Présentation de Maître Astrid BARBEY - Avocat à la Cour - sur "La donnée de santé", à l'occasion du meet-up #PHIM11 Paris Healthcare Innovation Meetup : http://www.meetup.com/fr-FR/Paris-Healthcare-Innovation-Meetup/events/219876194/ http://www.cabinetbarbey.com/

1. S DONNÉES DE SANTÉ À
ARACTÈRE PERSONNEL
Me Astrid BARBEY - Avocat à la Cour
27 Janvier 2015
Cabinet Barbey - L'Avocat des TPE et des PME - Tél: +33 (0) 1 45 74 64 65

2. A L’HEURE DE LA SANTÉ CONNECTÉE… (1/2)
CONTEXTE GENERAL :
« Datification » du monde
Dématérialisation de la santé
Personnalisation de la médecine
Æ Des données sensibles protégées par
la loi Informatique et Libertés
Cabinet Barbey - L'Avocat des TPE et des PME - Tél: +33 (0) 1 45 74 64 65

3. A L’HEURE DE LA SANTÉ CONNECTÉE… (2/2)
ENJEU MAXIMAL POUR LES
PATIENTS :
Confidentialité et sécurité des
données
Article L.1110-4 alinéa 1 du Code de la
Santé Publique (secret médical)
ENJEU NON-NEGLIGEABLE POUR
LES START-UP :
Mettre en œuvre les règles issues de
deux « mondes » juridiques
Æ Recourir à un Hébergeur Agréé de
Données de Santé (HADS)
Cabinet Barbey - L'Avocat des TPE et des PME - Tél: +33 (0) 1 45 74 64 65

4. EN DROIT COMPARE : UN SECTEUR EN COURS DE
RÉGLEMENTATION
USA : Liberté mais obligation des responsables de traitement de données à mettre en place des mesures pour la
protection des données médicales contre les usages non-autorisés
Æ Loi « Health Insurance portability and accountabillity acte » de 1996
Allemagne : Autorégulation et développement d’un « label de qualité » aux applications de santé
disponibles pour le grand public au regard d’un code de conduite.
France : Protection des droits personnels des individus.
Æ Loi « Informatique et Liberté » / Code de la santé publique
UE : Réel besoin d’harmonisation :
Æ Directive 24 octobre 1995 95/46/CE
Æ Projet de règlement européen adopté le 12 mars 2012 (En attente d’un règlement définitif pour début 2016)
Cabinet Barbey - L'Avocat des TPE et des PME - Tél: +33 (0) 1 45 74 64 65

5. SOMMAIRE
I. Les données de santé et leur traitement
II. Les données de santé et leur hébergement
III. Les responsabilités
IV. Les droits du patient
V. Perspectives
Cabinet Barbey - L'Avocat des TPE et des PME - Tél: +33 (0) 1 45 74 64 65

6. I. LES DONNÉES DE SANTÉ ET
LEUR TRAITEMENT
Cabinet Barbey - L'Avocat des TPE et des PME - Tél: +33 (0) 1 45 74 64 65

7. 1. DES DONNÉES DE SANTÉ
À CARACTÈRE PERSONNEL (1/2)
• Toute information relative à une personne physique
identifiée ou qui peut être identifiée, directement ou
indirectement, par référence à un numéro
d’identification ou à un ou plusieurs éléments qui lui sont
propres.
LES DONNEES A CARACTERE PERSONNEL
Cabinet Barbey - L'Avocat des TPE et des PME - Tél: +33 (0) 1 45 74 64 65

8. 1. DES DONNÉES DE SANTÉ
À CARACTÈRE PERSONNEL (2/2)
• Cœur de l’activité des entreprises innovantes en
matière de santé
• Plusieurs contraintes juridiques
• Contraintes nées de la loi Informatique et Libertés
• Contraintes nées du Code de la santé publique (secret
médical et hébergement des données de santé)
LES DONNEES DE SANTE
Cabinet Barbey - L'Avocat des TPE et des PME - Tél: +33 (0) 1 45 74 64 65

9. 2. TRAITER LES DONNEES
Loi Informatique et Liberté
Principe de l’interdiction du traitement des données de santé (art. 8 loi)
Exceptions notamment :
« Les traitements pour lesquels la personne concernée a donné son consentement
exprès, sauf dans le cas où la loi prévoit que l’interdiction visée au I ne peut être
levée par le consentement de la personne concernée ; »
Cabinet Barbey - L'Avocat des TPE et des PME - Tél: +33 (0) 1 45 74 64 65

