Big data santé : et le respect de la vie privée ?

Publié Par The Conversation, le dans Technologies

Par Nathalie Devillier.1

Big data santé : et la vie privée ?

Big data santé : et la vie privée ? Big brother by Max Sat(CC BY-NC-ND 2.0)

Si le rôle positif des technologies de l’information et de la communication dans le domaine de la santé est incontestablement reconnu, l’explosion du big data est un changement majeur qui doit prévenir les risques sanitaires et non en développer de nouveaux tout en préservant l’intimité de la vie privée.

Un risque de révélation publique d’un état de santé privé

L’explosion des objets connectés et des apps de santé génère une masse de données à caractère personnel jamais égalée et dont le régime juridique n’est pas homogène. Coaching sportif, podomètre, balance intelligente, jusqu’au robot d’assistance thérapeutique… D’un côté, les données de santé ont un régime strict de protection (consommation d’un médicament, données figurant dans le dossier médical stricto sensu), de l’autre, les données de bien-être sont dépourvues de définition légale et donc de statut juridique spécifique. Pourtant, les données de bien-être amassées par le big data sont bien de nature à révéler un état de santé (activité physique, qualité du sommeil, évolution du poids).

Par exemple, en 2012 aux USA un père de famille a découvert la grossesse de sa fille en recevant une offre marketing à son domicile : ceci a été rendu possible par les différents mots-clés saisis par celle-ci sur son ordinateur personnel qui, croisés avec l’adresse IP, ont permis l’envoi du courrier à son domicile personnel. Pour la même raison l’utilisation du jeu de réalité augmentée Pokémon Go en milieu sanitaire est à proscrire : elle génère la captation de données de santé et l’image de patients, ce qui doit amener les établissements de soins à faire preuve de vigilance.

La collecte et le consentement au traitement des données de bien-être et leurs conséquences sur le plan individuel doivent être clairement identifiés dès la conception des outils technologiques afin que l’individu accepte leur traitement en connaissance de cause. Pour une protection optimale de ces données, le chiffrement est à généraliser tel que le préconise le Contrôleur européen à la protection des données dans son avis de juillet 2016.

De plus, ces données sont souvent transférées en dehors du territoire sur lequel elles ont été collectées sans que leur titulaire l’ait expressément accepté. Ces données échappent donc au régime juridique protecteur applicable dans le pays d’origine pour relever du droit où les serveurs se trouvent n’importe où dans le monde ! Ces écueils juridiques seront en partie corrigés en 2018 avec l’entrée en vigueur du règlement européen sur la protection des données à caractère personnel.

Une réutilisation des big data en santé à des fins de marketing

Pour le moment, l’absence de cadre juridique protecteur des données de bien-être est actuellement exploitée par les entreprises à des fins commerciales. En effet, ces données sont collectées parfois par une seule appli qui en contrôle plusieurs (Home d’Apple). Comment cela est-il possible ?

En fait, les applications et les objets connectés reposent sur un contrat d’adhésion passé entre l’entreprise et son client, plus précisément des conditions générales d’utilisation (CGU), des politiques de confidentialité. Les utilisateurs, pressés d’entrer dans le service qui est souvent gratuit, ne lisent pas ces éléments contractuels et n’en reçoivent que très rarement une copie durable par email. De ce fait, une fois l’application ou l’objet connecté installé, l’utilisateur n’a plus la possibilité de consulter les termes du service.

Or, la Commission française des clauses abusives a mis en lumière dans sa Recommandation de 14-02 sur les contrats de fourniture de réseaux sociaux une liste des clauses noires et grises relevées dans ces contrats : modification unilatérale des CGU, limitation et exonération de responsabilité, avis d’arbitrage en guise de règlement des différends. Une atteinte à d’autres droits (réparation, défense) est donc générée par l’absence de contrôle des clauses abusives figurant dans ces contrats.

Une attention particulière doit être portée aux applications et services de santé et/ou bien-être offerts en mode freemium (gratuitement avec des micro-achats intégrés). En effet, ils génèrent une collecte massive des données à caractère personnel qui sont ensuite transmises à des prestataires de services non identifiables et à des sociétés apparentées à celle détenant l’application ou ses clients. Enfin, des publics sensibles tels que les enfants et les seniors devraient être davantage protégés contre l’impact du numérique sur la santé.

Une interconnexion des réseaux sociaux avec les services numériques en santé et bien-être

Chaque individu a aujourd’hui un double numérique dans le big data, résultat des données saisies directement en renseignant son profil sur une application ou un site Internet ou alors indirectement par la connexion via un réseau social ou un compte préexistant (Microsoft, iPhone, FB, Gmail, Instagram, Vine…). Les données de l’utilisateur sont aussi capturées par les cookies et les pixels espions déposés par les entreprises sur les interfaces de navigation de l’utilisateur (PC, tablette, smartphone) et sur ses applications y compris de simples jeux ; sans oublier le deep linking qui permet d’envoyer l’internaute directement dans une app à partir d’une recherche sur un moteur de recherche.

Les usagers, y compris ceux des générations X et Y, sont loin de maîtriser les effets de cette interconnexion des réseaux sociaux avec les applications et les objets connectés dont ils raffolent. Qu’en sera-t-il lors d’un entretien d’embauche ? Regardez outre-Atlantique où les data brokers en savent plus sur vous que Facebook et Google réunis !

