Développement de dispositifs et d’apps de santé : quelles pratiques adopter ?
Piluliers connectés, bracelets qui comptent les pas ou les battements cardiaques, applications de suivi des régimes alimentaires, d’analyse de la qualité du sommeil ou même de la gestion du diabète… 43% des Français déclarent utiliser des apps ou des dispositifs e-santé dans leur vie quotidienne.
Piluliers connectés, bracelets qui comptent les pas ou les battements cardiaques, applications de suivi des régimes alimentaires, d’analyse de la qualité du sommeil ou même de la gestion du diabète… Déjà 43% des Français déclarent utiliser des apps ou des dispositifs e-santé dans leur vie quotidienne. L’e-santé est au tournant de son développement, le marché devant progresser de 4% à 7% par an pour atteindre 4 milliards d’Euros à l’horizon 2020.
Près de 50 000 applications santé sont actuellement disponibles et de nouvelles apparaissent chaque jour. Or la e-santé relève d’un domaine sensible qui s’inscrit à la frontière du médical et ces apps suscitent des inquiétudes : risques d’informations inexactes, partisanes ou sponsorisées, récupération d’informations personnelles permettant à des tiers non autorisés de connaître l’état de santé d’une personne, revente des données sensibles…
Afin d’accompagner un marché en forte croissance, la Haute autorité de santé (HAS) a récemment publié un référentiel de 101 bonnes pratiques, élaboré avec l’appui de la CNIL et de l’ANSSI pour orienter les développeurs d’apps et améliorer la création des dispositifs et apps e-santé.
L’occasion d’un tour d’horizon sur une série de bonnes pratiques à adopter en matière d’e-santé.
1/ Fiabilité et qualité des informations délivrées
Cette exigence part d’un constat logique : les informations délivrées par les apps et objets connectés de santé n’ont pas une valeur médicale mais sont de nature à donner une analyse de données sensibles de l’utilisateur qui pourront conditionner son comportement.
La fiabilité de la donnée est donc essentielle. Le contenu doit ainsi :
Enfin, dans une logique de transparence, la HAS recommande de mentionner les éventuels liens d’intérêt des auteurs ainsi que les sources de financement de l’application et de fait. Il s’agit ici d’assurer la neutralité des contenus.
2/ Précision technique de la mesure des données
Un utilisateur peut légitimement s’interroger lorsque deux applications ou deux objets concurrents mesurent différemment les mêmes données. Concrètement, comment l’utilisateur peut-il avoir confiance en la e-santé lorsque deux applications divergent fortement sur sa pulsation cardiaque ?
A défaut de pouvoir uniformiser les méthodes, la HAS préconise sur ce point une meilleure précision dans la mesure des données qui fera la différence entre une application précise et une qui ne l’est pas :
3/ Facilité d’utilisation et accessibilité
L’utilisation de l’application ou de l’objet doit être simple, intuitive et accessible.
4/ La sécurité nécessaire d’un traitement de données « sensibles »
La cyber sécurité est plus que jamais au cœur de l’actualité après une récente attaque mondiale de piratage des données. Les données de santé sont des données personnelles hautement sensibles car plus que la personnalité de l’individu, elles concernent son intimité et son intégrité.
C’est pourquoi, les applications ainsi que les processus de traitement comme de transfert jusqu’au stockage de données doivent répondre à des exigences strictes et notamment :
La HAS prévoit un régime qui gradue en fonction des risques (recommandations, conseils, obligations) servant de guide à l’appréciation de la conformité d’un projet e-santé (IoT, app etc.).
Réflexes Juridiques – Data Compliance & e-santé
Suivant le principe de Privacy by Design instauré par l’article 25 du Règlement Général Européen pour la Protection des Données du 26 avril 2016 (ci-après RGPD), les porteurs de projets e-santé devront s’assurer dès le moment de la conception de leur apps ou de leur objet connecté d’une parfaite conformité à la réglementation applicable en matière de protection des données et de la vie privée.
Concrètement cela signifie d’être en capacité de justifier du respect du référentiel élaboré par la HAS tel que décrit ci-avant.
Cela signifie également de répondre aux exigences générales de la réglementation « informatique et libertés » dont le non-respect pourra être sanctionné par des amendes pouvant aller jusqu’à 20 millions d’euros ou 4% du chiffres d’affaires annuel mondial.
Les mesures organisationnelles et techniques mises en œuvre par les porteurs de projet e-santé seront ici au cœur du dispositif. Ces mesures devront être logiquement pilotées par le Délégué à la Protection des Données (Data protection Officer-DPO) et comprendront principalement :
La Cartographie des traitements opérés à partir du dispositif connecté ou de la solution e-santé
La formalisation ou la consolidation d’un « référentiel sécurité » intégrant notamment Charte « Utilisateurs des SI », Charte Administrateurs, Politique d’habilitation, Politique de gestion des incidents, Plan d’assurance sécurité ou encore politique de conservation et d’archivage des données
La réalisation d’une étude d’impact incluant des tests d’intrusion
Le Cabinet HAAS, fort d’une expertise de plus de vingt ans en droit des nouvelles technologies, bénéficie d’une triple labellisation CNIL et accompagne régulièrement ses clients du secteur de l’e-santé dans la mise en conformité de leurs traitements en vue de la sécurisation de ceux-ci.
Le cabinet HAAS propose à ce titre l’externalisation de la fonction CIL/DPO, la réalisation d’études d’impact (PIA), la formalisation de référentiels sécurité ou encore la dispense de formations relatives aux enjeux de la loi informatique et libertés dans le cadre d’une offre globale de DataCompliance.
Pour en savoir sur ces prestations : Cliquez ICI