- privatim propose de n’externaliser les données de santé que sous forme cryptée et de laisser la gestion des clés au mandant (médecin/hôpital) afin de préserver le secret professionnel.
- La proposition autorise des exceptions garanties par contrat et demande éventuellement des adaptations juridiques pour la certification des fournisseurs de cloud et de TI, mais laisse les détails en suspens.
Comme rapporté Wolfgang Wohlers sur la communication de données soumises au secret professionnel (par exemple des données de patients) à des fournisseurs de services d’externalisation a fait des vagues. Wohlers considère qu’une telle communication sans le consentement du maître du secret est illégale, à moins que la révélation du secret ne soit indispensable et prévisible pour le maître du secret, et ce malgré l’intégration légale des auxiliaires dans le cercle des détenteurs du secret menacés de sanctions en cas de violation. Dans la pratique, l’expertise se heurte à un grand scepticisme, du moins dans son résultat.
privatim, l’association des commissaires suisses à la protection des données, a donc présenté une proposition de solution:
privatim, l’association des commissaires suisses à la protection des données, s’engage fermement en faveur d’une protection forte des données de santé dans l’intérêt des patientes et des patients. En même temps, privatim est consciente que la tendance à l’externalisation des données de santé ne peut pas être stoppée. Les commissaires à la protection des données plaident donc pour une moyen pragmatiqueLe projet de loi sur la protection des données (LPD), qui permet l’externalisation des données de santé tout en garantissant le secret médical, a été adopté par le Parlement européen, en ne permettant pas au tiers, c’est-à-dire au sous-traitant, de prendre connaissance des données. Concrètement, cela signifierait que les données personnelles sur la santé stockées uniquement sous forme cryptée et le Gestion des clés dans tous les cas chez le donneur d’ordreLe médecin ou l’hôpital ne sont pas responsables de la santé des patients. Dans certains cas, il serait possible de trouver une solution différente, garantie par un contrat.. Une adaptation de la législation permettrait de responsabiliser les services de cloud et les entreprises informatiques et de les certifier par exemple pour le respect du secret médical.
La première partie de la solution, à savoir la communication de données cryptées sans accès à la clé, n’entraîne pas la divulgation du secret et est déjà admise sans autre aujourd’hui. La deuxième partie constituerait toutefois un allègement par rapport à l’expertise Wohlers. La proposition laisse toutefois des questions en suspens :
- Le fait que la gestion des clés reste chez le donneur d’ordre ne signifie pas nécessairement que la clé elle-même n’est en aucun cas accessible au preneur d’ordre. Cela ne signifie pas non plus que le donneur d’ordre ne peut pas décrypter les données dans certains cas.
- Si des dérogations sont possibles “au cas par cas”, le terme “cas par cas” signifie-t-il “dans chaque cas individuel” ou plutôt “dans des cas décrits en détail” ? Selon la seconde interprétation, l’externalisation dans des cas typiques pourrait être garantie de manière générale par contrat.
- La solution proposée s’entend-elle de lege lata ou de lege ferenda ? Il ressort de la référence suivante à une modification du droit concernant la certification des fournisseurs que la proposition de solution doit déjà être applicable en vertu du droit en vigueur.
Au final la proposition de privatim doit être comprise en ce sens que l’externalisation de données de patients (mais aussi d’autres données soumises au secret professionnel) est de lege lata autorisée sans consentement, malgré l’avis de Wohlers, dans la mesure où l’externalisation est garantie par contrat pour des cas concrètement définis, une importance particulière devant être accordée à la sécurité des données.