Données de santé : le grand n’importe quoi

Les données de santé sont définies par la Loi informatique et libertés comme des données sensibles, et leurs informatisation et partage obligent à la plus grande vigilance. Théoriquement. Car régulièrement on s’aperçoit que des personnes autres que les médecins et les services hospitaliers peuvent y avoir accès.

La dernière affaire en date concerne l’hôpital de Saint-Malo. Elle a été révélée par le Dr Jean-Jacques Tanquerel, travaillant au département d’information médicale (DIM) de cet établissement. Il s’est inquiété de ce que la direction ait donné l’autorisation à une société extérieure d’accéder aux dossiers des patients pour vérifier les codifications des années 2010 et 2011. Et il a porté cette anomalie à la connaissance de l’Ordre des médecins et de la Commission nationale de l’informatique et des libertés (Cnil). Celle-ci a diligenté une enquête. À l’issue du contrôle, elle a rendu public un communiqué confirmant le fait que le « prestataire a pu accéder, avec le concours de l’établissement, aux dossiers médicaux de plusieurs centaines de patients » . L’hôpital n’a pas été sanctionné, mais mis en demeure de faire cesser la chose dans les plus brefs délais.

On est là confronté à un dégât collatéral de la transformation des services publics en entreprises productives et rentables. Une part du financement des établissements de santé publics est désormais subordonnée à des impératifs de bonne gestion et de réduction des dépenses. L’analyse de leurs activités est devenue stratégique. Chaque acte pratiqué doit être « codé », ce code déterminant le remboursement qui sera effectué par l’assurance maladie. Et pour ne pas perdre d’argent, certains établissements préfèrent avoir recours à l’expertise de sociétés extérieures pour la vérification du codage. C’est le cas de l’hôpital de Saint-Malo et de bien d’autres. Prévus par la loi, ces traitements de données à caractère personnel à des fins d’évaluation ou d’analyse sont soumis à l’autorisation de la Cnil, qui la donne dans la plupart des cas, moyennant une condition implicite : que ces traitements ne portent pas sur les données nominatives des malades. Mais à Saint-Malo, les données n’ont pas été anonymisées au préalable et le prestataire s’est vu gratifié des mêmes droits d’accès qu’un médecin du DIM. Autrement dit, il pouvait librement consulter deux ans d’archives de dossiers informatisés concernant 950 personnes, voire, si besoin, accéder aux dossiers papier. L’intersyndicale Avenir hospitalier, qui avait déjà pointé ce problème d’externalisation du codage en 2011, s’est inquiétée du devenir du médecin lanceur d’alerte qui a été « affecté à un autre service ».

La Cnil a été avertie d’autres pratiques négligentes vis-à-vis des données personnelles. En mars 2013, le magazine Actusoins révélait qu’il suffit parfois d’utiliser Google pour tomber sur des données très confidentielles. En tapant des noms de médecins, ils ont pu accéder aux demandes d’examens en oncologie qu’ils avaient prescrit à leurs patients. Les documents stockés sur le serveur de l’hôpital Foch étaient tout naturellement indexés par Google, puisque rien n’avait été fait pour qu’ils ne le soient pas. Idem au Pôle de santé du Plateau (deux cliniques à Clamart et à Meudon, 92), où les données patients enregistrées via une borne interactive se retrouvaient consultables via Google. Dans les deux cas, ce sont les prestataires qui ont en charge serveurs et base de données qui omettent de vérifier que les sécurisations basiques soient bien en place. Et les responsables informatiques des établissements qui ne repassent pas derrière pour s’assurer que la confidentialité des données est bien respectée. En gros, tout le monde s’en fout.