Étiquette : RGPD

3 mois avant le RGPD – que va-t-il arriver si vous n’êtes pas prêt?

 

Conformité au RGDP… ces mots résonnent dans nos têtes comme s’ils n’en existaient pas d’autres.

En effet, la protection des données personnelles est devenue un thème non seulement à la mode, mais tout le monde en parle parce que cette nouvelle réglementation bouleverse au delà du paysage légal. En 2017, le RGPD est vite devenu l’un des sujets réglementaires et juridiques probablement le plus discuté actuellement et cela va encore augmenter dans les prochains mois. La date de conformité approche et nous ne sommes qu’à un peu plus de 3 mois du 25 mai 2018, cette fameuse date butoir après laquelle le Règlement (UE) 2016/679  (RGPD ou GPDR) s’appliquera à tous les organismes publics et privés qui tomberont dans le champs d’application matériel (art. 2) et territorial (art. 3) de ce Règlement.

La protection des données et la cybersécurité vont gagner en importance avec les compagnes de sensibilisation massives, l’importance de penser à la protection des données dès le début ou dès la conception avant tout traitement des données (privacy by design), et l’incroyable augmentation du nombre de professionnels de la protection des données apparaissant au niveau mondial, prônant ce domaine qui n’est pourtant pas si nouveau.

Dans cette course historique pour la conformité en matière de protection des données, la Commission européenne a publié son nouveau site internet contenant des lignes directrices très complètes au sujet du RGPD. Cette plateforme est conçue de manière très intuitive, intelligible, simple et de facile d’accès. Le contenu comporte plusieurs sections couvrant les principaux thèmes traités par le RGPD, dont notamment:

ainsi qu’une section infographique contenant un résumé des domaines clés liés au nouveau Règlement comme les droits et obligations, les règles organisationnelles, la gouvernance, et les conséquences en cas de non-conformité. Et il ne reste plus beaucoup de temps. Au peu moins de 3 mois avant que les organisations traitant des données personnelles aient à démontrer aux autorités de quelle manière elles sont conformes avec la loi (principe de ”responsabilité” ou “accountability” en anglais – art. 5 § 2 RGPD).

__________________

A QUOI S’ATTENDRE SI VOUS N’ÊTES PAS “RGDP-CONFORME” EN MAI 2018?

Sur son nouveau site, la Commission rappelle les 4 étapes clés avant qu’une autorité de contrôle (“supervisory authority”) puisse prononcer une amende administrative (art. 83 RGPD) aux entreprises et organisations qui seraient en violation de leurs obligations:

(1) AVERTISSEMENT ⇨ (2) RAPPEL A L’ORDRE ⇨ (3) SUSPENSION DU TRAITEMENT DE DONNEES ⇨ (4) AMENDE

Le Règlement (UE) 679/2016, les sanctions doivent être prononcées de sorte qu’elle soient “dans chaque cas effectives, proportionnées et dissuasives” (art. 83 § 1 in fine RGPD). De plus, le régime de sanctions permet à une autorité de contrôle de prononcer une amende en sus d’une autre mesure telle que notamment:

  • avertissement (art. 58 (2) (a) et considérant 150 RGPD);
  • retrait d’une certification (art. 58 (2) (h) RGPD); ou
  • suspension du traitement de données (art. 58 (2) (j) et 83 (5) (e) RGPD).

__________________

LES AUTORITES NE VONT PAS SANCTIONNER TOUT LE MONDE DES LE 26 MAI 2018 

Il est devenu courant d’entendre et de lire de nombreuses personnes et cabinets de conseils sortant de nul part, criant sur les réseaux sociaux et sur internet que la fin du monde est prévue pour mai 2018 en cas de non-conformité. La réalité est un peu plus complexe que cela et de telles assertions ne correspondent pas à la réalité. Il est vrai qu’après le 25 mai 2018, la protection des données aura effectué un saut de géant en avant, et que le délai pour les responsables de traitement de se mettre en conformité sera échu. Des sanctions pourraient dès lors s’abattre sur les organisations qui ne seraient pas conformes. Ok, cela est théoriquement vrai avec des amendes très salées.

