Expertises des Systèmes d'information - Mars 2021 - N°466 - Le mensuel du droit de l'informatique et du multimédia - 112

de sécurité complémentaires afin
d'ajuster au mieux la sécurité de son
système d'information en fonction
du contexte et des enjeux propres
aux documents concernés.
Le référentiel prévoit également le
cas dans lequel il serait fait le choix
par le responsable du système d'information de n'appliquer aucune des
recommandations du référentiel (ce
qui laisse interrogatif sur la valeur
prescriptive de ce référentiel devant
pourtant être approuvé par arrêté du
ministre chargé de la Santé).
Quel que soit le palier retenu par
le responsable de traitement, dès
lors que les moyens mis en œuvre
ne sont pas présumés fiables, il est
préconisé de recourir à une convention de preuve.
Dans ce contexte, le juge pourra être
amené à statuer sur la validité de la
convention de preuve. Il n'est jamais
lié par elle. La question va probablement se poser dans le cadre des
services nationaux à destination des
usagers mentionnés dans le cadre de
la feuille de route du numérique en
santé de l'introduction de l'usager
dans celle-ci. En vertu de l'effet relatif
des contrats, la convention de preuve
ne peut pas être opposée à l'usager,
elle ne vaut qu'entre les parties qui la
concluent. Comment en étendre les
effets à l'usager sans risquer d'être
dans une situation asymétrique ? En
effet, la convention de preuve ne doit
pas créer d'asymétrie trop forte entre
les parties, le juge pouvant considérer
que les clauses sont alors abusives. La
mise à disposition de la documentation technique imposée par l'article
L.1111-31 du code de la santé publique
peut contribuer à éviter ce risque,
en permettant à chaque partie de
prendre connaissance des modalités
de fonctionnement du processus de
dématérialisation.
Cependant, on en revient au sujet
de l'identité numérique du citoyen,
usager du système de santé, et devant
maîtriser l'usage et le devenir de ses
données au travers de systèmes dans
lesquels il doit avoir suffisamment
confiance.

112

Compatibilité avec le Principe
d'Interdiction de céder les
données de santé à titre onéreux
D'aucuns mettent en avant qu'un
effet néfaste de la blockchain, en
tant que dispositif décentralisé
qui ne s'appuie plus sur un tiers de
confiance, pourrait engendrer un
risque de patrimonialisation des
données de santé. Ce risque ne nous
semble pas accru par ce dispositif
mais il existe. En matière de données
de santé à caractère personnel, la
personne dispose déjà d'un droit
d'accès à son dossier patient organisé
par le code de la santé publique. Des
outils nationaux sont ou seront à sa
disposition pour renforcer l'effectivité de ce droit (en particulier au
travers du DMP et de l'ENS).
Le renforcement des droits de la
personne concernée sur ses données
amène à soulever la question de la
monétisation des données de santé
en permettant de les rendre accessibles contre rémunération. La mise
en œuvre de ces droits est effectivement facilitée par la technologie dont
celle de la blockchain.
Il résulte que si les pouvoirs publics
faisaient le choix de (re)donner à la
personne concernée cette maîtrise
sur ses données personnelles non
plus seulement au travers de la
reconnaissance de nouveaux droits
sur ces dernières (droit à la portabilité,
droit à l'effacement, etc.), mais en
recourant à la blockchain, il faudrait
prendre en compte dès la conception
du dispositif la question du modèle
économique.
La volonté du législateur français a
été incontestablement d'éviter toute
marchandisation des données de
santé, qui sont une émanation du
corps humain pour lequel l'indisponibilité est un principe essentiel
du droit français en inscrivant un
principe d'interdiction des données
de santé à titre onéreux à l'article
L. 1111-8 alinéa 4 du code de la santé
publique : « VII.-Tout acte de cession
à titre onéreux de données de santé
identifiantes directement ou indirectement, y compris avec l'accord de
la personne concernée, est interdit
EXPERTISES Mars 2021

sous peine des sanctions prévues
à l'article 226-21 du code pénal. » Au
titre des règles communes d'exercice des professions médicales, on
rappellera que la constitution et l'utilisation à des fins de prospection ou de
promotion commerciales de fichiers
composés à partir de données issues
directement ou indirectement des
prescriptions médicales ou des informations médicales mentionnées à
l'article L. 161-29 du code de la sécurité
sociale sont interdites, dès lors que ces
fichiers permettent d'identifier directement ou indirectement le professionnel prescripteur. (Article L4113-7
du code de la santé publique).
Le recours à la blockchain doit donc
se faire en tenant compte de ces
principes. En outre, elle pourrait
elle-même en faciliter le respect en
étant conçue avec des restrictions
adaptées.
La blockchain publique présente une
architecture décentralisée, ouverte,
chacun pouvant y accéder, y effectuer des transactions ou prendre
part au consensus. Des variantes
sont cependant possibles. Ainsi, par
exemple, la blockchain publique peut
faire appel à une architecture ouverte
tout en introduisant :
■ un « validateur » de transactions,
pour contrôler les nœuds du
réseau autorisés à valider les
transactions ;
■ ou un contrôle sur l'identité des
intervenants pouvant être partie à
une transaction.
Cette technologie de la blockchain
pourrait être couplée avec le système
classique de l'IGC présentée supra.
En effet, le système de l'IGC pourrait
porter les solutions d'identification,
faisant ainsi le lien entre l'identité et
le pseudonyme sur la blockchain. La
blockchain serait alors en charge de
tracer les accès aux données.
La maîtrise par l'individu de
ses données personnelles via la
blockchain semble ainsi pouvoir être
encadrée par des moyens techniques.
Une contrepartie financière ne peut
être envisagée que dans un cadre
éthique et juridique rénové.

Expertises des Systèmes d'information - Mars 2021 - N°466 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Mars 2021 - N°466 - Le mensuel du droit de l'informatique et du multimédia