévoie une exonération de responsabilité pour le cas où le professionnel n’aurait pas recueilli valablement ce consentement auprès du patient ; et
  • intègre une clause de remboursement en cas de dommages causés en lien avec la violation du secret.

—

Pour aller plus loin, vous pouvez retrouver les documents suivants sur le site du préposé:

—

Par Gabriel Avigdor | NTIC.ch

Infinit.io : Partage de fichiers entre amis


Logo - InfinitLe Concept

L’application Infinit, développée par une start-up française et lancée officiellement depuis le mois d’avril 2013, permet l’échange de fichiers entre plusieurs ordinateurs connectés à Internet. Il se distingue des programmes de Peer to Peer (P2P) conventionnels avec un moteur de recherche interne (Emule, Kazaa, etc.) ou externe depuis un site web qui référence des liens de téléchargement au tout public (bittorent). Plus précisément, il s’intègre dans le finder, pour l’instant uniquement sous Mac OSX, sous la forme d’une fonctionnalité intégrée. L’application qui est encore en phase de test consiste, dans les grandes lignes, à partager, avec ses contacts uniquement, sous la forme d’un “glisser/déposer”, des fichiers de toute sorte et d’avoir un contrôle sur son accès et son contenu.

Maîtriser ses fichiers

Les développeurs mettent en avant la maîtrise, par les utilisateurs, des fichiers qu’ils partagent et la possibilité de régler leurs conditions d’accès. Ainsi, celui qui partage un fichier avec ses contacts pourra révoquer l’autorisation d’accès ou modifier le fichier partagé (document word, photoshop, etc.) ou limiter son accès à certaines personnes de son choix. Cette fonction, qui pourrait ressembler à celle de l’Airdrop d’Apple, ou à une version décentralisée de Dropbox, Sugarsync (ou tout autre prestataire de cloud computing), semble intéressante parce qu’elle se focalise sur l’utilisateur et ses “amis” sans l’intervention d’un tiers.

Données chiffrées

Autre élément non négligeable, le programme crypte les données partagées au niveau de l’ordinateur de l’utilisateur, ce qui a pour effet que la société n’a pas la possibilité d’avoir accès au contenu des données. Elle se distingue clairement des sociétés qui stockent les données sur leurs propres serveurs. Ces sociétés hébergent souvent les données à l’étranger, sans garantie pour les utilisateurs qu’elles ne subiront pas le même triste sort de celles qui avaient été stockées par MegaUpload (voir à ce sujet la décision de suppression définitive des données par LeaseWeb).

Une brève présentation de la start-up est accessible ici.

En quoi est-ce intéressant ?

Rapidité et lecture en streaming

La société précise que le téléchargement direct entre utilisateurs permettra une rapidité d’accès bien plus rapide que si les données sont stockées auprès d’un prestataire qui stocke les données ailleurs. A moins que le système démultiplie le téléchargement entre tous les amis en ligne (chacun partageant un bout de fichier), la connexion risque toutefois d’être limitée par les capacités de partage qui doit dépendre de l’abonnement de chaque utilisateur auprès de son fournisseur d’accès Internet.

Selon les développeurs, tout fichier partagé (musique, film, etc.) pourra être lu directement sans attendre la fin du téléchargement, au même titre que du streaming. A l’époque, Napster permettait également de lire en direct le fichier audio alors qu’il n’était pas encore complètement chargé par l’utilisateur.

Pas d’accès aux données personnelles

A la différence de programmes de prestataires de stockage en ligne tels Dropbox, skydrive, etc., le fichier partagé pourra être synchronisé sur chacune des machines connectées et non sur un serveur externe (pour un comparatif entre les différentes plateformes de stockage en ligne voir cet article).

L’intérêt juridique de ne pas passer par un serveur externe est de ne pas soumettre les données de l’utilisateur à une législation d’un autre pays. D’une marnière générale, l’utilisateur conservera donc la maîtrise de ses données dans son pays et selon les règles qui lui sont applicables.

L’autre différence est la sécurité des données transférées ou partagées qui seront cryptées et non disponibles par un prestataire comme Dropbox. Comme on l’a vu dans la presse récente, les plateformes de Cloud peuvent avoir accès au contenu et, le cas échéant, transmettre des documents à un gouvernement qui lui en ferait la demande selon sa législation nationale.

A ce sujet, et en relation avec l’article précédent, vous pouvez consulter quelques articles sur l’étendue de l’accès aux données par le gouvernement américain ici. Concernant Facebook, par exemple, la plateforme se soumet aux injonctions qui lui sont adressées, Twitter, par contre, ne s’y soumet pas.

