Considérations juridiques et de protection de la vie privée dans le secteur des soins de santé
Key Takeaways
- La réutilisation des données des patients pour entraîner un modèle d’IA est possible, mais elle nécessite une base juridique claire ainsi qu’une mise en balance attentive des intérêts en matière de protection de la vie privée.
- L’entraînement d’un modèle d’IA peut être qualifié de recherche scientifique. Dans ce cas, la compatibilité du traitement est présumée et aucun test de compatibilité distinct n’est requis.
- L’accent doit être mis sur la transparence et l’autonomie du patient. Une communication claire concernant les politiques de traitement secondaire et la possibilité de s’y opposer renforce à la fois la licéité du traitement secondaire et la confiance des patients
Le traitement secondaire dans un hôpital
Les hôpitaux traitent quotidiennement de grands volumes de données à caractère personnel dans le cadre de la prise en charge des patients. Ces données sont principalement utilisées pour la prestation de soins de santé. Parallèlement, le besoin de réutiliser ces données à des fins secondaires telles que la recherche (scientifique), le suivi de la qualité, l’évaluation des politiques, l’enseignement et la gestion opérationnelle ne cesse de croître.
L’utilisation secondaire des données à caractère personnel dans le secteur des soins de santé offre des opportunités importantes pour le progrès médical et l’amélioration de la qualité des soins. Elle comporte toutefois des risques spécifiques pour la vie privée des patients. Les données collectées au sein d’un hôpital relèvent en grande partie de catégories particulières de données à caractère personnel au sens de l’article 9 du RGPD, qui bénéficient d’un niveau de protection renforcé.
Les attentes sociétales concernant l’utilisation des données de santé ont fortement évolué ces dernières années. Le soutien à l’utilisation des données des patients à des fins de recherche médicale et d’innovation est en augmentation. Dans le même temps, les patients sont de plus en plus conscients de leurs droits en matière de protection des données et attendent une transparence claire quant à l’utilisation de leurs données. Cela appelle une approche équilibrée, qui protège à la fois les intérêts de l’hôpital et ceux du patient.
La recherche scientifique
Dans le cadre du RGPD, la notion de « recherche scientifique » est généralement interprétée de manière large. Elle englobe non seulement la recherche fondamentale, mais également le développement technologique et les activités de démonstration, c’est-à-dire les essais pratiques et la validation de nouvelles connaissances ou technologies afin de démontrer leur fonctionnement en pratique. Cela soulève la question de savoir si l’entraînement d’un modèle d’IA peut également être considéré comme de la recherche scientifique. Cette question fait encore l’objet de débats.
Pour déterminer si une activité peut être qualifiée de recherche scientifique, les éléments suivants peuvent notamment être pris en compte :
- l’utilisation d’une méthodologie scientifique ;
- la valeur ajoutée pour la société ;
- l’impact potentiel sur la société et/ou les patients.
Le considérant 61 du règlement sur l’Espace européen des données de santé (EHDSR) aborde explicitement cette question en précisant que : « Les activités liées à la recherche scientifique comprennent des activités d’innovation, telles que l’entraînement des algorithmes d’IA qui pourraient être utilisés dans les soins de santé ou les soins aux personnes physiques, ainsi que l’évaluation et la poursuite du développement d’algorithmes et de produits existants à de telles fins. »
Si, dans un contexte donné, l’entraînement d’un modèle d’IA est qualifié de recherche scientifique, il est possible de se fonder sur le principe de la compatibilité du traitement. Dans ce cas, la compatibilité du traitement de données à caractère personnel à des fins de recherche scientifique est présumée, ce qui signifie qu’aucun test de compatibilité distinct ne doit être effectué (Le considérant 50 RGPD).
En outre, un exception spécifique est requise pour le traitement de catégories particulières de données à caractère personnel. Étant donné que l’activité est qualifiée de recherche scientifique, l’exception la plus appropriée sera généralement celle prévue à l’article 9, paragraphe 2, point j), du RGPD. Lorsqu’il est fait appel à cette base juridique, des garanties appropriées au sens de l’article 89, paragraphe 1, du RGPD doivent être mises en place. La nature exacte de ces garanties dépend du contexte spécifique du projet, mais le principe
Le traitement compatible et le test de compatibilité
Si, dans la situation concrète, l’entraînement d’un modèle d’IA ne peut pas être qualifié de recherche scientifique, une autre base juridique doit être identifiée. Il peut néanmoins être possible de se fonder sur la doctrine du traitement compatible. Cette doctrine permet le traitement ultérieur de données à caractère personnel sans nouvelle base juridique, à condition que la finalité secondaire soit compatible avec la finalité initiale de la collecte. À cette fin, un test de compatibilité doit être réalisé.
