Réponse publiée le 1er décembre 2020

La loi de modernisation de notre système de santé, dans son article 96, a réaffirmé le positionnement du dossier médical partagé (DMP) comme permettant le partage de documents que les professionnels de santé estiment utiles à la prévention, la continuité, la coordination et la qualité des soins. La Caisse nationale d'assurance maladie (CNAM) est la responsable du traitement de données au sens de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée. A ce titre, elle s'engage à prendre toutes précautions utiles au regard de la nature des données, et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu'elles soient déformées, endommagées ou que des tiers non autorisés y aient accès. Le DMP contient des données de santé à caractère personnel, couvertes à ce titre par le secret professionnel dans les conditions prévues aux articles L. 1110-4 du code de la santé publique dont la violation est réprimée par le code pénal. Il convient de rappeler que la centralisation des données numériques n'a pas été inaugurée avec le DMP. En effet, depuis plus de 15 ans, la CNAM gère la base centralisée des données issues du remboursement des actes médicaux / médicaments, le Système national d'information inter-régimes de l'assurance maladie (SNIIRAM). Le risque de piratage existe déjà pour les données du SNIIRAM. Pourtant, force est de constater que les mesures de sécurité mises en œuvre pour protéger le SNIIRAM depuis sa création ont été efficaces. Ainsi, la protection et la confidentialité des données du DMP sont garanties tant par des mesures de sécurisation techniques qu'organisationnelles. Ces mesures impliquent la mise en place de concepts tels que la séparation des rôles, le moindre privilège, la non répudiation des actes, le chiffrement unitaire des données. L'hébergement des données collectées et conservées dans le DMP est assuré par la société Worldline. Worldline fait appel à l'hébergeur Santeos (société filiale de Worldline), qui bénéficie d'un agrément pour une prestation d'hébergement des données de santé à caractère personnel collectées dans le cadre du Dossier Médical Partagé. L'hébergeur Santeos est situé sur le territoire français. Le droit français s'applique donc aux serveurs conservant les données. L'hébergeur du DMP est notamment garant de la maîtrise et la protection des échanges, via notamment l'identification et l'authentification des professionnels de santé et des patients pour préserver la confidentialité ; la protection des données pour garantir leur intégrité ; l'imputabilité des données ; la traçabilité de toute action (accès, alimentation, consultation…) ; la sauvegarde des données de santé et des traces. L'ensemble des données de santé confiées au DMP est stocké de façon chiffrée. La nature des données hébergées implique que les accès d'administrations inhérents à toute structure informatique ne permettent pas d'accéder aux données des patients. Ainsi, la CNAM, tout comme le service d'assistance du DMP, n'accèdent pas aux données de santé à caractère personnel contenues dans le DMP. L'hébergeur s'attache la collaboration d'un ou plusieurs médecins dit médecins hébergeurs. Ces derniers sont les seuls collaborateurs habilités à accéder, dans des cas précis et uniquement sur demande, aux données de santé des patients. L'objectif de cette organisation est de garantir le secret médical entourant les données de santé. La sécurité physique et informatique est garantie par l'ensemble des mesures de sécurité devant être mises en œuvre par l'hébergeur dans le cadre de son agrément d'Hébergeur de Données de Santé ainsi que des mesures de sécurité découlant de l'analyse de risque effectuée sur le périmètre du projet. Par ailleurs, afin de préserver la sécurité de l'application et des données de l'utilisateur, l'utilisation de l'application DMP est impossible si l'appareil de ce dernier est considéré comme corrompu, il en sera dès lors ainsi si l'appareil de l'utilisateur est « rooté », « jailbreaké » ou qu'une faille de sécurité est détectée. Ainsi au lancement de l'application, si la corruption de l'appareil de l'utilisateur est détectée, un message d'avertissement apparaitra pour alerter l'utilisateur et l'application se fermera automatiquement. De nombreux audits du DMP ont été organisés régulièrement, de 2011 à 2018, par des d'acteurs spécialisés dans l'évaluation de la sécurité des systèmes d'information. En tant que responsable de traitement, la CNAM a défini une procédure de gestion des incidents, mais également des violations de données qui permet de répondre aux exigences prévues par les articles 32 et suivants du règlement général sur la protection des données (RGPD). Ainsi, s'il devait y avoir une violation susceptible d'engendrer des risques pour les droits et libertés des personnes physiques, une notification à la Commission nationale de l'informatique et des libertés serait réalisée dans les délais impartis (article 33 RGPD). Si cette violation était susceptible d'engendrer un risque élevé pour une ou des personnes, une communication directe auprès des personnes serait également réalisée (article 34 RGPD). Cette communication devant décrire en des termes clairs et simples la nature de la violation (perte de confidentialité, d'intégrité ou encore de disponibilité), les impacts et les moyens mis en œuvre pour y remédier. La CNAM a mis en œuvre toutes les mesures techniques et organisationnelles appropriées afin de garantir le niveau de sécurité adapté au risque lié au traitement des données de santé au sein du DMP.