Où sont stockées les données patients ?

La question est posée par Jean-Luc Tomasini, président du groupement Europharmacie. Inquiet après avoir assisté à un recours en Conseil d’État concernant le stockage de datas de santé sur des serveurs américains, il s’interroge sur la protection mise en place dans le cadre de la stratégie du numérique en santé.

À la question de savoir où sont stockées ces données hautement sensibles, Xavier Vitry, directeur de projet de la délégation ministérielle du numérique en santé (DNS), répond immédiatement : « Les données sont hébergées en France », et plus exactement « en région parisienne », elles sont donc sous la protection de « la réglementation française et européenne ».

En l’occurrence, précise-t-il, « nous sommes à l’état de l’art de la sécurité informatique » car tout le déploiement du numérique en santé est surveillé « comme le lait sur le feu » par l’Agence nationale de la sécurité des systèmes d’information (ANSSI), l’autorité nationale compétente en matière de sécurité et de défense des systèmes d’information, mais aussi par la Commission nationale de l’informatique et des libertés (CNIL) et par l’assurance-maladie.

Identification personnelle du professionnel

« À titre personnel, vous aurez la connaissance de qui a consulté votre dossier médical et quand, et l’information ne se limitera pas à "la pharmacie bidule", mais déclinera l’identité de la personne, le jour et l’heure de la consultation. Vous pourrez demander des comptes et, si vous estimez qu’il s’agit d’une connexion abusive, recourir à la justice », ajoute Xavier Vitry. Ce à quoi Philippe Besset, président de la Fédération des syndicats pharmaceutiques de France (FSPF) tient à préciser que c’est déjà effectif. « Depuis le mois de juillet tous les patients ont un espace numérique en santé. Et quand le médecin ou le biologiste renseigne un résultat médical ou biologique, le patient reçoit une alerte sur son portable l’informant que tel professionnel de santé est intervenu sur son dossier. » Le patient peut d’ailleurs, au préalable, déterminer les professionnels de santé pouvant accéder à ses informations de santé.

En outre, du côté du professionnel de santé, la consultation des données d’un patient est encadrée. « Cela doit se faire dans l’environnement professionnel : ce n’est pas parce que j’ai une carte CPS que je peux me connecter n’importe où et n’importe comment, martèle Xavier Vitry. Par ailleurs, vos logiciels étant des portes d’entrée vers le DMP, ils deviennent sensibles, avec une exigence de niveau de sécurité au quotidien qui change. Concrètement, le mot de passe qui permet de déverrouiller la session avec deux caractères qui sont vos initiales, c’est fini ! » Autre conséquence de cet impératif d’identification personnelle du professionnel, aussi bien pour la traçabilité par le système que par les patients : « l’introduction des préparateurs en pharmacie au RPPS (Répertoire partagé des professions de santé - NDLR) » est prévue à l’automne.

Hébergeur souverain

Quant à l’hébergement de données sur des serveurs américains, Xavier Vitry précise que cela n’a jamais concerné le déploiement du numérique en santé, mais que le sujet a été évoqué pour la plateforme Health Data Hub (HDH). Cet « outil destiné à traiter de la donnée statistique à des fins de recherche » mis sur pied par le gouvernement en 2019, a fait le choix de l’Américain Microsoft pour l’hébergement de ces données. Néanmoins, le Conseil d’État n’a rien trouvé à redire quant au choix de l’hébergeur, soulignant que « Microsoft héberge les données en Europe – actuellement aux Pays-Bas et prochainement en France – dans des centres qui bénéficient de la certification d’hébergeur de données de santé conformément au code de la santé publique ». Et que « Microsoft est soumis aux exigences de la réglementation française en matière d’hébergement des données de santé conformément au contrat qu’il a signé, et doit respecter le règlement général sur la protection des données (RGPD) ». Toutefois, face à la polémique, le gouvernement a gelé son projet et promis de changer d’hébergeur pour choisir « une solution souveraine », dès que celle-ci existera. À ce jour, selon le HDH, aucun hébergeur français n’a les capacités technologiques recherchées, « notamment en termes de sécurité ».