Conformité · Guide

Neuf questions avant de confier vos données patient à un logiciel

Vous pouvez vérifier en dix minutes, sans compétence technique, si un logiciel est en état de recevoir des données de santé. Il suffit de savoir où regarder. Les neuf questions ci-dessous portent sur des éléments qu'un éditeur sérieux publie déjà, ou qu'il vous donnera si vous les demandez. Pour chacune, vous trouverez où chercher la réponse et ce qui doit vous alerter.

1. Qui héberge réellement mes données ?

Où chercher : les mentions légales, rubrique hébergeur. C'est une mention obligatoire, elle doit nommer une société.

Ce qui doit alerter : aucun nom. Ou bien l'éditeur se désigne lui-même comme hébergeur alors qu'il n'est pas certifié. Héberger des données de santé pour le compte d'autrui est une activité encadrée : on ne s'en déclare pas responsable à la légère.

2. Où sont-elles physiquement ?

Où chercher : la politique de confidentialité, section hébergement.

Ce qui doit alerter : la mention « en Europe » sans autre précision. Un éditeur qui sait où sont ses données sait le dire : un pays, et souvent une région de son fournisseur. Un éditeur qui reste vague sur ce point a rarement une bonne raison de l'être.

3. Cet hébergeur est-il certifié HDS ?

Où chercher : la liste publique des hébergeurs certifiés, publiée par l'Agence du Numérique en Santé. Vous y cherchez le nom trouvé à la question 1.

Ce qui doit alerter : le nom n'y figure pas. C'est la vérification la plus rapide et la plus difficile à contourner : soit la société est sur la liste, soit elle n'y est pas.

Une précision qui évite des accusations injustes : un éditeur de logiciel n'a pas nécessairement besoin d'être certifié HDS lui-même. La certification porte sur l'hébergement. Un éditeur qui s'appuie sur un hébergeur certifié et qui n'exerce pas d'activité autonome d'exploitation du système peut parfaitement être en règle sans figurer sur la liste. Ce que vous cherchez, c'est le nom de son hébergeur, pas le sien.

4. Que devient mon texte quand l'intelligence artificielle le traite ?

Où chercher : la politique de confidentialité, section intelligence artificielle ou sous-traitants.

Ce qui doit alerter : le fournisseur n'est pas nommé, et rien n'est dit ni sur la conservation, ni sur l'entraînement des modèles.

C'est la question la plus difficile à vérifier soi-même, et celle qui inquiète le plus légitimement. La crainte a un nom précis : que vos comptes rendus servent à entraîner un modèle, et qu'un fragment ressorte un jour dans le document d'une consœur. Ce risque n'est écarté que par un engagement contractuel explicite, et cet engagement dépend du service utilisé, pas de la marque du modèle. Un éditeur qui ne peut pas vous dire quel service il appelle ne peut pas vous garantir ce qu'il devient.

5. Qui d'autre voit passer mes données ?

Où chercher : la liste des sous-traitants. Elle doit être nominative.

Ce qui doit alerter : pas de liste du tout, ou une formule comme « nos partenaires techniques ». Une liste très courte est suspecte aussi : une application web réelle s'appuie sur plusieurs prestataires, entre l'hébergement, l'envoi des e-mails, le paiement et la supervision. Une liste d'un seul nom signifie souvent qu'elle n'a jamais été établie.

6. Les données sont-elles chiffrées ?

Où chercher : la politique de confidentialité, section sécurité.

Ce qui doit alerter : une seule mention au lieu de deux. Il en faut deux : en transit, quand la donnée circule entre votre navigateur et le serveur, et au repos, quand elle dort en base et dans les sauvegardes. Beaucoup de politiques ne parlent que de la première, qui est aujourd'hui le minimum de n'importe quel site.

7. Que se passe-t-il si j'arrête ?

Où chercher : les conditions générales, section résiliation.

Ce qui doit alerter : aucune durée annoncée, aucun moyen d'export, ou deux paragraphes qui se contredisent. Ce dernier cas est fréquent et instructif : il signale des conditions écrites par assemblage, jamais relues d'un bout à l'autre.

Vous devez pouvoir répondre à deux questions : combien de temps mes dossiers restent-ils accessibles après la fin de l'abonnement, et sous quelle forme puis-je les récupérer.

8. Qui, chez l'éditeur, peut lire mes comptes rendus ?

Où chercher : nulle part. Celle-ci se demande par courriel.

Ce qui doit alerter : pas de réponse, ou une réponse qui élude. Le délai compte autant que le contenu. Un éditeur qui met trois semaines à vous dire qui a accès à des données de santé vous renseigne autant par son silence que par sa réponse.

La bonne réponse n'est pas nécessairement « personne ». Une équipe technique a besoin d'accéder au système pour le maintenir. La bonne réponse dit qui, dans quelles conditions, et ce qui en est tracé.

9. Tenez-vous un registre des traitements ?

Où chercher : par courriel également. C'est un document interne, que l'éditeur n'a pas à publier, mais qu'il a l'obligation de tenir.

Ce qui doit alerter : l'éditeur ne sait pas de quoi vous parlez, ou vous répond que sa politique de confidentialité en tient lieu. Ce sont deux documents différents : l'un s'adresse à vous, l'autre décrit en interne chaque traitement, sa finalité, ses destinataires et sa durée de conservation.

Cette question est la plus révélatrice des neuf, précisément parce qu'elle porte sur quelque chose d'invisible depuis le site. Elle distingue ceux qui ont fait le travail de ceux qui ont seulement soigné leur site.

Deux confusions à écarter

Un éditeur français n'est pas un éditeur certifié. Le raccourci est répandu et il est faux dans les deux sens. Une société française peut parfaitement héberger ses données chez un prestataire non certifié, y compris hors d'Europe. À l'inverse, plusieurs acteurs américains figurent sur la liste de l'Agence du Numérique en Santé. C'est la certification qui compte, pas le drapeau.

Anonymisé ne veut pas dire ce que vous croyez. Un compte rendu qui porte un prénom, un âge et une pathologie reste identifiable dans une commune de huit cents habitants, quelles que soient les précautions prises. Aucun outil ne peut promettre le contraire, et un éditeur qui répond « c'est anonymisé » sans autre précision n'a pas répondu à la question. La protection réelle ne vient pas de là : elle vient du fait d'assumer qu'il s'agit de données de santé de bout en bout et de les traiter comme telles.

Et Scielle ?

Il aurait été malhonnête de publier cette grille sans y répondre. Nous l'avons appliquée à Scielle, question par question, sur notre page sécurité. Vous y trouverez les mêmes neuf réponses, avec les liens qui permettent de les vérifier sans nous croire sur parole.

Pour aller plus loin sur le traitement des données dans Scielle, voir aussi où et comment Scielle traite vos données de santé.