L’approche européenne de la réglementation des données de santé est « très générique », l’approche indienne est « radicale et globale », l’approche chinoise est « stratégique ». C’est ce qu’observe l’Institut Montaigne dans son rapport publié le 13 décembre 2019 sous le titre « Données personnelles : comment gagner la bataille ». Son auteur, le sinologue François Godement, consacre un focus sur la question des données de santé.
• Dans ce document, l’institut relève que le RGPD, « prouesse réglementaire, laisse une grande marge de manœuvre aux États membres pour décider de leurs propres règles » en matière de données de santé, car celles-ci « relèvent de la catégorie exemptée de « l’intérêt public » ».
• Par contraste, le Digital Information Security in Healthcare Act (DISHA), proposé par le ministère indien de la Santé en mars 2018 et actuellement en cours de finalisation, « va beaucoup plus loin » que le Personal Data Protection Bill (PDPB), également en préparation, qui lui « suit largement » le RGPD. Le DISHA consacre la primauté du « consentement individuel » : l’accès du gouvernement aux données de santé est conditionné à « des fins strictement sanitaires ». Les sociétés pharmaceutiques « n’ont pas accès aux données de santé numériques individuelles, même pour la recherche« , est-il noté dans le rapport.
• La Chine, au contraire, utilise les données de santé comme « une ressource fondamentale et stratégique de l’État » selon les lignes directrices livrées en 2016 par le Conseil d’État chinois. Elle a « tout mis en œuvre pour collecter, agréger et utiliser toutes les données de santé disponibles », facilitant également « l’accès des sociétés étrangères aux bases de données locales », indique l’Institut Montaigne. Ces efforts « portent leurs fruits », souligne-t-il, relevant que la province du Guangdong a mis en commun les données de 3 112 établissements de santé et constitué une base de données contenant les dossiers médicaux de 80 millions de résidents permanents. Les documents officiels mentionnent la « protection de la vie privée ≫ mais « sans détailler les moyens concrets pour y parvenir », observe l’institut.
Principaux enseignements du rapport
Les 7 propositions de l’Institut Montaigne :
1. renforcer le contrôle, l’application et l’adaptabilité du RGPD
- Un RGPD révisé devrait mettre l’accent sur la clarté, la simplicité et la facilité de la mise en oeuvre.
2. rendre les politiques de confidentialité plus lisibles et ergonomiques
- L’amélioration de l’expérience utilisateur (UX) est essentielle pour atteindre l’un des objectifs premiers du RGPD, soit la possibilité donnée aux particuliers de reprendre le contrôle de leurs données personnelles.
3. assurer le respect effectif de la vie privée dès la conception (privacy by design)
- Les individus devraient être déchargés de décisions qu’ils ne peuvent pas prendre.
4. donner le droit effectif d’obtenir une explication dans le cadre du RGPD
- L’ »explicabilité », la fiabilité, la responsabilité et la transparence des algorithmes doivent être garanties, particulièrement dans le secteur public.
5. créer la possibilité de recours en responsabilité et dommages (tort and litigation)
- En contrepartie de la mise en place de recours judiciaires en responsabilité ex post, l’exigence de transparence des algorithmes privés pourrait être moindre.
6. introduire des réglementations sectorielles
- La définition d’une réglementation plus précise devrait être encouragée dans les secteur de la santé, des services financiers et de la sécurité.
7. créer des données de santé simulées pour améliorer l’anonymisation
- Le processus de « simulation » des données de santé par le projet britannique Simulacrum apparait comme « un moyen technologique de gérer les échecs de l’anonymisation et de la pseudonymisation ».