# Cybersécurité des données de santé et droit de la protection des données à caractère personnel

## Alexandre Lodie

### ► To cite this version:

Alexandre Lodie. Cybersécurité des données de santé et droit de la protection des données à caractère personnel. Droit, Santé et Société [Journal de médecine légale, droit médical, victimologie, dommage corporel. Série E], 2024, 11. hal-05034462

HAL Id: hal-05034462

https://inria.hal.science/hal-05034462v1

Submitted on 15 Apr 2025

HAL is a multi-disciplinary open access
archive for the deposit and dissemination of sci-
entific research documents, whether they are pub-
lished or not. The documents may come from
teaching and research institutions in France or
abroad, or from public or private research centers.

L'archive ouverte pluridisciplinaire HAL, est
destinée au dépôt et à la diffusion de documents
scientifiques de niveau recherche, publiés ou non,
émanant des établissements d'enseignement et de
recherche français ou étrangers, des laboratoires
publics ou privés.

<figure><img src="image_1.png" /></figure>

Distributed under a Creative Commons Attribution 4.0 International License
# Cybersécurité des données de santé et droit de la protection des données à caractère personnel

Alexandre Lodie, Docteur en droit, Chercheur postdoctoral, Equipe Privatics, Centre Inria de l'Université Grenoble Alpes, Chercheur rattaché au projet Ipop<fnref n="1" />.

## Résumé :

Les cyberattaques prennent de plus en plus souvent pour cible les établissements de santé. Ce phénomène peut conduire à la fuite de données de santé des patients, avec toutes les conséquences qu'une telle fuite peut entraîner pour la vie privée des personnes concernées. Pour atténuer les risques, les responsables de traitement de données de santé sont soumis à des obligations de sécurité renforcées prévues par le droit européen de la protection des données. En parallèle, le Code de la santé publique exige l'adoption de référentiels de sécurité destinés à assurer la protection et notamment la cybersécurité des données de santé. Si ces initiatives sont, a priori, bénéfiques, elles se heurtent tout de même aux difficultés relatives à la délimitation exacte du périmètre de la notion des données de santé et du régime juridique qui en découle.

## Abstract :

Cyberattacks are increasingly targeting healthcare facilities. This can lead to the leak of patients' health data, with all the consequences that such a leak can entail for the privacy of data subjects. To mitigate these risks, health data controllers are subject to stricter security obligations under European data protection law. In parallel, the French Public Health Code requires the adoption of security standards designed to ensure the protection, and in particular the cybersecurity, of health data. While these initiatives are, at first sight, desirable, they nevertheless face difficulties in defining the exact scope of the concept of health data and the attached legal regime.

Mots clés : Cybersécurité, Données de santé, Données personnelles, RGPD, Code de la santé publique

Keywords : Cybersecurity, Health data, Personal Data, GDPR, Public Health Code

Les établissements de santé ont fait l'objet, entre l'année 2019 et l'année 2022 de cyberattaques, « systématisées »<fnref n="2" />, prenant souvent la forme de rançongiciels. En particulier, dans cet intervalle de temps, les hôpitaux de Dax, de Villefranche sur Saône, d'Albertville et de Rouen ont connu une forte perturbation de leurs systèmes suite à des attaques de ce type, ce qui a pu temporairement impacter la fourniture des soins aux patients<fnref n="3" />. Ce phénomène de cyberattaques à l'encontre des établissements de santé n'est pas limité au contexte français. C'est ainsi, à titre d'illustration, que 290 000 dossiers médicaux ont fuité en Israël en 2021 suite à des cyberincidents<fnref n="4" />.

C'est précisément pour faire face à cette menace que le Gouvernement français a lancé le programme quinquennal intitulé ‘cyber accélération et résilience des établissements’ (CARE) en matière de santé, qui implique divers acteurs, tant au niveau national que régional, voire

<footnote n="1">¹ This work has been supported by the ANR 22-PECY-0002 IPOP (Interdisciplinary Project on Privacy) project of the Cybersecurity PEPR and by Inria action exploratoire DATA4US</footnote>

<footnote n="2">² « Les mesures prioritaires de sécurité des systèmes d'information : Référentiel à destination des établissements de santé », Ministère de la Santé et de la Prévention, Octobre 2022.</footnote>

<footnote n="3">³ « Cybersécurité dans le secteur de la santé et du médico-social : une priorité nationale pour réussir la transformation numérique », Agence du Numérique en santé, Dossier d'information, Mai 2021.</footnote>