D’un côté pratique, reste à savoir encore si les données pourront être sauvegardées en cas de perte ou destruction de l’ordinateur et s’il est possible d’avoir accès à ses données depuis un autre appareil, notamment à l’étranger, si son ordinateur est éteint, ce qui ne semble pas être le cas.

Autres applications ?

L’objectif et l’étendue des possibilités de l’application Infinit va probablement au-delà du simple échange de fichiers ludiques. On pourra imaginer une application plus vaste à un secteur professionnel qui garantirait un chiffrage de données à haut niveau prévenant tout risque pour des entreprises de craindre une intrusion par un prestataire Cloud dans les données échangées. Tout l’enjeu étant de réussir à convaincre les entreprises de la force de ce modèle face à la concurrence.

Droit d’auteur

En général

Sous l’angle de la responsabilité, la situation est moins évidente si l’on analyse les questions de droit d’auteur. D’un point de vue technique d’abord, il faudra attendre le produit final pour savoir la manière avec laquelle la société envisage de faire fonctionner son application.

Préalablement, se pose la question du droit applicable et du lieu de résolution d’un litige y relatif. En effet, de nombreuses législations pourraient entrer en ligne de compte. La plupart des conditions générales prévoient un droit applicable ainsi qu’un pays dans lequel le procès doit être intenté, mais qui n’ont souvent aucune valeur lorsqu’il s’agit de protection des consommateurs ou de droit pénal.

Comme bien souvent sur Internet, la législation applicable peut être celle de beaucoup de pays et le lieu pour ouvrir action pourrait se situer n’importe où sur le globe ! Difficile de pouvoir dresser une liste des contraintes qui sont liées aux différents droits nationaux en la matière.

Droit suisse

En Suisse, comme dans la plupart des pays du monde, le droit d’auteur protège toute création de l’esprit, littéraire ou artistique qui présente un caractère individuel. Il peut s’agir notamment de musique, de films, de livres, de logiciels et également, lorsqu’elles sont spécialement protégées, des photographies.

Cette protection n’est pourtant pas absolue, puisque la loi fédérale (suisse) sur le droit d’auteur (LDA) prévoit une exception dite de “copie privée” qui permet à tout un chacun de faire usage d’oeuvres ayant été divulguées (art. 19 LDA), exception faite des logiciels (art. 19 al. 4 LDA). Cette limite au droit d’auteur permet de ne pas requérir l’autorisation de l’auteur pour notamment copier ou divulguer des oeuvres protégées à un cercle limité (famille ou amis). Cela n’est possible que pour autant que la copie n’ait pas de but lucratif et que sa provenance soit licite. Ainsi, une mère de famille qui copie, sur les ordinateurs de la maison, plusieurs oeuvres musicales ne viole pas le droit d’auteur. L’enregistrement d’une émission de radio et son partage à des amis n’est pas non plus contraire au droit d’auteur. Il en va de même pour le partage de la copie privée sur Internet dans un cadre strictement privé et pour autant que la source de la mise à disposition soit licite (acquise légalement, selon l’art. 19 al. 3bis LDA).

Sans entrer dans les détails, le droit suisse sera dès lors applicable si les agissements de celui qui partage sur Internet et/ou celui qui favorise le partage (complice) ont lieu en Suisse. Par conséquent, le partage sur Internet à des amis étrangers de contenu obtenu légalement, depuis la Suisse, n’est pas contraire au droit d’auteur.

Dans le cas d’un éventuel procès pour violation du droit d’auteur (Copyright infringement), seuls les utilisateurs pourraient être recherchés personnellement étant donné l’absence d’intermédiaires techniques. La société Infinit.io n’aurait, vraisemblablement aucune marge de manoeuvre dans le contrôle du contenu échangé, ce qui devrait, a priori, la décharger de toute responsabilité. En effet, alors qu’en général c’est la plateforme P2P qui est recherchée pour avoir permis le téléchargement illégal d’oeuvres sur Internet en sa qualité, ici seul l’utilisateur sera responsable du contenu qu’il partage.

Tout en réservant l’analyse de chaque cas d’espèce, l’échange de fichiers au sein d’une famille et/ou entre amis est parfaitement légal en Suisse, ce qui a pour effet de rendre le système d’échange de fichiers propre à un échange légal de fichiers en ligne en Suisse.

Infinit : zone sans contrôle ?