10. 2. TRAITER LES DONNEES
DEUX PRINCIPES POUR LA COLLECTE DES DONNEES
Principe de finalité : Données collectées pour des
finalités déterminées, explicites et légitimes
Principe de proportionnalité : Données adéquates,
pertinentes et non excessives au regard des finalités
pour lesquelles elles sont collectées et leur traitement
ultérieurs
Cabinet Barbey - L'Avocat des TPE et des PME - Tél: +33 (0) 1 45 74 64 65

11. 2. TRAITER LES DONNEES
TROIS TYPES DE FORMALITES
Déclaration normale
Demande d’autorisation préalable
Déclaration simplifiée
Norme simplifiée, autorisation unique ou méthodologie de référence
Cabinet Barbey - L'Avocat des TPE et des PME - Tél: +33 (0) 1 45 74 64 65

12. 2. TRAITER LES DONNEES
Déclaration normale
Données visées :
Fichiers mis en œuvre par les professionnels de santé à des fins de gestion et qui n’exploitent
pas directement de données de santé
Exemples :
Fichiers de patients/clients pour le suivi de la relation avec le patient/client (date d’abonnement au
service, durée de l’abonnement, etc.)
Formalité :
Simple déclaration auprès de la CNIL
Cabinet Barbey - L'Avocat des TPE et des PME - Tél: +33 (0) 1 45 74 64 65

13. 2. TRAITER LES DONNEES
Déclaration simplifiée
Données visées :
Traitements de données non-susceptibles de porter atteinte à la vie privée ou aux libertés des
personnes concernées.
Exemple : Norme simplifiée n°50 relative aux traitements automatisés à données personnelles mis
en œuvre par des professions médicales et paramédicales exerçant à titre libéral à des fins de
gestion de leur cabinet.
Formalité : S’engager à respecter les conditions posées par une norme simplifiée adoptée par la
CNIL
Cabinet Barbey - L'Avocat des TPE et des PME - Tél: +33 (0) 1 45 74 64 65

14. 2. TRAITER LES DONNEES
Autorisation préalable
Données visées :
Données sensibles : de façon générale, les données de santé
Formalités : Indiquer identité du responsable du traitement, finalité, données traitées,
destinataires des données, durée de conservation, mesures techniques et de sécurité
employées, interconnexions, transmissions aux tiers…
Réponse CNIL délai de 2 mois
Cabinet Barbey - L'Avocat des TPE et des PME - Tél: +33 (0) 1 45 74 64 65

15. II. LES DONNEES DE SANTÉ
ET LEUR HEBERGEMENT
Cabinet Barbey - L'Avocat des TPE et des PME - Tél: +33 (0) 1 45 74 64 65

16. LA RÉFORME DU CADRE JURIDIQUE
PAR LA LOI DE SANTÉ 2015
27 JANVIER 2016 : Publication de la loi
17 DECEMBRE 2015 : Adoption définitive du projet de loi par l’Assemblée nationale
15 OCTOBRE 2014 : Dépôt du projet de loi de modernisation de notre système de santé par
Marisol TOURAINE
Objectif en matière de données de santé : Amélioration de l’accès aux données de
santé tout en respectant la protection de la vie privée.
Cabinet Barbey - L'Avocat des TPE et des PME - Tél: +33 (0) 1 45 74 64 65

17. LE CADRE JURIDIQUE DE L’HÉBERGEMENT AGRÉÉ
Article L. 1111-8 CSP (ancien) :
« Les professionnels de santé ou les
établissements de santé ou la
personne concernée peuvent déposer
des données de santé à caractère
personnel, recueillies ou produites à
l'occasion des activités de prévention,
de diagnostic ou de soins, auprès de
personnes physiques ou morales
agréées à cet effet.»
CONDITION 1
• Le débiteur de l’obligation
• Æ LA PERSONNE CONCERNEE = LA START-UP
CONDITION 2
• L’objet de l’obligation
• Æ LES DONNEES DE SANTE
CONDITION 3
• L’acteur principal de l’obligation
• Æ L’HEBERGEUR EXTERIEUR A LA PRISE EN CHARG
Cabinet Barbey - L'Avocat des TPE et des PME - Tél: +33 (0) 1 45 74 64 65