<footnote n="4">⁴ Nele Achten, « La cybersécurité dans le secteur de la santé », Politique de sécurité : analyses du CSS, ETH Zürich, n° 296, Décembre 2021.</footnote>
local<fnref n="5" />. Ce programme s'inscrit dans une logique plus large de protection des systèmes d'information des établissements de santé. Il convient de rappeler que le secteur de la santé a été placé sur la liste des services essentiels au fonctionnement de la société ou de l'économie par le Premier Ministre français. A ce titre, les établissements de santé ont été désignés opérateurs de services essentiels<fnref n="6" /> en application de la directive NIS<fnref n="7" />. Ces opérateurs sont soumis, du fait de leur rôle critique et primordial pour la vie de la société, à des obligations particulières en matière de cybersécurité.

La cybersécurité, dans ce contexte sera définie comme l'« [é]tat d'un système d'information qui résiste aux cyberattaques et aux pannes accidentelles survenant dans le cyberespace »<fnref n="8" />. Cette acception de la cybersécurité implique une dimension négative, la cybersécurité étant, en ce sens, la situation dans laquelle un système est en capacité de parer les cyberattaques. Cette définition peut être assimilable au concept de cyber-résilience, la résilience étant entendue par l'Agence Nationale de Sécurité des Systèmes d'Information (ANSSI) comme la « capacité d'un système d'information à résister à une panne ou à une cyberattaque et à revenir à son état initial après l'incident »<fnref n="9" />.

Assurer la cybersécurité des systèmes d'information des établissements de santé est donc un enjeu primordial au niveau national. Comme indiqué précédemment, les cyberattaques touchant les établissements de santé peuvent entraîner des conséquences dramatiques en ce qui concerne la prise en charge des patients et la fourniture de soins, mais elles peuvent également avoir des conséquences plus indirectes, notamment au regard du respect de la vie privée des patients.

A titre illustratif, la Commission Nationale de l'Informatique et des Libertés (CNIL) a récemment été saisie d'une affaire concernant une entreprise proposant des solutions informatiques à des laboratoires d'analyse médicales. Ladite société a été victime d'une cyberattaque ayant conduit à la fuite de données de milliers de patients, données qui ont été mises en vente sur le darkweb<fnref n="10" />. L'entreprise en question a été tenue responsable d'un manquement au RGPD du fait d'une mauvaise sécurisation des données dont elle avait la responsabilité<fnref n="11" />. Chacun peut imaginer ce que la fuite d'informations concernant la santé peut entrainer pour la personne qui en est victime, sur le plan psychologique.

C'est en raison de ces risques que les responsables de traitement des données ont l'obligation de prendre des mesures techniques et organisationnelles pour assurer la sécurité des données qu'ils traitent en vertu du RGPD<fnref n="12" />.

<footnote n="5">⁵ Feuille de route du numérique en santé 2023-2027 : Mettre le numérique au service de la santé.</footnote>

<footnote n="6">⁶ Décret n° 2018-384 du 23 mai 2018 relatif à la sécurité des réseaux et systèmes d'information des opérateurs de services essentiels et des fournisseurs de service numérique, JORF n°0118 du 25 mai 2018</footnote>

<footnote n="7">⁷ Directive (UE) 2016/1148 du Parlement Européen et du Conseil du 6 juillet 2016 concernant des mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et des systèmes d'information dans l'Union, Journal officiel de l'Union européenne, L 194, 19 juillet 2016</footnote>

<footnote n="8">⁸ Vocabulaire de la défense : cyberdéfense (liste de termes, expressions et définitions adoptés), JORF n°0219 du 19 septembre 2017, Texte n° 45</footnote>

<footnote n="9">⁹ Agence Nationale de la Sécurité des Systèmes d'Information, Glossaire, disponible sur https://www.ssi.gouv.fr/entreprise/glossaire/, page consultée le 13 juillet 2023.</footnote>

<footnote n="10">¹⁰ CNIL, Délibération SAN-2022-009 du 15 avril 2022</footnote>

<footnote n="11">¹¹ *Ibidem*.</footnote>

<footnote n="12">¹² Voir article 32 du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (Texte présentant de l'intérêt pour l'EEE), OJ L 119, 4.5.2016</footnote>
Si les responsables de traitement doivent assurer la sécurité des données dont ils ont la responsabilité, cette obligation est susceptible d'entraîner des devoirs particuliers en matière de cybersécurité au vu de la nature particulière des données de santé, qui sont considérées comme des données sensibles. Cependant la portée d'une telle obligation demeure sujette à débat.