Conformément à l’article 6, paragraphe 4, du RGPD, le responsable du traitement doit tenir compte de plusieurs facteurs pour évaluer si un traitement ultérieur à une autre fin est compatible avec la finalité initiale, notamment :
- Le lien entre les finalités pour lesquelles les données à caractère personnel ont été initialement collectées et les finalités du traitement ultérieur envisagé ;
- Le contexte dans lequel les données à caractère personnel ont été collectées, en particulier la relation entre les personnes concernées et le responsable du traitement ;
- La nature des données à caractère personnel, notamment lorsqu’il s’agit de catégories particulières de données à caractère personnel au sens de l’article 9 du RGPD, ou de données relatives à des condamnations pénales et infractions visées à l’article 10 du RGPD ;
- Les conséquences possibles du traitement ultérieur envisagé pour les personnes concernées ;
- L’existence de garanties appropriées, telles que le chiffrement ou la pseudonymisation.
Appliquée à l’exemple de l’entraînement d’un modèle d’IA à partir de données relatives au cancer afin de permettre une détection plus précoce de la maladie à l’avenir, cette analyse pourrait se présenter comme suit :
Lien entre les finalités
Il s’agit d’évaluer l’existence d’un lien logique entre la finalité initiale de la collecte des données et la finalité secondaire. Quel est le lien entre la prestation de soins en tant que finalité principale et l’entraînement d’un modèle d’IA en tant que finalité secondaire ? Dans cet exemple, le lien est clair, puisque des données relatives au cancer initialement collectées dans le cadre de la prise en charge des patients sont réutilisées afin d’améliorer la détection précoce du cancer à l’avenir.
Contexte de la collection des données
Ce facteur vise à déterminer si les patients peuvent raisonnablement s’attendre à ce que leurs données soient utilisées à des fins secondaires. Les informations initialement fournies aux patients jouent un rôle déterminant dans la formation de ces attentes. L’entraînement d’un modèle d’IA relève-t-il des attentes raisonnables du patient et comment cela est-il communiqué ? Via une déclaration de confidentialité, une note d’information spécifique ou des écrans d’information ? Dans cet exemple, un patient atteint d’un cancer pourrait être informé de manière proactive du développement d’un modèle d’IA visant la détection précoce du cancer. Une telle communication contribue à renforcer la confiance des patients envers l’institution de soins de santé.
Nature des données à caractère personnel
Une attention particulière doit être portée à la sensibilité des données de santé et à l’impact potentiel du traitement ultérieur sur les droits fondamentaux du patient.
Conséquences possibles du traitement ultérieur envisagé
Il s’agit ici d’évaluer les effets positifs et négatifs potentiels tant pour les patients que pour la société. Le traitement crée-t-il une valeur ajoutée pour les soins de santé sans entraîner de conséquences défavorables pour le patient ? Dans cet exemple, si le modèle d’IA permet une détection plus précoce du cancer, il est probable qu’il ait un impact positif sur les futurs patients atteints de cancer.
Existence de garanties appropriées
Des mesures techniques et organisationnelles appropriées doivent être mises en œuvre, telles que le chiffrement, la pseudonymisation, la généralisation, l’anonymisation ou l’agrégation. La question clé est de savoir si les données restent identifiables pour les fournisseurs ou des tiers. Ce n’est que lorsque le développement du modèle d’IA n’est pas possible à partir de données entièrement anonymes que des données pseudonymisées peuvent être utilisées.
Le consentement
À titre d’alternative, le traitement des données à des fins d’entraînement d’un modèle d’IA peut être considéré comme une forme de traitement primaire plutôt que secondaire. Dans ce cas, le consentement peut constituer la base juridique. Ce consentement doit être explicite, spécifique, éclairé et donné sans ambiguïté.
En pratique, toutefois, cette base juridique n’est choisie que de manière exceptionnelle. Cela s’explique par les politiques hospitalières favorisant l’utilisation secondaire des données dans l’intérêt de la société, par la difficulté pratique d’obtenir le consentement de chaque patient, ainsi que par la nature intrinsèquement fragile du consentement en tant que base juridique.
La transparence
Quelle que soit la base juridique retenue, les patients doivent toujours être informés de l’utilisation de leurs données à caractère personnel. Cette information peut être fournie de différentes manières, notamment :
- la communication d’une politique externe via le site internet de l’hôpital ou des brochures expliquant la réutilisation des données à des fins secondaires, y compris l’utilisation des données pour l’entraînement de modèles d’IA ;
- la fourniture d’informations spécifiques à un projet. En fonction de ses choix stratégiques, un hôpital peut opter pour une communication proactive et générale concernant les différents projets de traitement secondaire menés au sein de l’organisation. Les patients peuvent ensuite demander des informations plus détaillées sur les projets spécifiques auxquels ils participent.
Une communication claire et structurée permet d’aligner les attentes raisonnables des patients. Cela a, à son tour, un impact sur la confiance des patients et sur la licéité du traitement, en particulier lorsque l’on se fonde sur le concept de traitement compatible.
L’autonomie du patient
Enfin, les hôpitaux peuvent renforcer l’autonomie des patients en proposant un mécanisme d’opposition leur permettant de refuser l’inclusion de leurs données dans de futurs projets d’IA ou d’autres formes de traitement secondaire. Cette approche donne une voix aux patients, respecte leurs préférences et leurs choix, et contribue en définitive à la confiance envers l’institution de soins de santé.
Source : VANSWEEVELT, T en BROECKX N, Patiëntendossier, beroepsgeheim, GDPR en EHDSR, Larcier Intersentia, 2025.