Toutefois, cela ne devrait arriver qu’après une analyse de la situation par une autorité de contrôle, includant des échanges de communications, des audits, dans le cas où une personne concernée dépose une plainte pour violation ou non respect de ses droits, ou en cas de saisie de la justice par un individu pour violation de la loi.

Si une chose est certaine, si vous n’y êtes pas encore et que vous pensez êtes soumis au RGPD, vous feriez mieux de vous y mettre tout de suite ou alors préparer votre ligne de défense pour indiquer en quoi votre entreprise n’est pas soumise au RGPD. Cependant, il semble utile de rappeler quelques considérations un peu moins alarmistes sur le régime de sanctions selon le RGPD et la mise en conformité. En voici quelques unes:

  • Il ne va pas pleuvoir des amendes dès le 26 mai 2018. Il s’agit d’un mythe créé par des entreprises qui pratiquent le marketing par la peur et qui se réjouiront de vous offrir toute une panoplie de de services, solutions informatiques et cocktail pack de mise en conformité au RGPD. Les entreprises déjà alertes sur cette problématique ne sont font pas avoir, mais les plus petites structures qui sont nouvelles dans le monde du numérique peuvent tomber dans le piège.
  • Question de preuve et d’interprétation. Une autorité ne va pas prononcer une amende avant d’avoir pu considérer que le responsable de traitement a concrètement manqué à ses obligations, probablement après l’avoir interpellé, puis probablement averti (cela concerne les responsables, mais aussi leurs sous-traitants) d’un violation de la loi. Des délais de mise en conformité seront accordés et, en fonction de la gravité des manquements, une certaine flexibilité sera accordée. Cela implique de mener des investigations, par exemple en demandant des explications documentées, en menant des audits auprès des responsables de traitement, des sous-traitants, des détaillants, des fournisseurs, des partenaires commerciaux, mais également par une interprétation du Règlement. Et ce n’est pas chose aisée.
  • Cela va prendre du temps d’examiner les plaintes. Selon Steve Eckersley, du Bureau du commissaire à l’information anglais (ICO UK), certaines enquêtes prennent de 8 à 12 mois”. Cela prend donc du temps qui permet au responsable de corriger le tir. Steve Echersley cite comme exemples que “le bureau du Commissaire à l’information est en train de recruter entre 100-150 personnes pour travailler sur les aspects liés au RGPD et à la cybersécurité” et prédit qu’ils s’attendent à recevoir quelques “30’000 notifications d’incident par année“. Ce n’est pas un nombre à prendre à la légère.
  • Les autorités ont aussi leurs obligations. Les autorités sont, et resteront, très occupées à mettre en place leur propres équipes afin de renseigner, aider, guider les responsables de traitement dans l’applicabilité, l’interprétation, mais aussi la mise en place des mesures nécessaires à être conforme au Règlement. Elles doivent aussi réfléchir à intégrer ou non des exceptions au RGPD dans leur droit national, examiner comment traiter et gérer les notifications d’incidents, travailler sur la soumission d’analyses d’impact (DPIA), etc.