Enfin, on peut encore se demander si un contrôle du contenu sera effectué à terme dans le cadre de ce système d’échange de fichier. On sait que Google a mis en place, depuis 2007, un tel système pour Youtube grâce à un algorithme de détection automatique de contenu protégé par le droit d’auteur nommé “Content ID“. La firme de Cupertino mettra-t-elle en place un tel système de contrôle du contenu partagé ? Qu’en est-il des concepteurs de l’application Infinit ?

A première vue, il n’existe aucune obligation, en droit suisse, qui impose de mettre en place un tel contrôle a priori, ni même a posteriori pour prévenir ou guérir des cas de violation du droit d’auteur. La jurisprudence des pays avoisinants sur la responsabilité des intermédiaires techniques et des plateformes 2.0 pourra-t-elle s’appliquer à une telle architecture, en particulier l’obligation de supprimer tout contenu litigieux une fois  informé par un tiers ?

Probablement pas. Le modèle adopté par lnfinit, en particulier l’absence d’hébergement externe et la liberté de chaque utilisateur de gérer ses données et de les partager, nécessiterait de scanner les données stockées sur les ordinateurs de chaque utilisateur, ce qui constituerait une immiscion particulièrement grave dans la vie privée et contraire au but même de la société qui privilégie la sécurité et l’absence de contrôle des données. De plus, l’application paraît échapper à toute comparaison avec des plateformes 2.0 connues (Facebook, Twitter, Emule, etc.) par le fait même qu’elle ne stocke rien sur ses serveurs et qu’elle n’a pas d’accès au contenu. Elle ne correspond probablement pas à la définition d’intermédiaire.

On rappelle, dans un autre contexte, l’arrêt de principe relatif à l’affaire “Razorback c. Logistep“, dans lequel le Tribunal fédéral suisse a considéré illicite la pratique d’une entreprise qui récoltait les adresses IP d’utilisateurs, à leur insu, qui téléchargeaient illégalement pour les monayer contre versement d’une somme d’argent sensée revenir aux auteurs d’oeuvres protégées. L’entreprise menaçait les utilisateurs de divulguer leur données de connexion aux autorités s’ils ne payaient pas un certain montant pour dédommager les auteurs. Les adresses IP étant considérées comme des données personnelles, la loi sur la protection des données (LPD) s’appliquait et on a considéré que la pratique de Logistep violait clairement les principes de cette loi.

D’autres données personnelles pourraient être échangées à travers ce système de partage, telles que des documents d’entreprises avec des données confidentielles. On conçoit difficilement de quelle manière le contenu pourrait être contrôlé par Infinit ou Apple, à moins que soit mis en place un système de type Content ID (pour le droit d’auteur), sans risquer d’être trop intrusif dans la vie privée des utilisateurs et violer la protection des données. Un tel système de contrôle paraîtrait s’écarter du but même de l’application et des garanties qui sont fournies par Infinit. A plus forte raison, les données n’étant pas publiques, aucun tiers ne peut y avoir accès sans que l’utilisateur ne partage volontairement ses fichiers. La révocation de l’autorisation d’accès au fichier garantit ainsi la maîtrise des données par son propriétaire. Dans tous les cas le consentement libre et éclairé du propriétaire des données devrait être nécessaire.

Conclusion

L’avenir nous dira quel sera le succès de ce projet qui semble faciliter l’échange de fichier entre connaissances, de manière cryptée, tout en permettant d’éviter de passer par des prestataires techniques tiers hébergeant leurs données à l’étranger, souvent aux Etats-Unis.

Reste à savoir si ce modèle sera attractif et dans quelle mesure il sera utilisé, en fonction du public cible. Cette start-up devra défendre vigoureusement son modèle puisque des concurrents pointent déjà le bout de leur nez. On pensera par exemple, au projet en cours de développement par le Bittorrent Labs, qui pourrait faire l’objet d’un prochain article sur ce blog.

Il sera intéressant de pouvoir examiner la version finale de cette application qui donne des perspectives nouvelles, proches de l’utilisateur et axé sur la protection de ses données personnelles. Il faut plutôt se réjouir et saluer ce genre de démarche qui tend à bousculer les vieux modèles d’échange de fichiers sur Internet, dans une société désillusionnée et crispée par l’actualité récente (voir l’article précédent).

Pour en savoir plus :

Quelques explications techniques du logiciel d’échange Infinit à consulter ici.

Infos sur l’équipe de développement et l’histoire de ce projet ici.