Données personnelles de santé : vous avez dit partage ?

Crédits : GotCredit

Aborder le sujet du partage des données personnelles revient souvent à discuter des données relatives au domaine de la santé (prise au sens large). Ces dernières sont en effet les plus accessibles, dans le sens où il est facile à tout un chacun de les collecter et les analyser. Toutefois, il ne faut pas oublier que les données personnelles de santé ne se limitent pas uniquement à celles qui sont “visibles”. D’ailleurs, qu’en est-il du “personnelles” et du “partage”, nom (trop) régulièrement mis en avant pour promouvoir un mode de vie et de consommation ?

Hubert Guillaud, rédacteur en chef d’Internetactu, responsable de la veille à la Fondation Internet Nouvelle Génération, une personnalité impliquée dans ces questions, répond à nos questions pour éclaircir la compréhension de ces points opaques. L’interview a été réalisée par Karl Pineau, Jérémie Poiroux et Thibault Savignac.

Quelle est votre définition des données personnelles de santé et qui peuvent-elles intéresser ?

Les données de santé sont une vaste catégorie de données qui regroupe une multitude de données personnelles qui vont de vos résultats d’examens médicaux, à vos données d’actes médicaux ou d’achats de médicaments que contient votre carte vitale, en passant par les données produites par des objets connectés voire même par les données de vos requêtes sur les moteurs de recherche quand elles concernent ce secteur. Elles intéressent donc beaucoup de monde : le personnel médical, le système de santé, la recherche, les assurances, les banques comme tout ceux qui font du marketing et qui ont quelque chose à vous vendre parce que vous ne vous sentez pas bien. Elles nous intéressent nous également, en tant qu’usagers, même si nous sommes souvent les plus dépourvus pour les traiter et en tirer du sens. Il n’y a donc pas un seul type de données de santé, mais des silos qui, heureusement pour notre vie privée, ne se parlent pas encore très bien les uns avec les autres.

Quels sont les usages qui découlent de l’accès à ces données ?

Les usages s’annoncent à l’image de cet écosystème : multiples. Et d’autant plus multiples que les technologies pourront en tirer du sens en les croisant, en les recoupant, en les comparant, en les traitant. La valeur est d’ailleurs plus dans ces traitements que dans les données elles-mêmes. Mes données de santé ont surtout de la valeur pour moi, mais agrégées à toutes les autres, elles en prennent pour de nombreux autres acteurs de cette chaîne. Les données d’un malade qui souffre d’une maladie rare ont de la valeur pour lui et l’équipe médical qui l’entoure. Mais agrégées avec les données de milliers d’autres malades sur un site comme PatientsLikeMe, elles prennent une valeur pour la recherche, les laboratoires et les autres malades.

Quelle est la valeur marchande de ces données de santé ?

On parle ici de données éminemment personnelles. Les données de votre capteur de santé intégré à votre iPhone n’ont pas de valeur marketing en soi, sauf si on peut les rattacher à votre nom, à votre adresse et vous proposer de la publicité ciblée par exemple. Les données de la Caisse nationale de l’assurance maladie des travailleurs salariés (la sécurité sociale) ont une énorme valeur pour la recherche, l’administration publique ou les laboratoires et les entreprises de marketing, du fait des analyses et du sens qu’on pourrait tirer de leur traitement.

Les données ne prennent de la valeur qu’en contexte, que croisées ou agrégées. C’est bien le problème d’ailleurs. Si leur emploi est déjà réglementé, elles nécessiteraient peut-être d’être considérées comme le sang et les organes dont la collecte et le prélèvement sont très réglementés en Europe.

Variations internationales dans le traitement des données personnelles

Issue de la Loi sur l’Informatique et les Libertés de 1978 (LIL), la législation française offre en effet une protection renforcée des données personnelles : obligation d’information sur la collecte des données et leur utilisation, accord nécessaire à la collecte de certaines données (comme pour les données de santé) voire interdiction de collecte de certaines données dans certains contextes. En France, un assureur n’a ainsi par exemple pas le droit de détenir les tests génétiques de ses assurés.

La France – et l’Union Européenne dont la législation en la matière est similaire à la nôtre – fait cependant figure d’exception au plan international quant à la protection des données personnelles de ses citoyens. Si de plus en plus de pays proposent un cadre juridique contraignant quant à la collecte de données personnelles, tous ne disposent pas de législation en ce sens. Ainsi la CNIL, qui met en application la LIL, soumet par exemple à conditions – voire interdit – le stockage des données personnelles de citoyens français dans des pays qui ne disposeraient pas d’une législation suffisante en la matière.

L’exploitation des données collectées est-elle transparente ?

Non, nous ne savons pas ce que font de nos données de santé les constructeurs des objets de “bien-être”.  Un vrai flou réside car l’essentiel des objets connectés de santé qu’on nous propose n’en sont pas, ne sont pas évalués et n’ont aucune conformité médicale. Je l’explique notamment dans les articles “Que captent les capteurs ?” et “Bienvenue dans la jungle” du dossier “Applications de santé” sur Internetactu.net.