  • Sanctionner n’est pas une priorité. La priorité n’est pas de sanction tout le monde dès mai 2018, mais plus de pouvoir démontrer que votre organisation met la protection des données en haut de la liste des tâches à accomplir et que des mesures concrètes sont prises pour y remédier, que les bonnes personnes sont en place, que la gouvernance a été pensée, qu’un budget a été alloué, etc. La conformité au RGPD, est pour la plupart des responsables de traitement, un énorme projet qui se prolongera au moins sur les 5 ans à venir, et qui continuera d’être, pour toutes les parties prenantes. Les autorités de contrôle sont d’ailleurs elles-mêmes mises sous pression par la Commission européenne pour leur propre mise en conformité! Le fait qu’elles soient très occupées, ne signifie pas pour autant qu’aucune sanction ne sera prononcée. Ces amendes arriveront, il y aura des exemples auprès des grands, moyens et petits. Mais simplement pas tout de suite.
  • Le Règlement (UE) 2016/679 n’indique pas les amendes comme première mesure en cas de non-conformité. Lorsque un audit RGPD sera mené, il y aura place au dialogue et échanges entre les autorités, juristes, avocats, conseillers internes à la protection des données (DPO), sous-traitants et autres acteurs de cet écosystème. Il sera également intéressant d’observer si le niveau de plaintes par des individus va augmenter dans le futur ou si le RGPD va instaurer une confiance accrue auprès du public. On oublie parfois que le le RGPD est formidable opportunité pour les organisations de rester compétitives. Une attitude responsable, une volonté de mettre les clients et les individus au centre de leurs intérêts en respectant au mieux leurs droits peut être un grand coup de marketing permettant d’indiquer un haut niveau de standard en la matière, le cas échéant en se démarquant de la concurrence.
  • Maintient de la conformité au cours du temps. La conformité doit être maintenue et surveillée dans le temps. La conformité au RGPD n’est pas un projet unique. Elle s’intègre au sein d’une entreprise comme nouveau comportement vis-à-vis de leurs clients, partenaires d’affaires, employés, etc. et les processus internes en seront modifiés en conséquence. Cela devrait continuer aussi longtemps que ce Règlement sera en vigueur, ce qui implique qu’une amende pourrait arriver bien plus tard. Une entreprise peut être prête pour mai 2018, et ne plus l’être dans le futur si le programme de protection des données n’est pas maintenu.
  • Interprétation de la loi et droit nationaux.  Plus de 60 articles du RGPD permettent aux Etats Membres de l’UE de déroger au Règlement dans leur droit national. Cela veut dire que de connaître le RGPD sur le bout des doigts maintenant, n’est pas suffisant. Il y aura probablement 28 RGPD différents (ou 27 dès le Brexit). Il y aura de nombreuses différences selon les pays, avec un exemple déjà très aboutit en Allemagne, premier pays à avoir adopté et adapté sa loi interne au RGPD. Enfin, beaucoup d’articles du RGPD ne sont pas clairs et sont déjà sujets à interprétation par de nombreux commentateurs. La conformité reste une analyse au cas par cas et il n’est pas possible d’avoir une solution clé-en-main applicable à tous, même si beaucoup de principes sont communs. Dans cet article, il est également mentionné qu’il “faudra probablement environ 10 ans avant qu’on puisse considérer le RGPD comme un texte législatif mature et qui est compris correctement”.

