Le délégué à la protection des données de l'établissement hospitalier rappelle à quel point le sujet des données de santé est sensible et l'est encore plus depuis l'apparition de la COVID-19.
Les données de santé peuvent se revendre à des prix particulièrement élevés sur le dark web. Leur valeur gagne en importance, sans doute plus que jamais depuis le début de l'année 2020 et l'éclatement de la crise de coronavirus. Les hôpitaux, sous tension, ont vu et voient encore pour beaucoup affluer les malades par dizaines, les poussant parfois à une gestion des dossiers en catastrophe, faisant parfois fi, involontairement, des précautions d'usage autour des données personnelles des personnes hospitalisées.
Gérer l'imprévisibilité de la crise Covid
Le délégué à la protection des données (DPO) du CHU de Bordeaux, Moufid Hajjar, revient sur cette gestion délicate de la crise dans un échange avec l'AFCDP, l'Association française des correspondants à la protection des données à caractère personnel, qui contribue à la promotion des DPO et favorise la remontée des informations.
Avec ses 3 000 lits, ses 14 000 employés et sa centaine de services, le CHU de Bordeaux est une vraie usine à gaz. Forcément, la machine tourne en grande partie pour gérer l'interminable crise de la COVID-19. Et le problème de la protection des données à caractère personnel devient vite central.
Certaines informations de santé sensibles passent par des outils inadaptés, d'autres deviennent identifiables, faisant tomber cette pseudonymisation partielle. La circulation des tableaux de bord et ce qu'ils contiennent a dû être gérée de façon à ce que certaines données et informations ne soient transmises qu'à celles et ceux qui ont besoin de les connaître.
Une sensibilisation croissante
Du côté du CHU de Bordeaux, « il s'est très tôt créé une cellule de crise COVID en début d'année, mais le temps a sans doute souvent manqué en amont pour intégrer en préalable les questions liées à la protection des données » se souvient Moufid Hajjar. « Ce sont des membres de cette cellule qui m'alertaient en marge, afin que j'intervienne et que j'alerte sur les risques. »
Moufid, qui voit son rôle de DPO comme celui d'un garde-fou, rappelle que la sensibilisation du plus grand nombre au sujet de la protection des données est un levier qui fonctionne, mais il souligne aussi que « la possibilité de s'appuyer sur un réseau de personnes, pivots de leur domaine et sensibilisées à ces questions », est aussi déterminante.
À chaque sollicitation, le DPO est ainsi resté dans la pédagogie et la sensibilisation. Il reconnaît à la crise de la COVID-19 une qualité : celle d'avoir permis d'accélérer sur la maturité et la sensibilisation du RGPD. Et le niveau de sensibilisation dans les établissements de santé est bien plus salutaire qu'avant. « C'est de plus en plus un sujet dans la conversation et dans les esprits, comme pour la sécurité des systèmes d'information » fait-il remarquer. Et c'est loin d'être une mauvaise chose.
