L’année 2021 n’a pas été avare en matière de fuites de données de santé. Ainsi le centre hospitalier de Villefranche-sur-Saône a-t-il été victime d’une cyberattaque avec un chantage aux fuites de données, de même l’APHP a-t-elle informé quelque 1,4 million de personnes de la fuite de données relatives aux tests contre le Covid, ou encore près de 500 000 patients du quart Nord-Ouest du pays ont-ils vu leurs dossiers médicaux piratés et publiés sur Internet. La sécurité des données est un véritable enjeu et plonge les professionnels de santé dans l’embarras. « On s’aperçoit que la connaissance à la fois théorique et factuelle de la part des professionnels de santé est assez faible et pourtant, parallèlement, leur sensibilisation à ce sujet a beaucoup augmenté, explique Nicolas Buglio, président d’Offisanté, ce qui donne un cocktail un peu particulier, une forme d’appréhension sans pour autant comprendre les vrais enjeux. » Et le dirigeant de souligner qu’avec le RGPD, les pharmaciens ont eu peur, peur du RGPD, une peur toutefois peu argumentée : « ils disent parfois qu’on ne peut pas traiter la donnée. » Or, les données, surtout dans le domaine de la santé, sont faites pour transiter, circuler de telle sorte qu’elles parviennent au bon destinataire, dans le cadre du parcours de soins du patient, et à commencer par le patient lui-même. Comment dépasser ces peurs, ces apparentes contradictions ?
Se mettre à la place des pharmaciens
Il faut, de la part des prestataires, se mettre à la place des pharmaciens, pour qui les problématiques de sécurité sont trop complexes. Elles le sont du reste pour tous les non spécialistes. Ces derniers ne peuvent pas faire mieux que de demander s’ils assurent un niveau de protection de données suffisant. Ce à quoi les prestataires répondent, en tout cas pour les données de santé, qu’elles sont hébergées dans un ou plusieurs sites certifiés HDS, l’agrément donné par les autorités publiques aux hébergeurs qui respectent ainsi un cahier des charges très exigeant. Est-ce suffisant ? Est-ce que les pharmaciens ne devraient pas poser a minima d’autres questions sans pour autant rentrer dans la complexité d’une matière qui n’est pas de leur ressort ? Pour certains, cet agrément HDS est déjà une réponse forte : « c’est un gage de sécurité de haut niveau, estime ainsi Thomas Brunet, pharmacien d’officine et cofondateur de la société Apodis, de plus elle évolue régulièrement. »
De haut niveau, oui, mais est-il suffisant ? Tout le monde n’est pas d’accord sur la question. C’est ainsi que MaQuestionMédicale apporte une réponse originale sur le sujet de la sécurité des données de santé. Pour Jean Tafazzoli, son fondateur et président, certes, la norme HDS protège bien, mais pour une protection optimale, il faudrait imiter ce qui se fait dans le domaine de la finance par exemple : « dans ce secteur, ils ont des systèmes de containérisation et de hachage des données qui protègent de façon plus efficace encore, il s’agit dans ce cas de hacher en quelque sorte les données, et de les abriter dans des systèmes d’hébergement différents, puis de les faire tourner selon une clé dynamique d’un serveur à l’autre. Ainsi, pour ce qui est des données de santé, cela signifie par exemple couper le numéro de sécurité sociale, les trois premiers chiffres sur un serveur A, qui vont ensuite sauter sur un serveur B, les données sautent ainsi d’un service à l’autre et de façon cryptée. » C’est le système de protection qu’a choisi la société. C’est le système qu’il faudrait utiliser dans le domaine de la santé en général affirme-t-il en substance.
Cryptage et authentification
Les autres prestataires, tout en s’abritant derrière la sécurité proposée par l’agrément HDS, n’en complètent pas moins la protection des données par diverses techniques et initiatives, à l’instar d’Apodis.