Tout cela permet de tempérer quelque peu les ardeurs et se rendre compte de l’ampleur de cette réglementation.

__________________

D’AUTRES MENACES ET RISQUES QUE LES AMENDES

Les entreprises et organisations traitant des données personnelles et qui sont soumises au RGPD (responsables et sous-traitants) ne devraient pas se focaliser sur les amendes. Une amende risque de n’être qu’un mauvais goût supplémentaire à un menu déjà trop salé.

Lors d’un traitement de données personelles, il s’agit de prendre également en considération les autres risques et menaces à l’activité et aux affaires en cas de non-conformité. Voici quelques exemples:

  • atteinte à la réputation, pertes financières, pertes de cliens après un incident. Les notifications en matière de cybersecurité, tant aux autorités en cas de risque (art. 33 RGPD), qu’aux personnes concernées en cas de risque élevé (art. 34 RGPD), les atteintes à la réputation peuvent causer parexemple des dommages considérables à la réputation, engendrant des opportunités d’affaires perdues, perte de clientèle, responsabilités contractuelles et violation de contrats. Ces événements peuvent être bien plus dommageables qu’une amende. L’affaire désastreuse de Talk-Talk, a été causée par un porte-parole qui s’est exprimé devant la presse sans préparation suffisante, donna le pire des signaux causant la panique des clients après le communiqué de presse lié à l’incident.
  • discontinuité des affaires et coûts de remise en service suite à un incident. Non seuelement les incidents en matière de cybersécurité peuvent causer un arrêt de l’activité et impact sur la réputation, mais cela impliquera des dépenses qui peuvent être considérables. Dans le cas de Talk-Talk, alors que l’amende s’est élevées à GBP 400,000, les dommages totaux se sont chiffrés à environ GBP 60 millions… Les dépenses peuvent concerner les enquêtes et investigations, correction des erreurs, prévention des nouvelles, et mise en place de nouvelles mesures et processus, etc. Avec l’augmentation des systèmes informatiques et du numérique, le traitement des données par des réseaux connectés, il est probable que des données personnelles soient concernées. Si tel n’est pas le cas, la réglementation ne s’applique pas. C’est là que la mise en place de mesures techniques et organisationnelles adéquates joue un rôle clef. Dans le cas le plus optimiste, une organisation bien équipée et préparée pourrait même ne pas avoir à notifier les individus, ni même les autorités. En effet, si les données ne sont pas personnelles, ou si l’incident n’est “pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques“, alors aucune notification n’est requise. Quoi qu’il en soit, la réflexion et l’intégration d’une politique en matière de cybersécurité pour se préparer et savoir notifier de manière adéquate et dans les délais un incident est absolument cruciale. Cela nécessite d’impliquer les personnes au plus haut niveau hiérarchique.
  • suspension du traitement des données. Un incident en matière de cybersecurité peut causer une cessation temporaire de l’activité, mais autorité peut aussi l’ordonner. Cela pose encore des questions pratiques pour savoir comment une autorité peut mettre en exécution une telle mesure (probablement par les forces de police), cela pourrait être très dommageable en particulier si le traitement de ces données est essentiel à la poursuite de l’activité et des affaires.
  • prise de parts du marché par des concurrents. Il s’agit d’un élément auquel les responsables de traitement devraient aussi songer.  Et c’est aussi là que le RGPD constitue une réelle opportunité pour certains acteurs. Mettre en avant sa conformité un réel gage d’excellence en matière de gestion de la protection des données personnelles.
  • activité péjorée sur le long terme.
  • perte de confiance par le public.
  • pertes d’employés et démission de cadre dirigeants.
  • budget supplémentaire et non planifié en matière de sécurité, protection des données, restructuration interne, établissement de nouvelles positions, audits internes.
  • etc.

Il est certains que toutes les entreprises et organisations dans le monde et qui sont soumises au RGPD ne seront pas prêt pour le 25 mai 2018. Les responsables traitant de grosses quantité de données, sensibles qui plus est, et créant un risque pour les individus, seront dans le collimateur des autorités. Cela est évident. Cette soit-disant “Loi Facebook” va peut-être motiver les autorités à se concenter sur les GAFAM, BATX et leurs partenaires contractuels, mais cela concerne tous les acteurs.

Par cet article, j’espère avoir pu donner quelques pistes indiquant que l’alarmisme n’est pas la bonne approche et n’est pas conforme à la réalité. Tant qu’une entreprise est capable de démontrer son avancement vers la conformité, qu’il s’agit d’une priorité, qu’elle a pris les mesures en vue d’aboutir à une conformité le plus rapidement possible, cette entreprise se trouve sur la bonne voie.

Soyez prêts et non effrayés. Faites du RGPD, une opportunité pour votre entprise ou organisation et non un point bloquant. Ne craignez pas les amendes, mais préparez-vous pour démontrer que vous êtes ou allez être conformes.

