B10 · Informatique médicale
Données de santé : structuration, confidentialité et protection
Décrire la nature sensible des données de santé et les principes de leur codage et de leur structuration. Présenter les règles d'accès, de conservation et de protection et leur articulation avec le secret professionnel.
Biostatistiques et méthodes d'analyse8 min de lecture17 QCM corrigés
Nature et sensibilité des données de santé
Le système d’information de santé, présenté dans la fiche précédente, fournit l’environnement technique dans lequel les données sont recueillies, échangées et conservées ; la présente fiche se concentre sur les données elles-mêmes et sur leur protection.
Une donnée peut donc être personnelle sans comporter le nom de la personne. L’identification indirecte résulte parfois de la combinaison de variables qui, prises séparément, paraissent peu informatives.
La qualification dépend du contenu, mais aussi du contexte et de la finalité du traitement. Une information initialement générale peut devenir une donnée de santé lorsqu’elle est croisée avec d’autres données ou utilisée pour déduire un état de santé.
Les données de santé appartiennent aux catégories particulières de données personnelles au sens du règlement général sur la protection des données, ou RGPD. Leur sensibilité tient à plusieurs raisons :
- elles concernent l’intimité de la personne ;
- elles peuvent persister longtemps et être difficiles à rendre obsolètes ;
- leur divulgation peut entraîner discrimination, stigmatisation ou atteinte à la vie privée ;
- elles sont souvent nécessaires à la continuité et à la sécurité des soins ;
- elles peuvent intéresser simultanément les soins, la recherche, l’évaluation et la santé publique.
Cycle de vie et traitement des données
La protection doit couvrir l’ensemble du cycle de vie de la donnée :
- collecte selon une finalité déterminée ;
- enregistrement sous une forme structurée ;
- contrôle de la qualité ;
- utilisation par des personnes autorisées ;
- échange éventuel dans un cadre défini ;
- conservation pendant une durée justifiée ;
- archivage, anonymisation ou destruction sécurisée.
Le responsable du traitement détermine les finalités et les moyens essentiels du traitement. Le sous-traitant agit pour son compte et selon ses instructions. Cette distinction attribue les obligations et empêche qu’un intervenant réutilise librement les données confiées.
Principes directeurs
Le RGPD impose plusieurs principes complémentaires :
- licéité, loyauté et transparence : le traitement doit reposer sur un fondement valable et être présenté clairement à la personne ;
- limitation des finalités : les données sont recueillies pour des objectifs déterminés, explicites et légitimes ;
- minimisation : seules les données adéquates, pertinentes et nécessaires sont collectées ;
- exactitude : les données inexactes doivent pouvoir être corrigées ;
- limitation de la conservation : les données identifiantes ne sont pas gardées indéfiniment sans justification ;
- intégrité et confidentialité : elles doivent être protégées contre les accès, modifications, pertes et destructions non autorisés ;
- responsabilité démontrable : l’organisme doit pouvoir prouver qu’il respecte ces principes.
Codage et structuration
La structuration permet le classement, la recherche, le contrôle automatique et l’échange. Elle réduit les ambiguïtés, mais ne garantit pas à elle seule l’exactitude de l’information.
Le codage consiste à représenter une notion par un symbole ou un identifiant défini dans un système de référence. Une structuration fiable associe :
- un identifiant permettant de rattacher correctement les informations ;
- un type de donnée et un format explicites ;
- une unité lorsqu’une grandeur est mesurée ;
- une date et un contexte de production ;
- une terminologie contrôlée pour limiter les synonymes et les ambiguïtés ;
- des métadonnées décrivant l’origine, la qualité et les conditions d’utilisation.
L’interopérabilité syntaxique permet à deux systèmes d’échanger des données selon une organisation technique commune. L’interopérabilité sémantique garantit qu’ils attribuent le même sens aux informations échangées. La première rend le message lisible par la machine ; la seconde rend son contenu interprétable sans ambiguïté.
Identification, pseudonymisation et anonymisation
La pseudonymisation diminue le risque d’identification directe, mais elle reste réversible si la table de correspondance est disponible. Les données pseudonymisées demeurent donc des données personnelles et restent soumises au RGPD.
L’anonymisation exige de considérer trois risques : l’individualisation d’une personne, le rapprochement de plusieurs enregistrements la concernant et l’inférence d’une information à son sujet.
Confidentialité, accès et secret professionnel
L’accès ne doit pas résulter de la seule possibilité technique. Il repose sur une habilitation, accordée selon la mission de l’utilisateur et limitée aux informations nécessaires. L’authentification vérifie son identité ; l’autorisation détermine ce qu’il peut consulter ou modifier.
Les accès doivent respecter plusieurs règles :
- identifier individuellement l’utilisateur ;
- attribuer les droits selon ses missions ;
- appliquer le principe du moindre privilège ;
- retirer ou modifier les droits lorsque la mission change ;
- enregistrer les consultations et les modifications ;
- contrôler les traces afin de détecter les usages injustifiés.
Le secret professionnel interdit aux professionnels soumis à cette obligation de révéler les informations confidentielles connues dans le cadre de leurs fonctions. Il porte sur ce qui a été confié, mais aussi sur ce qui a été constaté, compris ou déduit.
Le secret professionnel est une obligation juridique attachée à la personne. La confidentialité est une propriété plus large du traitement et du système. Les mesures techniques ne remplacent donc pas le secret, tandis que le secret ne dispense pas de sécuriser les outils.
Le partage d’informations entre professionnels n’est légitime que s’il est prévu par les textes, nécessaire à la prise en charge et limité aux données pertinentes. L’appartenance au secteur sanitaire ne donne pas un droit général d’accès.
Conservation et sécurité
La durée de conservation dépend de la finalité, des obligations légales et de l’intérêt de l’information. Une fois la durée active achevée, les données doivent être supprimées, anonymisées ou placées dans un archivage intermédiaire à accès restreint.
La sécurité repose sur des mesures complémentaires :
- mesures organisationnelles : politique d’habilitation, formation, procédures et contrôle des intervenants ;
- mesures techniques : authentification robuste, chiffrement, sauvegardes, journalisation et cloisonnement ;
- mesures physiques : contrôle des locaux et des supports ;
- mesures de continuité : restauration des données et maintien des fonctions essentielles ;
- mesures d’évaluation : analyse des risques, contrôles réguliers et correction des vulnérabilités.
Une violation de données personnelles correspond à une destruction, une perte, une altération, une divulgation ou un accès non autorisé, accidentel ou illicite. Elle doit être analysée rapidement afin d’en limiter les conséquences et d’appliquer, lorsque les conditions sont réunies, les obligations de notification.
La personne concernée dispose de droits sur ses données, notamment les droits à l’information, à l’accès et à la rectification. D’autres droits peuvent s’appliquer selon le fondement et la finalité du traitement. Ils connaissent toutefois des limites lorsque la conservation ou l’utilisation des données répond à une obligation légale ou à un motif d’intérêt public prévu par les textes.
Entre ton email pour débloquer le reste de cette fiche
Il reste 3 sections à lire — plus les QCM corrigés, l'examen blanc et le suivi. 72 h d'essai gratuit, sans carte bancaire.