« En plus de l’agrément HDS, il faut de hauts niveaux de cryptage, et de hauts niveaux d’identification », explique Thomas Brunet. C’est ainsi qu’Apodis a choisi de se faire certifier Pro santé Connect, un agrément non obligatoire celui-là, qui permet d’aller un peu plus loin en matière d’authentification. Il est vrai que les professionnels de santé sont déjà protégés par le biais de leur carte CPS qui sert souvent de clé d’authentification. Mais cette certification apporte une sécurité supplémentaire. D’autres vont prendre des mesures spécifiques comme par exemple, pour Offisanté, des tests de pénétration externe dans le système pour vérifier qu’il résiste aux attaques. Rappelons qu’Offisanté ne traite que des données commerciales, et qu’à ce titre, la société n’est pas soumise à l’obligation de la certification HDS. Le pharmacien, lui, peut demander des précisions sur la politique de sécurité de son prestataire, au-delà de la certification HDS. Certes, « on ne verra jamais dans un contrat le détail de l’architecture de sécurité » note Jean Tafazzoli, et du reste le pharmacien n’y comprendrait rien, mais en revanche, il lui faut connaître la politique du prestataire. « Le responsable numérique d’un prestataire écrit un document référence sur cette politique de sécurité pour la CNIL, il y explique comment sont gérées les données, précise-t-il, certes, c’est un document interne à l’entreprise, mais le professionnel de santé peut demander à le consulter, il peut aussi passer par la CNIL pour y parvenir. »
Autre élément sur lequel aussi MaQuestionMédicale qu’Apodis insistent, connaître le profil des décisionnaires chez un prestataire. Si celui-ci est dans les mains d’un gestionnaire professionnel de santé, ce dernier est soumis à des obligations déontologiques. Les deux entreprises ci-dessus citées sont gérées par des professionnels de santé et le rappellent volontiers. La sécurité des données, cela passe aussi par des actes simples de management, une gestion optimale des mots de passe, assez critique « car un mot de passe laissé sur un post-it fait parfois bien plus mal que des intrusions techniques », selon Christophe Gueguen, partenaire associé chez Magellan Consulting. Ou encore, vérifier que l’on a bien désactivé une adresse mail après le départ d’un collaborateur.
Entrée en scène du RGPD
Une fois rassuré sur les enjeux de sécurité des données, le pharmacien va pouvoir envisager comment les faire circuler. C’est là que le RGPD entre en scène, et c’est là aussi que les professionnels de santé peuvent être déstabilisés. Les prestataires tiennent à rappeler que RGPD et sécurité sont deux choses bien différentes. « La sécurité vise à protéger les données du piratage, le RGPD encadre le traitement des données personnelles et protège les citoyens », tient à rappeler Thomas Brunet. D’une certaine manière, le RGPD entre en jeu quand la sécurité des données est assurée. Mais les choses ne sont pas aussi simples, puisque pour Christophe Gueguen, le RGPD « contient trois volets, dont la protection des données, le deuxième étant l’information et le consentement et enfin, le troisième la gestion des violations ».
La complexité avec cette réglementation qui veut protéger les données sensibles en général réside dans la valeur d’usage qu’on lui donne. Et celle-ci est mouvante. « Il y a en effet la volonté de protéger les données mais aussi de pouvoir les transmettre tout en informant ce qu’on va en faire, explique Christophe Gueguen. Il y a, il est vrai, dans les usages qui en sont faits un peu d’ambivalence, ainsi en est-il avec les données liées au traçage du Covid, ce sont des données sensibles, mais on accepte de les transmettre selon la sensibilité du contexte. On se retrouve en effet avec des frontières qui ne sont pas toujours très claires, alors que par exemple, vis-à-vis du B to B, les usages veulent un engagement fort pour protéger la vie privée. »
Expliquer clairement où vont les données
Le pharmacien, lui, a comme souci de pouvoir faire circuler les données, car au-delà des données sensibles que sont celles liées à la santé de leurs patients, il y a en a beaucoup d’autres, des données personnelles qui aident à l’e-commerce par exemple, ou tout simplement aux livraisons et au click & collect. « Tout ce qui est lié à l’interopérabilité des systèmes permet la circulation de ces données », explique Nicolas Buglio. Pour faciliter ces échanges et rassurer le pharmacien, Offisanté propose un document électronique à signer « qui explique de façon claire où vont les données et ce qu’on en fait, en évitant le jargon juridique ». Le président du statisticien fait allusion aux contrats illisibles auxquels on est tous confrontés et qu’on nous demande d’approuver pour bénéficier des prestations qui leur sont liées. C’est ainsi qu’il évoque les modifications des conditions générales effectuées par les LGO, dans une formulation qui n’est pas claire. Or, sans acceptation, le pharmacien ne peut pas continuer à travailler. D’où la préconisation de Nicolas Buglio de demander une information claire. « On ne peut donner son consentement éclairé face à des informations qu’on ne comprend pas. »
Près de 40 % du chiffre d’affaires
Médicaments chers : poids lourds de l’activité officinale
Les concentrations continuent
Hygie 31, Giropharm : grandes manœuvres au sein des groupements
Valorisation et transactions en 2023
La pharmacie, le commerce le plus dynamique de France
Gestion de l’officine
Télédéclarez votre chiffre d’affaires avant le 30 juin