__________________

Par Gabriel Avigdor | NTIC.ch

Première pilule connectée à un smartphone approuvée par la FDA

ABILIFY MYCITE: UNE PREMIERE POUR LA SANTE CONNECTEE

Une page importante s’est tournée dans l’histoire de la santé connectée le 13 novembre 2017. La FDA, l’autorité américaine de régulation des médicaments et des dispositifs médicaux, a  approuvé la mise sur le marché de ‘Abilify MyCite’, une pilule qui envoie un signal à un patch collé sur les côtes du patient et qui communique par bluetooth à une App médicale. Il s’agit de la première pilule connectée permettant de suivre l’ingestion de médicaments par un patient. Abilify est le nom commercial d’un médicament contenant de l’“aripiprazole“, molécule utilisée pour le traitement des personnes atteintes de schizophrénie, et pour le traitement et la prévention des récidives des épisodes maniaques modérés à sévères du trouble bipolaire de type I. 

L’approbation pour la mise sur le marché de cette pilule cumulée à celle du patch  connecté est une première pour la FDA, a commenté le Pharmacytimes, même si le senseur lui-même utilisé avec l’aripiprazole était déjà autorisé depuis 2012 par l’autorité américaine.  Plus d’informations spécifiques à cette approbation peuvent être consultées sur le site de la FDA.

________________________________

TECHNOLOGIE – COMMENT CA MARCHE?

D’un point de vue technologique, le senseur intégré dans la pillule Abilify Mycite se synchronise avec une application smartphone du patient, via le patch collé à la surface de la peau au niveau des côtes. Le patient ingère la pilule et une alerte est envoyée à un objet connecté (smartphone) via l’App mobile du patient. Si le patient partage ses données avec son médecin, ce dernier peut dès lors surveiller la prise de médicament. Selon des informations du site de la chaîné télévisée américaine PBS, les chercheurs œuvrent aussi à fabriquer des comprimés électroniques recueillant des paramètres comme la température interne du corps durant plusieurs jours.

________________________________

ASPECTS TECHNIQUES

Techniquement, LiveScience relate que la pilule intègre une puce en silicone dotée d’un circuit logique, composés de cuivre et de magnésium. Lorsque le senseur est mis dans une solution aqueuse, ou dans toute autre solution contenant des molécules polarisées, (tel que l’acide chlorhydrique – HCL – contenu dans l’estomac et qui dissout la pilule en conservant le senseur intact), ce dispositif génère un très faible courant, mais suffisant pour que la puce s’active. Techniquement, il s’agit d’une source de courant partielle et “le patient devient la batterie”.

Une fois activée, la puce de 1 mm de long et 0,3 mm envoie un signal très simple permettant d’encoder un seul nombre. Ce nombre identifie la pilule et indique à l’objet porté par le patient (le senseur sous la forme d’un bandage adhésif) que le médicament a été ingéré. Le signal n’est pas envoyé sous la forme d’un signal radio, mais le circuit logique émet un faible courant modulé, dont le niveau peut se représenter graphiquement comme une onde sinusoïdale. Dès lors que le corps humain est conducteur, le senseur perçoit ces changements et le courant modulé est capable d’encoder des 1 et des 0, de manière similaire à un signal FM.  Au fond, le fonctionnement est semblable à celui d’une ECG (électro-cardiogramme), puisque ces machines détectent les changements de courant électrique dans le corps humain afin de surveiller la fréquence cardiaque. Le senseur collé sur la peau a la même fonction, bien que que le courant soit plus faible.

La pilule est conçue pour ne fonctionner que durant 3 minutes environ, soit juste assez de temps pour envoyer un signal au patch permettant de le mettre en marche et récolter les données nécessaires pour comptabiliser l’ingestion du médicament par le patient. Cela a pour effet d’économiser des batteries, et permet au senseur de fonctionner pendant toute une semaine.

Le patch et les senseurs sont fabriqués par la société Proteus Digital Health et la molécule d’aripiprazole mise sur le marché par l’entreprise pharmaceutique japonaise Otsuka Pharmaceutical.