Ainsi, si les données de santé entraînent des obligations additionnelles en matière de cybersécurité du fait de leur nature sensible (I), l'imprécision quant à la notion même de données de santé est de nature à créer une incertitude quant à l'étendue des mesures à mettre en œuvre (II).

## I- Les obligations de cybersécurité en matière de données de santé

Le RGPD prévoit une obligation de sécurisation des données qui implique nécessairement des mesures de cybersécurité à mettre en œuvre pour les responsables de traitement. Cette obligation se trouve renforcée lorsque les données en question sont des données sensibles (A). C'est en tout cas la façon dont les autorités de protection des données européennes ont interprété l'obligation de sécurité des données en matière de santé (B).

## A - Une obligation de cybersécurité des données en vertu du RGPD

Les atteintes aux données et notamment leur vol constituent une infraction pénale punie d'une peine d'emprisonnement de cinq ans<fnref n="13" />. Cependant la cybersécurité des données n'est pas seulement assurée par une sanction *a posteriori* mais également par des mesures de sécurité à mettre en œuvre par les responsables de traitement, *a priori*.

Le RGPD définit le responsable de traitement de données personnelles comme « la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement »<fnref n="14" />. Partant de cette définition, un hôpital, qui traite les données médicales de ses patients à des fins de diagnostic ou dans le cadre d'un compte rendu d'examen, doit être considéré comme un responsable de traitement lorsque les professionnels de santé agissent pour son compte<fnref n="15" />.

Le RGPD impose à ces acteurs des obligations en matière de protection des données. En effet, l'article 32 du RGPD dispose que « le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque [...] »<fnref n="16" />. Les mesures techniques à adopter dépendent des risques qui résulteraient d'une fuite de données<fnref n="17" /> et, par conséquent, de la nature des données, certaines étant plus sensibles que d'autres. Il n'existe pas de manière unique de se conformer à cette obligation d'intégrité et de confidentialité des données. Cette approche est donc dans la droite lignée de la philosophie générale du RGPD, dès lors qu'elle est fondée sur les risques<fnref n="18" />.

Concernant le contenu de cette obligation, elle désigne à la fois « les mesures physiques de contrôle d'accès et les mesures logiques de sécurisation des données, telles que la

<footnote n="13">¹³ Voir article 323-3 du code pénal.</footnote>

<footnote n="14">¹⁴ Article 4 (7) du RGPD.</footnote>

<footnote n="15">¹⁵ CNIL, « Traitement de données de santé : comment informer les personnes concernées ? », 4 avril 2018.</footnote>

<footnote n="16">¹⁶ Article 32 (1) du RGPD.</footnote>

<footnote n="17">¹⁷ Article 32 (2) du RGPD.</footnote>

<footnote n="18">¹⁸ Voir Considérant 83 du RGPD ou encore les lignes directrices de l'autorité de protection irlandaises sur l'approche fondée sur les risques ('risk-based approach') [https://www.dataprotection.ie/en/organisations/know-your-obligations/risk-based-approach] page consultée le 29 août 2023.</footnote>
pseudonymisation et le chiffrement des données »<fnref n="19" />. En d'autres termes les responsables de traitement doivent mettre en place des mesures de cybersécurité pour s'assurer que les traitements de données qu'ils opèrent soient conformes au RGPD. En particulier les traitements de données doivent se conformer à l'article 5 du RGPD qui dispose que les données doivent être « traitées de façon à garantir une sécurité appropriée des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d'origine accidentelle, à l'aide de mesures techniques ou organisationnelles appropriées »<fnref n="20" />.

Ces obligations sont similaires à celles contenues dans les instruments européens relatifs à la cybersécurité puisque la directive NIS 2 prévoit, notamment, que les « États membres veillent à ce que les entités essentielles et importantes prennent les mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui menacent la sécurité des réseaux [...] »<fnref n="21" />. Il existe donc un vrai dialogue entre ces deux corpus normatifs puisque le fait de protéger ses réseaux contribue à la protection des données qui y sont stockées. La différence provient du fait que la directive NIS 2, qui n'est pas encore transposée, s'appliquera aux entités énumérées dans les deux premières annexes de la directive<fnref n="22" />. Ces acteurs opèrent dans différents secteurs essentiels pour la société, dont le secteur de la santé. Le champ d'application de la directive NIS 2 s'avère donc plus restreint que celui du RGPD qui s'applique à l'ensemble des acteurs traitant des données.