18. LE CADRE JURIDIQUE DE L’HÉBERGEMENT AGRÉÉ
Article L. 1111-8 CSP (nouveau) :
« Toute personne qui héberge des données de
santé à caractère personnel recueillies à
l’occasion d’activités de prévention, de
diagnostic, de soins ou de suivi social et
médico-social, pour le compte de personnes
hysiques ou morales à l’origine de la production
du recueil desdites données ou pour le compte
du patient lui-même, doit être agréée à cet
effet.»
CONDITION 1
• Le débiteur de l’obligation
• Æ PEU IMPORTE QUI RECUEILLE LES DONNEES
CONDITION 2
• L’objet de l’obligation
• Æ LES DONNEES DE SANTE
CONDITION 3
• L’acteur principal de l’obligation
• Æ L’HEBERGEUR EXTERIEUR A LA PRISE EN CHARG
Cabinet Barbey - L'Avocat des TPE et des PME - Tél: +33 (0) 1 45 74 64 65

19. ONDITION 1 : UNE COLLECTE DE DONNES DE SANT
Appréciation large : Toute structure tenue de collecter des données de
santé à caractère personnel dans le cadre de ses missions.
Les données incluront désormais les données recueillies à l’occasion d’activités de
prévention, diagnostic, soins MAIS AUSSI à l’occasion d’activités de suivi social et
médico-social.
« Toute personne qui héberge des données de santé à caractère personnel recueillies à l’occasion
d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, pour le compte
de personnes physiques ou morales à l’origine de la production ou du recueil desdites données ou
pour le compte du patient lui-même, doit être agréée à cet effet.»
Cabinet Barbey - L'Avocat des TPE et des PME - Tél: +33 (0) 1 45 74 64 65

20. CONDITION 2 : UN HÉBERGEMENT
Hébergement : Organisation du dépôt et de la conservation des
données (ASIP) afin d’assurer leur pérennité et leur confidentialité
(CNIL).
En pratique : sociétés de services informatiques, mais aussi
éventuellement prestataires de services en matière de santé
Æ Normes de sécurité : Confidentialité, sécurité, intégrité,
disponibilité et traçabilité des données de santé qui leurs sont
confiées.
Æ Obligations légales : Organisation et moyens techniques pour
le dépôt, la conservation et la restitution de données de santé.
Cabinet Barbey - L'Avocat des TPE et des PME - Tél: +33 (0) 1 45 74 64 65

21. III. LES RESPONSABILITÉS
Cabinet Barbey - L'Avocat des TPE et des PME - Tél: +33 (0) 1 45 74 64 65

22. A RESPONSABILITÉ LIÉE AU DROIT INFORMATIQU
ET LIBERTÉ
Le responsable d’un traitement de données à caractère
personnel
Article 3 de la loi Informatique et libertés : « [...] la personne, l'autorité
publique, le service ou l'organisme qui détermine ses finalités et moyens
[...] ».
Le sous-traitant
Article 35 de la loi Informatique et Libertés : « [...] Toute personne
traitant des données à caractère personnel pour le compte du
responsable du traitement est considérée comme un sous-traitant au
sens de la présente loi. [...] ».
Cabinet Barbey - L'Avocat des TPE et des PME - Tél: +33 (0) 1 45 74 64 65

23. A RESPONSABILITÉ LIÉE AU DROIT INFORMATIQU
ET LIBERTÉ
Sanctions CNIL
1° Sanction pécuniaire : proportionnée à la gravité des manquements commis et
aux avantages tirés de ce manquement (max. 150.000 euros ou 300.000 euros)
2° Injonction de cesser le traitement
Sanctions pénales
Article 226-16 du Code pénal : max 300.000 euros x 5 pour les sociétés
« Le fait, y compris par négligence, de procéder ou de faire procéder à des
traitements de données à caractère personnel sans qu'aient été
respectées les formalités préalables à leur mise en œuvre prévues par la
loi est puni de cinq ans d'emprisonnement et de 300 000 euros
d'amende. »
Cabinet Barbey - L'Avocat des TPE et des PME - Tél: +33 (0) 1 45 74 64 65