________________________________

ENJEUX ETHIQUES ET JURIDIQUES

 SUIVI DU PATIENT ET REDUCTION DES COÛTS DE LA SANTE

Le PHM (Personal Health Monitoring) comporte au moins deux avantages relatifs:

  • A L’OBSERVANCE, soit le fait de s’assurer que le patient souffrant de maladie mentale prenne régulièrement sa médication. Ceci peut être particulièrement intéressant pour les patients qui peuvent se trouver dans un état d’incapacité de discernement (comme pour les personnes âgées). Aux Etat-Unis, une étude menée par le National center for biotechnology information a démontré qu’un schizophrène sur deux répondant bien aux médicaments existants ne suivait pas son traitement de manière satisfaisante. L’observance (bon suivi d’un traitement) est donc également un enjeu important pour les patients atteints de maladies mentale;
  • AUX COÛTS DE LA SANTE, qui seraient réduits par la réduction de personnes oubliant de prendre leur pilule. Les conséquences sont d’ordre médicales et économiques. En effet, une personne qui ne prend pas, ou qui oublie de prendre ses médicaux, peut voir sa santé se dégrader, et nécessiter plus de médicaments, une ré-hospitalisation, voire une opération en cas d’indicent. Cet article indique notamment que les coûts pour le contribuable liés aux patients qui oublient de prendre leur médicaments pourraient s’élever à quelque $ 100 milliards. Un rapport américain prétendrait même des chiffres compris entre $100 et $300 milliards…
*  *  *
AVANCEE TECHNOLOGIQUE OUI, MAIS EST-CE UN PROGRES?

Cette avancée technologique est notable et le potentiel pour la réduction des coûts de la santé important. Pourtant, cela ne fait pas l’unanimité, notamment au sein du corps médical, et il est légitime de se demander dans quelle mesure l’utilisation d’une nouvelle technologie peut contribuer à une amélioration, non juste à un progrès scientifique. Qu’est-ce que le progrès apporte de plus, de mieux qu’avant ce progrès ? Peut-on déduire de cet apport scientifique que les bénéfices pour le patient l’emporteront sur les bénéfices financiers par exemple ?  Certains ont déjà manifesté des réticences et les questions liées à la surveillance de la santé ont déjà fait l’objet de recherches et de publications scientifiques sur ce domaine complexe (voir quelques références en fin d’article).

Bien que certains parlent de Big Brother médical ou biomédical selon le New York Times, la surveillance de la santé pose de nombreuses questions éthiques, dont au moins 8 sont à noter:

  1. vie privée et risques pour l’ingérence dans la vie privée du patient, collecte de données sensibles, voire biométriques du patient et d’un traitement de ces données de santé conforme à la volonté d’un patient qui peut être en incapacité de discernement;
  2. visibilité et caractère invasif – aspects liés au fait que des tiers peuvent s’apercevoir qu’une personne fait l’objet d’une surveillance médicale (probablement pas dans le cas d’Abilify, mais oui ) et qu’on considère dès lors différemment la personne parce qu’on la voit comme un “malade” ou qu’en société cette personne fasse plus l’objet, soit d’une discrimination, soit être plus vulnérable;
  3. (sur)médicalisation – cela peut aboutir à une situation où l’environnement de vie du patient devient le point central de traitement avec une perte de la séparation entre lieu privé et lieu de soins. A cela s’ajoute une stigmatisation liée au fait d’être sous surveillance;
  4. isolation sociale – par le fait que le patient ne se déplace plus pour procéder à son check-up régulier, le patient s’exclut de la société avec les conséquences psychologiques et médicales en cas de baisse de motivation, moral, etc.;
  5. autodétermination en matière médicale – quelle place pour le choix du patient lorsqu’il est suivi par son médecin qui peut savoir qu’il ne suit plus le traitement indiqué? Cela n’induit-il pas une certaine pression sur le patient?
  6. honte et aspects identitaires – quelles répercutions sur la personnalité du patient qui est perçu par la société comme marginal, si son traitement est visible?
  7. fourniture de soins – comment les soins sont-ils dispensés lorsqu’ils se font à distance et que le patient ne se déplace plus, est-ce une manière efficace de soigner, cette manière peut-elle être exclusive ou doit-on la combiner avec des rendez-vous physiques?
  8. sécurité, fiabilité et technologie mis en place

Ces aspects créent-t-ils une dé-responsabilisation du patient ou plutôt sur-responsabilisation, sont-ils bénéfiques ou néfastes?

