Expertises des Systèmes d'information - Mars 2021 - N°466 - Le mensuel du droit de l'informatique et du multimédia - 110

D

O

C

T

R

I

N

E

Le cadre de référence est à ce jour
principalement le cadre d'interopérabilité des systèmes d'information
de santé (CI-SIS). Il contient des
spécifications qui permettent aux
SIS d'échanger et partager des
données de santé.
Aux côtés de l'obligation désormais
inscrite dans la loi à l'article L1110-42 du CSP de se conformer à ce CI-SIS,
d'autres modes d'interopérabilité
sont également mis en avant.
L'action 16 de la feuille de route du
numérique en santé prévoit en effet
que « le bouquet de services numériques doit répondre à différents types
de besoins, via une offre ouverte
et modulable pouvant prendre
différentes formes : un catalogue de
services accessibles à partir des logiciels métiers par appel contextuel ou
par intégration forte (API), mais aussi
un portail web incluant une interface
utilisateur et proposant un ensemble
minimal de services « clés en main ».
Cette forme d'interopérabilité, entendue comme l'organisation d'accès
aux services du portail via appels
contextuels ou par interface interopérable, pourrait-elle bénéficier de la
technologie de la blockchain ?
Si les systèmes nationaux déjà existants n'y recourent pas, les nouveaux
services pourraient être réfléchis
en intégrant les avantages de cette
technologie, par exemple pour
faciliter l'amarrage d'applications sur
le bouquet de services ou encore à
l'espace numérique de santé.

Examen de la place
de la blockchain dans
le cadre juridique du
numérique en santé
Il ne s'agit pas ici de faire l'apologie
de cette technologie mais d'examiner dans quelle mesure ce système
décentralisé peut concourir à aider
à la mise en œuvre des outils de la
feuille de route  : outil national peut
ne pas être synonyme d'outil centralisé au moins sur le plan technique.
Toute intégration de la blockchain
dans le domaine de la santé nécessite en tout état de cause la prise en
compte de ses faiblesses.

110

A l'analyse, l'usage de la blockchain
dans le cadre de la mise en œuvre de
projets inscrits dans la feuille de route
soulève la question de ses qualités
pour contribuer à dématérialiser
dans des conditions juridiques et
techniques satisfaisantes la donnée
de santé à caractère personnel.
Cette question doit être regardée à
l'aune des règles de protection des
données personnelles et également
des règles propres aux données de
santé déjà inscrites dans le code de la
santé publique, dont celles relatives
à la force probante des documents
dématérialisés
comportant
des
données de santé (1 et 2).
Pour autant, il ne nous semble
pas nécessaire de l'encadrer par
le recours à une loi. En effet, la
blockchain n'est en soi qu'un moyen
technique au service d'une fin. Aussi,
il ne semble pas qu'il y ait lieu qu'elle
fasse l'objet en elle-même d'un texte,
au risque qu'il soit rendu obsolète
en raison de l'évolutivité rapide de
la technologie. Son usage dans le
domaine de la santé se trouve en
outre d'ores et déjà régulé au travers
de grands principes inscrits dans
la loi qui encadrent les données de
santé. En sus des règles relatives au
secret professionnel, est ainsi inscrit
dans la loi le principe d'interdiction
de cession des données de santé à
titre onéreux. Concilier ces principes
existants avec la nécessité de trouver
un modèle économique compatible
avec l'usage de la blockchain constitue un véritable enjeu (3).

Forces et faiblesses
de la blockchain au vu
du cadre juridique actuel
La blockchain comporte des
faiblesses à intégrer « by design » dans
les systèmes qui la mettraient en
œuvre dans le domaine de la santé.
En effet, l'opportunité du recours
à cette technologie devrait être
examinée en tenant compte, d'une
part, des enjeux écologiques, celleci étant à certains égards grande
consommatrice d'énergie, et d'autre
part, des exigences issues de la réglementation relative à la protection des
données personnelles.
EXPERTISES Mars 2021

A cet égard, la Cnil a émis des
recommandations relatives à l'usage
de la blockchain selon lesquelles le
principe commun à certaines de
ces solutions est que la donnée en
clair est stockée ailleurs que sur la
blockchain (comme par exemple sur
le système d'information du responsable de traitement) et que seule une
information prouvant l'existence de
la donnée y est stockée (engagement
cryptographique, empreinte issue
d'une fonction de hachage17 à clé,
etc.). La blockchain serait utilisée
dans un rôle de certificateur.
On rappellera en outre qu'il n'est pas
possible de revenir sur la modification apportée dans la blockchain. Il
est donc recommandé de penser l'architecture du système en préservant
la possibilité de modifier la donnée
dans une base ad hoc, afin de respecter le droit des personnes concernées
à l'égard de leurs données personnelles, en particulier le droit à l'oubli.
A noter qu'une blockchain privée ou
permissionnée18 pourrait permettre
de faire transiter les données en
clair (sans le mécanisme de l'empreinte). Elle entraînerait cependant
plus de risques pour la protection
des données. Restent à prendre les
mesures de sécurité qui s'imposent
pour éviter par exemple le vol de la
clé privée et bien entendu d'éviter
toute faille dans la construction de la
blockchain lors de sa conception.
D'une façon générale, le système qui
permet de faire transiter les données
en clair devra naturellement être
conçu dans le respect des règles de
sécurité et de confidentialité des
données personnelles de santé. On
soulignera que le fait de procéder
au hachage des données personnelles de santé est une technique de
pseudonymisation, qui ne permet
pas de s'exonérer du respect des
règles spécifiques aux données de
santé, telles que l'hébergement des
données de santé, si les conditions
de leur application sont réunies par
ailleurs.
Si la blockchain venait à avoir des
applications dans le domaine de la
santé à l'aune de la feuille de route
du numérique en santé, il resterait
Expertises des Systèmes d'information - Mars 2021 - N°466 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Mars 2021 - N°466 - Le mensuel du droit de l'informatique et du multimédia
