WhatsApp, Skype… vos données médicales sont-elles en sécurité lors des téléconsultations ?

Pourtant, la charte des bonnes pratiques de l’Assurance maladie, diffusée en avril 2022, encourage les praticiens à recourir à des solutions telles que la messagerie sécurisée de santé via la plateforme “Mon espace santé” ou une solution stockée par un hébergeur de données de santé agréé ou certifié. Comme Doctolib qui vient d’ailleurs d’être référencé dans le catalogue de services proposé par “Mon espace santé”, la nouvelle version du dossier médical partagé édité conjointement par la Caisse nationale de l’Assurance maladie (Cnam) et le ministère de la Santé et de la Prévention. Le leader européen de la e-santé est en effet certifié hébergeur de données de santé (HDS) depuis l’automne 2021.

Doctolib permet en effet aux patients et aux médecins de partager des données de santé à caractère sensible telles que le numéro de Sécu, essentiel pour rémunérer les consultations et être remboursé, mais aussi les ordonnances médicales et les arrêts de travail. Des données potentiellement exploitables par d’autres plateformes grand public, à titre commercial notamment, si elles ne recourent pas à des hébergeurs de données de santé certifiés ou agréés.

Une exception autorisée en pleine pandémie

Urgence sanitaire oblige, la question ne semblait pas inquiéter Olivier Véran, lorsqu’il était encore aux manettes du ministère de la Santé. En mars 2020, quelques jours avant le début du premier confinement, ce dernier affirmait au micro de France Info avoir “autorisé [...] qu'un patient qui ne peut pas aller voir son médecin ou qui estime que ce n'est pas prudent d'y aller puisse contacter par FaceTime ou par WhatsApp le médecin qui est capable de lui faire ses ordonnances, son arrêt de travail".

L’arrêté du 19 mars 2020 prescrivant les mesures d’urgence autorisait en effet les professionnels à utiliser des outils dont les données n’étaient pas stockées par des hébergeurs de données certifiés/agréés uniquement “en cas d’impossibilité et exclusivement dans le cadre de la réponse à l’épidémie de Covid-19”.

Bien vérifier quel est l’hébergeur de la plateforme

Contactée par Capital, la Commission nationale de l’informatique et des libertés (Cnil) explique qu’elle “ne s’est jamais prononcée spécifiquement sur le recours à de tels outils dans le cadre des téléconsultations (ces traitements ne sont pas soumis à autorisation préalable de la Cnil)”.

Pour autant, elle rappelle que “les données concernant la santé sont des données sensibles dont le traitement est, par principe, interdit”. Celles-ci peuvent néanmoins être traitées “par des professionnels de santé dans le cadre de la prise en charge de leurs patients”. Ainsi, les outils utilisés pour la télémédecine doivent respecter les obligations prévues par le Règlement général de la protection des données (RGPD), et notamment l’hébergement des données par un hébergeur agréé ou certifié. Ce qui a été autorisé au début du premier confinement reste donc exceptionnel et déroge bien à la règle générale.

Néanmoins, cela ne signifie pas pour autant que la téléconsultation par Skype ou une autre plateforme grand public est illégale. Mais pour être sûr de la sécurisation de vos données personnelles, mieux vaut consulter la liste des hébergeurs agréés ou certifiés consultables sur le site de l’Agence du numérique en santé (ANS). On y retrouve ainsi Doctolib, Atos qui héberge les données de “Mon espace santé”, mais aussi… Microsoft Corporation qui détient Skype depuis 2011. En revanche, Meta, qui héberge les données de WhatsApp, tout comme Zoom sont absents de la liste.