On peut encore se poser la question des conséquences d’un point de vue assécurologique (assurances) si le patient ne prend pas sa pilule alors qu’il est surveillé, que cela soit avec ou sans dégradation de l’état de santé du patient.  Suspension, réduction, arrêt du remboursement des soins, mesures médicales ? Comment et sous quelles conditions ces informations pourraient être transmises à l’assureur de base ou complémentaire?

CONCLUSION INTERMEDIAIRE

Il existe donc de nombreuses, et sérieuses, interrogations sur les bénéfices réels du monitoring du corps humain par le patient ou un tiers autorisé ainsi que des questions juridiques et éthiques. Le risque d’ingérence dans la vie privée allant au delà du nécessaire, l’utilisation dérivée de cette surveillance et la pression induite, poussent à se demander dans quelle mesure les patients peuvent valablement consentir à ces mesures ou à pouvoir retirer leur consentement à ces mesures, ainsi qu’au traitement de leurs données personnelles. De plus, le fait que les patients atteints de troubles d’ordre psychiatrique  peuvent se trouver en situation d’incapacité de discernement pose encore des questions épineuses.

Les capteurs/senseurs intégrés dans Abilify sont (très probablement) configurés par défaut pour ne collecter que les informations utiles à la prise ou non du médicament. Soit le patient l’a prise, soit pas.  Mais, dès lors qu’il s’agit de capteurs, ceux-ci pourraient potentiellement collecter et traiter bien d’autres données que celles prévues au départ. Il pourrait s’agir de la fréquence cardiaque, de la quantité de sommeil, de la forme physique dans laquelle on se trouve, etc. La préoccupation principale serait une utilisation malintentionnée qui pourrait être faite de ces données par des organisations ou entreprises. De plus, comme pour toutes nouvelles technologies, nous n’avons que très peu de recul sur le potentiel et les risques, et peu de réglementation ou lignes directrices ont été publiées, comme l’indique cet article.

*  *  *
ATTENTION  AU RESPECT DE LA VIE PRIVEE ET AU SECRET MEDICAL

Un pilule connectée pose des questions liées à la sphère privée et à la protection des données. D’un point de la protection des données en Europe et en Suisse, ces données médicales entrent, lorsqu’elles permettent directement ou indirectement d’identifier un individu, dans la catégorie de données sensibles. Il en va de même des données biométriques qui sont une catégorie nouvellement intégrée dans le RGDP (art. 4 (14) RGPD) et dans le projet de révision de loi fédérale sur la protection des données (art. 4 let. c ch. 4 Projet-LPD).

Ainsi, tout traitement de ces données est illicite à moins que le responsable de traitement ne démontre une base juridique valable, telle que le consentement explicite (art. 9 §2 (a) RGPD, ou exprès du patient (art. 4 al. 5 et 13 al. 1 de la LDP). Le recueil de ce consentement doit s’opérer par le biais d’une information suffisante, doit s’exprimer de manière libre, être exposée clairement et sans ambiguïté, pour le traitement en question décrivant le but, la nature, ce qui en est fait, etc., par le professionnel de la santé et d’éventuels tiers pour qu’il soit valable (principe de transparence et consentement libre et éclairé).

