Santé connectée : un référentiel pour protéger les données

Fiabilité, réutilisation des données collectées ou encore respect de la confidentialité : le développement des applis santé (50 000 actuellement disponibles), pose questions. En novembre dernier, la HAS publiait un référentiel de 101 bonnes pratiques pour favoriser la mise à jour d’outils connectés sûrs, fiables et de qualité.

Chaque jour, de nouvelles applis santé sortent et nous promettent de nous aider à être plus à l’écoute de notre corps, de nous accompagner dans nos pratiques sportives, de nous faire penser à prendre nos médicaments… Si elles représentent bien sûr de formidables opportunités d’accompagnement, reste que ces dernières méritent d’être encadrées pour pouvoir être utilisées en toute confiance tant par les particuliers que les professionnels. C’est pourquoi la Haute Autorité de Santé a souhaité publié un référentiel de bonnes pratiques, avec l’appui de la CNIL et de l’ANSSI [4], destiné aux développeurs mais aussi aux évaluateurs d’applications. Objectif : proposer un cadre de développement assurant la qualité et la fiabilité de ces fameuses applications.

Confidentialité des données personnelles

101 bonnes pratiques ont ainsi été mises à jour ; la HAS recommande ainsi que les contenus santé soient validés par des professionnels de santé, que les appareils mesurant des données délivrent des mesures précises, paramétrées selon un étalonnage reconnu, ou encore que les applis soient ergonomiques et d’utilisation simple. Bien sûr, comme toujours, la confidentialité et la sécurité des données personnelles demeure un point crucial devant répondre à des exigences strictes. Ici les recommandations portent sur la quantité et le type de données collectées (elle doivent être pertinentes et correspondre strictement à la fonction de l’application), la confidentialité par la pseudonymisation, un chiffrement « robuste » (grâce à des suites cryptographiques). En outre, le référentiel fait aussi état de la nécessité d’annoncer à l’utilisateur la durée et les délais de conservation des données sur le serveur ; celui-ci doit pouvoir en demander l’arrêt et la suppression quand il le souhaite. Enfin la sécurité du serveur doit être régulièrement évaluée et adaptée. En cas de violation de données ou d’incident de sécurité, les autorités compétentes (ANSSI, CNIL, autorités judiciaires) doivent alors être prévenues.