Hors collection - Écosystème numérique : défis juridiques et sociétaux - 41

CHAPITRE 3 - NUMÉRIQUE ET SANTÉ
41
B. L'action de la CNIL
La diffusion sur internet d'un fichier contenant les données médico-administratives d'un demi-million
de personnes a entraîné une série de contrôles de la CNIL auprès d'un grand éditeur de logiciel de
santé à destination des laboratoires d'analyse médicale. Ces contrôles ont confirmé l'origine de la
fuite, due à des manquements à l'obligation de sécurité et d'encadrement contractuel imposée aux
sous-traitants par le RGPD.
La formation restreinte de la CNIL7
a lourdement sanctionné l'éditeur à la hauteur de la sensibilité des
données, de leur volume et des conséquences dommageables pour les personnes. Cette sanction à
destination d'un sous-traitant rappelle le périmètre des obligations qui s'imposent en propre à ceux-ci
et qui imposent, notamment dans un contexte de données sensibles, un haut niveau de protection des
données et des systèmes d'information. Elle permet également d'illustrer les attentes de la CNIL en ce
qui concerne la gestion des violations de données personnelles et des alertes en matière de sécurité.
C. La coopération public/privé
Le ministère des Solidarités et de la Santé, dans sa feuille de route8
installer le développement d'un numérique en santé dans un cadre éthique.
Transparence sur le traitement des
données du citoyen
Prévenir l'impact environnemental
du numérique en santé
Prévenir les biais discriminatoires de
l'IA
Prévenir les fractures numériques
a présenté quatre axes pour
Rappel des exigences du RGPD obligeant les éditeurs, développeurs,
prestataires à distinguer la finalité primaire (production du soin), des autres
finalités telles que l'amélioration du service, commercialisation, etc.
L'adoption de deux éco-scores est prévue afin de permettre évaluation de
l'impact environnemental des solutions.
Un guide de bonnes pratiques est annoncé à destination des solutions de santé
intégrant une IA, ainsi qu'un accompagnement des éditeurs dans une
démarche Ethics by design.
En donnant accès à tout, pour tous, tout le temps via l'implantation de
formations et d'aide à la prise en main des outils numérique.
§3. Les données de santé face aux risques numériques
A. Le constat
Entre 2021 et 2022, le parquet de Paris s'est saisi pour plus de 60 faits d'atteintes informatiques contre
les organismes de santé en visant l'ensemble de la chaîne médicale. Pour 78 %, elles ont impacté des
organismes recevant des patients (Centres Hospitaliers, cliniques privées, Ehpad, maisons de santé ou
de convalescence...). Elles ont aussi fait d'autres victimes du secteur de la santé (Laboratoires d'analyses
et pharmaceutiques, mutuelles, pharmacies, sociétés d'ambulances, cabinets dentaires, ordres...).
Les groupes criminels pratiquent, en plus du chiffrement contre rançon, une double extorsion en exfiltrant
les données de santé des patients et en menaçant de les révéler s'il n'y a pas payement. La publication
des dossiers médicaux entraîne une multiplication du nombre de victimes, les patients déposant
7. CNIL, formation restreinte, délib. nº SAN-2022-009, 15 avr. 2022.
8. Communiqué de presse, ministère des Solidarités et de la Santé, 21 janvier 2022.

Hors collection - Écosystème numérique : défis juridiques et sociétaux

Table des matières de la publication Hors collection - Écosystème numérique : défis juridiques et sociétaux