Le fait de fournir des services en matière médicale implique le respect non seulement des règles en matière de protection des données, mais aussi de secret médical, dont seul le patient est le maître. Toute violation peut entraîner, sur plainte, une responsabilité pénale (art. 320 et 321 CP, art. 35 LPD, entre autres). En cas d’utilisation de ces données et si elles sont transmises à des tiers, tels que des sous-traitants, sans l’autorisation préalable exprès, le traitement est illicite et le responsable de traitement peut se voir condamner pénalement pour violation de ce secret. Sous l’angle de la protection des données, ce secret doit être garanti par le responsable de traitement et ses éventuels sous-traitants suisses (art. 9 §2 (h) et 9 §3 du RGDP), ou dans certains cas limités prévus par la loi, justifiée par des intérêts privés prépondérants (art. 13 al. 2 LPD). Selon le préposé fédéral à la protection données, ces données ne devraient d’ailleurs pas quitter la Suisse, ce qui exclurait l’utilisation des solutions cloud avec transmission de données transfrontières hors de la Suisse, sans consentement du patient et garanties suffisantes. A ce sujet, voir ma précédente note sur les recommandations du préposé fédéral en matière d’outsourcing pour l’externalisation de la facturation en matière médicale.

Enfin, pour les responsables de traitement soumis au RGPD, une violation de données pourrait conduire une autorité à prononcer des sanctions pouvant aller jusqu’à 2 à 4% du chiffre d’affaire annuel du groupe ou 10 à 20 millions selon les art. 83 ss du RGPD.

On ne peut que vivement recommander d’appliquer des méthodes de protection des données dès la conception (privacy by design) et par défaut (privacy by default) pour ce genre de technologies. Ce guide de considérations éthiques peut être un premier élément de départ en plus de connaître les exigences légales.

________________________________

CONCLUSION

L’approbation par la FDA de ce médicament connecté est un signal très fort et positif pour l’industrie et l’innovation en matière de santé et médicaments connectés, les technologies avancées en matière de sciences de la vie et dispositifs médicaux connectés.L’amélioration potentielle de la qualité de vie des patients, la facilité et l’efficacité du traitement, la réduction potentielle des coûts de la santé est notable et il faut se réjouir que ces initiatives réussies permette de réfléchir sur les manières d’aborder les nouvelles manières de se soigner grâce aux technologies. Il faudra dès lors s’attendre à bien d’autres innovations de ce type qui suivront dans les années à venir.

Comme pour toute nouvelle technologie, il n’est toutefois pas inutile de prendre un peu de recul, vu les nombreuses questions éthiques que cela peut soulever. Pour aboutir au résultat escompté, à savoir apporter de réelles améliorations, l’utilisation d’un tel dispositif nécessitera une implémentation réfléchie, vu la complexité du monitoring du corps humain.

Enfin, la protection du secret médical et les aspects de protection des données ne sont pas à négliger et il conviendra d’informer le patient avant le traitement sur le but, la manière de collecter les données, ne traiter que les données nécessaires en vue du traitement, travailler et collaborer avec le patient avec éthique, respect pour l’individu en particulier pour des personnes ayant des troubles psychiatriques, des capacités de discernement réduites de manière permanent ou passagère.

Quelques liens pour aller plus loin:

  • Mittelstadt, Brent, Ben Fairweather, Mark Shaw and Neil McBride. “The Ethical Implications of Personal Health Monitoring.” IJT 5.2 (2014): 37-60. Web. 4 Feb. 2018. doi:10.4018/ijt.2014070104
  • Mittelstadt, B., Fairweather, N.B., McBride, N., Shaw, M., 2011. Ethical Issues of Personal Health Monitoring: A Literature Review, in: ETHICOMP 2011 Conference Proceedings, ETHICOMP 2011, Sheffield, UK.
  • Elin Palm, Anders Nordgren, Marcel Verweij and Göran Collste, Ethically Sound Technology? Guidelines for Interactive Ethical Assessment of Personal Health Monitoring, 2013, Interdisciplinary Assessment of Personal Health Monitoring, 105-114.
  • Nordgren, Anders. (2013). Privacy by Design in Personal Health Monitoring. Health care analysis : HCA : journal of health philosophy and policy. 23. . 10.1007/s10728-013-0262-3.
  • Protection des données et sphère privée dans la santé connectée, article d’un blog pour la recherche et l’innovation dans les nouvelles technologies
  • Notice informationnelle du fabricant Otsuka Pharmaceutical pour Abilify Mycite.

_____________________

Par Gabriel Avigdor | NTIC.ch