Dans le domaine de la protection des données, les données de santé sont définies comme « les données à caractère personnel relatives à la santé physique ou mentale d'une personne physique, y compris la prestation de services de soins de santé, qui révèlent des informations sur l'état de santé de cette personne »<fnref n="23" />. Le considérant 35 précise les catégories de données qui peuvent être considérées comme des données de santé. Y figurent notamment « les informations sur la personne physique collectées lors de l'inscription de cette personne physique en vue de bénéficier de services de soins de santé ou lors de la prestation de ces services »<fnref n="24" />.

Les données de santé sont considérées par le RGPD comme des données sensibles dont le traitement est, par principe, interdit, sauf exceptions<fnref n="25" />. Puisque l'obligation de sécurité aux fins de préserver l'intégrité et la confidentialité des données est proportionnée aux risques et dépend de la nature des données traitées, l'obligation de protection des données de santé est logiquement, compte-tenu de leur haute sensibilité, une « obligation de moyens renforcés »<fnref n="26" />. Le droit français à cet égard impose « une série de mesures de sécurité renforcées »<fnref n="27" /> pour les données de santé, notamment par l'intermédiaire de la loi informatique et libertés de 1978²⁸.

<footnote n="19">¹⁹ Pierre Legros, « L'impératif de sécurité des données de santé, de la nécessité technique à l'obligation juridique », *Revue Internationale de Droit Economique*, 2022/3, p. 28.</footnote>

<footnote n="20">²⁰ Article 5, f) du RGPD.</footnote>

<footnote n="21">²¹ Article 21 de la Directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l'ensemble de l'Union, modifiant le règlement (UE) no 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148 (directive SRI 2) (Texte présentant de l'intérêt pour l'EEE) *OJ L 333, 27.12.2022*.</footnote>

<footnote n="22">²² Voir Article 2 de la directive NIS 2.</footnote>

<footnote n="23">²³ Article 4 (15) du RGPD.</footnote>

<footnote n="24">²⁴ Considérant 35 du RGPD.</footnote>

<footnote n="25">²⁵ Article 9 du RGPD.</footnote>

<footnote n="26">²⁶ Sonia Cordon, « Les cyberattaques dans les établissements de santé : enjeux et protection », *Journal du Droit de la Santé et de l'Assurance Maladie (JDSAM)*, 2021/2 (n°29), p. 64.</footnote>

<footnote n="27">²⁷ Christiane Féral-Schuhl, *Cyberdroit : Le droit à l'épreuve de l'Internet*, Praxis Dalloz, 8e ed., 2020/2021.</footnote>

<footnote n="28">²⁸ Loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, version en vigueur au 05 septembre 2023.</footnote>
Sur le plan européen, la Cour de Justice de l'Union européenne a également reconnu que le niveau de protection assuré aux données est fonction de leur sensibilité. Elle a ainsi été amenée à reconnaître que « compte tenu de la quantité de données conservées, du caractère sensible de ces données ainsi que du risque d'accès illicite à celles-ci, les fournisseurs de services de communications électroniques doivent [...] garantir un niveau particulièrement élevé de protection et de sécurité par des mesures techniques et organisationnelles appropriées »<fnref n="29" />.

Les données de santé sont donc des données sensibles, dont le traitement n'est autorisé que dans certains cas limités. Elles doivent faire l'objet de mesures de cybersécurité particulières d'autant plus importantes que les autorités de protection des données en Europe apportent une interprétation large de l'obligation de cybersécurité des données de santé.

## B - L'interprétation de l'obligation de cybersécurité des données de santé par les autorités européennes de protection des données

Le contentieux est déjà relativement important en ce qui concerne les mesures de sécurité appropriées à mettre en œuvre lorsque les responsables de traitement manipulent des données de santé. Les décisions permettent de mieux envisager les mesures de cybersécurité que les responsables de traitement peuvent mettre en œuvre pour satisfaire aux obligations qui leur incombent en vertu de l'article 32 du RGPD.

Les autorités de protection des données semblent unanimes sur le fait que l'accès doit être sécurisé et que les données de santé doivent – a minima – être chiffrées. Le comité européen de la protection des données, ainsi que le contrôleur européen de la protection des données, ont, à ce titre, précisé que le chiffrement était une technique pouvant être mise en œuvre pour protéger les données. Dans un avis conjoint ces deux institutions ont souligné que « [l]e chiffrement consiste en une technique courante utilisée afin de protéger la confidentialité des informations transmises et donc des données à caractère personnel concernées »<fnref n="30" />.