Les développements technologiques tels que la chaîne de blocs en santé (blockchain), la livraison de médicaments par drones et le deep learning de Watson semblent aussi être des opportunités à saisir mais elles doivent préserver l’intimité de la vie privée et la protection des données de santé dites sensibles. La chaîne de blocs est comme une base de données qui contient l’historique de tous les échanges de façon sécurisée entre plusieurs utilisateurs. Watson est un programme informatique d’intelligence artificielle conçu par IBM dans le but de répondre à des questions formulées en langue naturelle. Mais attention, les cyberattaques n’épargnent pas le secteur de la santé avec les services numériques ;). La vigilance doit donc être la priorité à la fois de l’usager et du prestataire de services de soins.

Voulons-nous réellement d’une santé prédictive ?

Les algorithmes permettent la ré-identification d’une personne à partir d’un nombre restreint de données ce qui met fin à l’anonymat de l’utilisateur et l’expose à toutes sortes de risques numériques : failles de sécurité, vol d’identité, phishing et spams ; voire à de potentielles discriminations fondées sur l’état de santé de la part d’employeurs peu scrupuleux (voir l’affaire du bébé Fei, AOL, 2015), de banques ou d’assureurs (v. en France l’initiative de Generali contestée par le ministère de la Santé).

L’absence de transparence sur l’utilisation des données collectées laisse craindre le développement d’algorithmes prédictifs discriminatoires capables à partir des données, des centres d’intérêts, des préférences de l’utilisateur de déduire son comportement, ses choix, son rendement professionnel, sa situation économique, son état de santé. L’ambition des GAFA (Google, Apple, Facebook et Amazon) d’entrer dans le champ de la santé doit être contrecarrée par des actions de sensibilisation du public afin de prendre conscience de l’intrusion provoquée sur la vie privée, les données de santé et leur mésusage. Conclusion, une santé prédictive, oui, mais si j’ai autorisé sciemment le traitement de mes données à une société identifiée et pour une finalité de prévention ou de suivi médical clairement définie.

Sur le web

  1. Professeur de droit, Grenoble École de Management (GEM).
  1. L’article décrit bien comment la peur de situation hypothétiques suscité un excès de réglementation et légitime la protection des citoyens, incompatible avec leur liberté et leur responsabilité.
    Les données de santé sont protégées sur le papier en France : les associations d’usagers sont satisfaites. La CNIL veille. Les agréments et autres homologations nationales sont nombreux, complexes, coûteux. Les coûts des services proposés aux citoyens par les entreprises, mais aussi par les professionnels de santé, les services hospitaliers, les assurances, etc. flambent depuis des années. Les prix s’en ressentent.
    C’est pour notre bien disent les juristes et les associations, suivis par les ministres de tous poils.

    Mais sur le terrain ces belles règles sont violées quotidiennement par tous les acteurs concernés, car elles sont au final inapplicables.

    Un exemple : 3 ans de prisons et 45.000€ d’amende punissent quiconque héberge des données de santé nominatives sur un ordinateur ou un site informatique qui ne serait pas agréé en ce sens (agrément « Hébergeur de Données de Santé »).
    Tous les services hospitaliers régionaux qui centralisent un service informatique mis à disposition de structures plus petites sont ainsi des hébergeurs de données de santé. Aucun n’est agréé.
    Les secrétaires des ambulanciers qui prennent des rendez-vous pour le transport des patients chez les médecins ou vers les cliniques créent ainsi une donnée de santé nominative, hébergée sur l’ordinateur de l’ambulancier. Techniquement l’opération est simple. Judicieusement l’ambulancier doit se faire agréer comme HDS : aucun ne l’est.
    Tous les logiciels des médecins, radiologues, pharmaciens, auxiliaires médicaux qui tournent en mode SAAS (les données sont sur des serveurs distants, une interface simple, souvent web, suffit à fournir le service de suivi des patients, de prescription, de facturation, de prise de rdv, etc.) doivent fai appel à des serveurs et des prestataires agréés HDS : presque aucun ne l’est.
    Parmi ces professionnels de l’informatique de santé, certains ont leurs serveurs à l’étranger (jusqu’en Israël pour l’un d’eux…), donc hors de portée des textes et règlements en vigueur.

    Toutes ces violations se pratiquent depuis des années. Ce sont des dizaines de millions de dossiers de soins, de données de santé nominative, d’informations personnelles sensibles qui sont en réalité exploitées en dehors de tout respect de la Loi.

    Et vous savez quoi ?
    Quoi qu’en disent les associations et les juristes, il n’y a pratiquent jamais eu de fuite, d’exploitation abusive, de discrimination, de préjudice pour les patients concernés. Bien au contraire.

    Mais faire peur aux citoyens sera plus efficace, gageons que dans quelques années nous seront tellement protégés que nous ne pourrons plus sortir de chez nous, tant les risques (imaginaires) seront devenus grands ! Et tant nous aurons perdu tout sens commun, tout sens des responsabilités individuelles…

  2. Oui , mais en tant que libéraux cela nous pose un problème : au nom de la liberté d’entreprendre et du progrès , nous sommes pour l’innovation et la mise sur le marché d’appareils connectés ,notamment à notre santé .
    Mais au nom des libertés individuelles , nous sommes contre le flicage sous toutes ses formes , donc de facto contre les appareils connectés ( nos données seront transmises )
    Il y a de quoi devenir schizophrène devant une telle dichotomie !

    1. Je suis bien d’accord. A une époque où de plus en plus de gens exposent au grand jour leur vie privée (fesse de bouc, instant de gramme, cui-cui terr, etc) réglementer pour préserver la vie privée devient un exercice amusant…

Les commentaires sont fermés.