Faut-il s’en inquiéter ?

Bien sûr ! Il faudrait également plus de contrôle et plus d’options pour le client lui permettant par exemple d’utiliser l’appareil sans que le constructeur puisse les conserver et encore plus les revendre. Il pourrait par exemple les crypter pour que seul l’utilisateur puisse y avoir accès. Pas même lui. Nous laissons s’échapper des données de nos objets connectés que jamais nous n’accepterions de partager consciemment dans la ‘vie réelle’.

Peut-on parler de partage des données ?

Les termes du partage n’étant pas équitables, il me semble qu’on ne peut pas vraiment parler de partage, à moins de considérer que dans la distribution qui a lieu, certains ramassent toute la mise. Ces “certains” en questions ne sont jamais l’usager.

Du côté des banques et assurances, tendons-nous inéluctablement vers la personnalisation des offres ?

Si je ne me trompe pas, seules les demandes d’assurance de prêts bancaires (notamment immobiliers) peuvent vous demander de remplir un questionnaire de santé, qui n’a pas d’impact sur le niveau de prêt, mais sur le montant de l’assurance que vous pouvez souscrire pour le couvrir.

Dans son principe, l’assurance ne pratique pas la tarification individualisée… Plusieurs entreprises ont été condamnées pour avoir tenté par exemple de proposer des tarifs différenciés entre hommes et femmes. Si on fait de la personnalisation dans l’assurance, on la vide de sens. Mais ce n’est pas le cas de tous les régimes de santé ou d’assurance, notamment américains ou britanniques qui servent de modèle au développement des objets connectés et de leurs usages. Pour l’instant, ce qui nous protège le plus de la personnalisation, c’est la barrière réglementaire.   

Se voir refuser un prêt à cause d’un cancer

Selon certains témoignages recueillis sur Le Monde.fr à la suite d’un nouveau protocole mettant en place un droit à l’oubli pour les anciens malades du cancer signé en mars 2015, les discriminations liées à cette maladie sont importantes. Désormais, on ne doit plus informer sa banque ou son assureur si on a été victime d’un cancer il y a plus de quinze ans. On peut considérer que cette mesure va à contre-courant de la mouvance actuelle de divulgation parfois non-contrôlée de nos données personnelles.

Extrait d’un témoignage :

« Client depuis trente ans de ma banque, je me suis vu refuser l’assurance pour un emprunt pour l’achat d’un appartement, alors même que j’en remboursais plus de la moitié un mois après l’avoir contracté. Motifs ? Mon âge, 52 ans, et le cancer que j’avais eu en 2005 alors qu’il était considéré par la médecine comme guéri. Au vu de ce refus, la banque ne m’a pas accordé l’emprunt ».

Les assurances ayant une économie du risque, n’est-ce pas contre-productif pour elles de connaître les clients d’une manière aussi précise ?

Ce que cherchent les assureurs pour l’instant, c’est à mieux connaître leurs clients pour mieux adapter leurs tarifs, non pas à chacun mais à des catégories de publics. D’où l’importance pour eux d’avoir accès à des données pour en déduire des modèles. Un grand spécialiste de l’assurance a ainsi découvert en croisant d’énormes masses de données que les meilleurs clients des assureurs étaient les gens qui achetaient des patins en feutre pour leurs meubles, une caractéristique de profil qui désigne le client prudent par excellence. Eh oui, l’analyse des Big Data sert souvent à fourbir les plus plates évidences !

Des réflexions sont-elles en cours sur l’intelligibilité de la donnée personnelle tant pour les clients que pour les entreprises ? Peut-on parler de “design de la donnée” ?

C’est ce que tente d’éclaircir en France le groupe de travail Mes Infos animé par la Fing qui parle de self data pour désigner le fait de rendre les gens acteurs de leurs données personnelles. L’enjeu n’est pas tant de faire du design de la donnée, que de concevoir une nouvelle relation entre l’utilisateur et ceux qui exploitent leurs données. Cela passe bien sûr par la conception de nouveaux services et surtout d’une nouvelle relation de confiance, mais qui reste difficile à établir tant que la question du traitement des données ne sera pas également mieux éclaircie.

Partage, qui a dit partage ? Il apparaît à la lecture des propos de Hubert Guillaud qu’il s’agit de l’industrie. Cette dernière partage mais sans consulter ses clients qui sont encore novices en la connaissance des rouages de la collecte et l’exploitation commerciale de leurs données personnelles de santé. De l’autre côté, les technologies n’étant plus toutes neuves, le flou juridique se fait de plus en plus ressentir. L’idée de construction d’une réglementation européenne fait son chemin mais le plus urgent semble clairement de définir le statut d’une donnée personnelle. Il est urgent que les citoyens soient sensibilisés à l’utilisation de leurs données personnelles et puissent se saisir du sujet. Les usagers doivent avoir leur mot à dire quant à l’utilisation de données portant sur ce qu’ils ont de plus personnel : leur corps.

---

---