À ce titre, l'autorité de protection des données belge (APD) a sanctionné un laboratoire d'analyses médicales pour avoir permis l'accès aux comptes rendus des patients via un protocole non sécurisé<fnref n="31" />. L'APD a considéré à ce sujet que « une page web permettant aux médecins de consulter à distance les résultats d'analyses médicales de patients, sans offrir de chiffrement, viole le principe d'intégrité et de confidentialité inscrit aux articles 5.1.f) à l'article 32 du RGPD »<fnref n="32" />. De la même façon le 'Data protection commissioner' (DPC) irlandais s'est prononcé sur une affaire dans laquelle une entreprise fournissant des soins aux personnes a été victime d'une cyberattaque, ce qui a conduit à la fuite de données de santé de plusieurs milliers de personnes. En particulier le DPC a conclu que ladite entreprise, dénommée 'Centric' « ne disposait pas de protections adéquates, sous forme de mots de passe et de chiffrement des données, et ces mesures techniques n'ont pas été testées, ce qui aurait permis de mettre en évidence les risques pour l'intégrité des données traitées par Centric »<fnref n="33" />.

Au niveau national, la CNIL a aussi été amenée à se prononcer sur le chiffrement. Dès 2013 elle a déclaré qu'« une méthode de chiffrement des données stockées garantit la confidentialité

<footnote n="29">²⁹ CJUE, Arrêt de la Cour (grande chambre), 21 décembre 2016, ECLI:EU:C:2016:970, § 122</footnote>

<footnote n="30">³⁰ EDPS/EDPB, Avis conjoint 1/2019 de l'EDPB et du CEPD concernant le traitement des données des patients et le rôle de la Commission européenne dans l'infrastructure de services numériques dans le domaine de la santé en ligne (eHDSI)</footnote>

<footnote n="31">³¹ Autorité de protection des données, Chambre contentieuse, Décision quant au fond 127/2022 du 19 août 2022, DOS-2019-05244</footnote>

<footnote n="32">³² Ibidem</footnote>

<footnote n="33">³³ DPC Case Reference: IN-21-2-4 in the matter of Centric Health Ltd, Decision, 23 January 2023</footnote>
des données conservées sur les serveurs, contenant notamment des données sensibles telles que le NIR et les données de santé »<fnref n="34" />. Plus récemment, elle a sanctionné une entreprise fournissant des solutions logicielles à des laboratoires d'analyses médicales du fait des insuffisances constatées quant à la sécurité des données de santé traitées. Dans ce cas précis, la CNIL a déclaré qu' « [a]ucune mesure de sécurité n'était notamment prévue pour l'envoi des données, pourtant sensibles au sens de l'article 9 du RGPD. Les fichiers d'extraction de données étaient donc envoyés "en clair" (c'est-à-dire lisibles directement, car non transformées préalablement via une fonction de hachage), sans aucune mesure de chiffrement ou de sécurité »<fnref n="35" />. Enfin, dans une affaire ayant eu un grand retentissement médiatique, la CNIL a sanctionné la société doctissimo d'une amende de 380 000 euros, en raison, notamment, d'une violation de l'article 32 au motif que la navigation des utilisateurs n'était pas sécurisée et que la fonction cryptographique utilisée pour le hachage des mots de passe en vue de leur conservation était désuète<fnref n="36" />.

Le RGPD d'ailleurs en son article 32 énumère un certain nombre de mesures pouvant être mises en œuvre et en particulier « la pseudonymisation et le chiffrement des données à caractère personnel »<fnref n="37" />. Ces deux notions se recoupent d'ailleurs dans la mesure où le chiffrement est une technique de pseudonymisation. La pseudonymisation est définie comme « le traitement de données à caractère personnel de telle façon que celles-ci ne puissent plus être attribuées à une personne concernée précise sans avoir recours à des informations supplémentaires »<fnref n="38" />. Le chiffrement est donc une technique permettant de rendre une donnée illisible pour son destinataire, à moins que celui-ci ne dispose des informations complémentaires permettant de réidentifier la donnée, à savoir la clé de déchiffrement. Le contrôleur européen à la protection des données, conjointement avec l'autorité de protection des données espagnole, a publié un document dans lequel il estime que « [l]e chiffrement n'est pas une technique d'anonymisation, mais il peut être un puissant outil de pseudonymisation »<fnref n="39" />. Le contrôleur hambourgeois à la protection des données a également affirmé, en matière de données de santé que « [i]l convient d'accorder une grande importance au chiffrement, à la pseudonymisation, à l'anonymisation et aux autres mesures techniques de protection »<fnref n="40" />.