24. LA RESPONSABILITÉ LIÉE AU CODE DE LA SANTÉ
PUBLIQUE
La responsabilité civile liée au traitement des données de santé
Æ Le responsable du traitement de données responsable des fautes commises par son
sous-traitant
« [...] Le sous-traitant doit présenter des garanties suffisantes pour assurer la mise en œuvre des
mesures de sécurité et de confidentialité mentionnées à l’article 34. Cette exigence ne décharge pas le
responsable du traitement de son obligation de veiller au respect de ces mesures. [...] ».
Æ Le sous-traitant responsable vis-à-vis de son donneur d’ordre
Une action directe contre le sous-traitant est envisageable.
La responsabilité pénale liée au défaut d’agrément
Article L1115-1 CSP : « La prestation d’hébergement de données de santé à caractère personnel
recueillies auprès de professionnels ou d’établissements de santé ou directement auprès des
personnes qu’elles concernent sans être titulaire de l’agrément prévu par l’article L. 1111-8 ou
de traitement de ces données sans respecter les conditions de l’agrément obtenu est puni de trois
ans d’emprisonnement et de 45 000 euros d’amende. »
Cabinet Barbey - L'Avocat des TPE et des PME - Tél: +33 (0) 1 45 74 64 65

25. IV. LES DROITS DU PATIENT
Cabinet Barbey - L'Avocat des TPE et des PME - Tél: +33 (0) 1 45 74 64 65

26. DU CONSENTEMENT DU PATIENT A SON
INFORMATION
uparavant : principe du consentement exprès au recueil des données hébergées
orénavant : nécessité d’informer le patient du recueil des données
Article L. 1111-8 du Code de la santé publique
t hébergement, quel qu’en soit le support, est réalisé après que la personne prise en
arge en a été dûment informée et sauf opposi9on pour un mo9f légi9me
oit d’accès, d’opposition et de rectification
i 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés
Cabinet Barbey - L'Avocat des TPE et des PME - Tél: +33 (0) 1 45 74 64 65

27. V. PERSPECTIVES
Cabinet Barbey - L'Avocat des TPE et des PME - Tél: +33 (0) 1 45 74 64 65

28. LES SOLUTIONS ALTERNATIVES ?
aire héberger ses données à l’étranger
NON) :
Dispositions des Articles L1111-8 et R
1111-9 applicables aux données de santé
à caractère personnel produites ou
recueillies en France.
Tiers agréé pour l’hébergement de
données de santé à caractère personnel,
qu’il soit situé en France ou à l’étranger
Cabinet Barbey - L'Avocat des TPE et des PME - Tél: +33 (0) 1 45 74 64 65

29. S MODIFICATIONS DU PROJET DE LOI DE SANTÉ :
L’AGRÉMENT VERS LA CERTIFICATION
agrément remplacé, non supprimé :
Æ Article 51-I-5°-c) du projet de loi relatif à la modernisation de notre système de
anté :
« REMPLACER l'agrément prévu au même article L. 1111-8 par une évaluation de
conformité technique réalisée par un organisme certificateur accrédité. Cette
certification de conformité porte notamment sur le contrôle des procédures, de
l'organisation et des moyens matériels et humains ainsi que sur les modalités de
qualification des applications hébergées ».
n attendant : Application de la procédure d’agrément en vigueur.
Cabinet Barbey - L'Avocat des TPE et des PME - Tél: +33 (0) 1 45 74 64 65

30. V. CONCLUSION
Cabinet Barbey - L'Avocat des TPE et des PME - Tél: +33 (0) 1 45 74 64 65

31. CONCLUSION
retenir avant de traiter des données de santé :
s’interroger sur la nature des données
s’interroger sur la finalité du traitement
s’interroger sur la nature des obligations déclaratives auprès de la CNIL
héberger les données auprès d’un hébergeur agréé (HADS)
Cabinet Barbey - L'Avocat des TPE et des PME - Tél: +33 (0) 1 45 74 64 65

32. Maître Astrid BARBEY
Avocat à la Cour
ADRESSE : 26 avenue de la
Grande Armée - 75017 Paris
ADRESSE EMAIL
contact@cabinetbarbey.com
TÉLÉPHONE : 01 45 74 64 65
TÉLÉCOPIE : 01 45 74 22 79
Cabinet Barbey - L'Avocat des TPE et des PME - Tél: +33 (0) 1 45 74 64 65