Outre les mesures de chiffrement, il est important d'assurer que seules les personnes autorisées puissent avoir accès auxdites données sensibles, ce qui pose la question de l'authentification des personnes. Lorsque des données de santé sont en jeu, l'authentification à double facteur doit être favorisée<fnref n="41" />.

Par ailleurs, nombreuses sont les autorités de protection des données à souligner l'importance des données de santé et la nécessité d'assurer des mesures de sécurité adaptées au caractère sensible de telles données. En d'autres termes ces obligations seraient renforcées lorsqu'il est question de données de santé. L'autorité néerlandaise de protection des données a par exemple

<footnote n="34">³⁴ CNIL, Délibération n°2013-099 du 25 avril 2013</footnote>

<footnote n="35">³⁵ CNIL, Délibération SAN-2022-009 du 15 avril 2022</footnote>

<footnote n="36">³⁶ CNIL, Délibération SAN-2023-006 du 11 mai 2023</footnote>

<footnote n="37">³⁷ Article 32 (1) a) du RGPD</footnote>

<footnote n="38">³⁸ Article 4 (5) du RGPD</footnote>

<footnote n="39">³⁹ AEPD/EDPS, 10 Misunderstandings related to anonymisation, 27 avril 2021, disponible sur [https://edps.europa.eu/data-protection/our-work/publications/papers/aepd-edps-joint-paper-10-misunderstandings-related_en], page consultée le 17 juillet 2023.</footnote>

<footnote n="40">⁴⁰ HmbBfDI, 31e rapport d'activités sur la protection des données du commissaire hambourgeois à la protection des données et à la liberté d'information, Mars 2023.</footnote>

<footnote n="41">⁴¹ Datatilsynet, Decision on infringement fee - Notification of non-compliance - The Storting, 20/03500-10, 4 mars 2022.</footnote>
déclaré « [p]lus les données à caractère personnel sont sensibles ou plus le contexte dans lequel elles sont utilisées constitue une menace pour la vie privée, plus les exigences en matière de sécurité des données à caractère personnel sont strictes »<fnref n="42" />.

Reste à voir quelle est exactement la portée de ces obligations, notamment au regard de la difficile définition des données de santé et de son étendue.

## II - La portée discutée des obligations de cybersécurité

Les responsables de traitement de données de santé doivent donc mettre en œuvre des mesures de sécurité supplémentaires au regard de la nature sensible des données en question. Cependant la question est de savoir à quelles données précisément s'applique cette obligation et dans quel contexte ? La France s'est dotée d'un arsenal législatif conséquent pour encadrer l'usage des données de santé et leur protection (A), même si l'étendue de ce que sont les données de santé mériterait d'être précisée (B).

### A - Les règles spéciales relatives à la sécurité des données de santé

Le fait même que l'article 32 du RGPD impose des obligations aux responsables de traitement en matière de sécurité des données proportionnées aux risques et au caractère sensible des données en question, implique nécessairement des obligations renforcées lorsque le traitement porte sur des données de santé.

En parallèle, l'article 9 (4) du RGPD permet aux États membres de prévoir dans leur droit interne des restrictions supplémentaires concernant le traitement de certaines catégories de données sensibles. À ce titre « [l]es États membres peuvent maintenir ou introduire des conditions supplémentaires, y compris des limitations, en ce qui concerne le traitement des données génétiques, des données biométriques ou des données concernant la santé »<fnref n="43" />.

La France a utilisé cette possibilité qui lui était offerte, en adoptant un régime particulier en matière de protection des données de santé. La loi informatique et libertés dispose à cet effet, en énumérant certaines fonctions de la CNIL que celle-ci « peut prescrire des mesures, notamment techniques et organisationnelles, supplémentaires pour le traitement des données biométriques, génétiques et de santé en application du 4 de l'article 9 du règlement (UE) 2016/679 du 27 avril 2016 »<fnref n="44" />.

Pour le reste, les données de santé, et le traitement de celles-ci, sont régis par le code de la santé publique (CSP). Ces règles encadrent explicitement la sécurité des systèmes d'information traitant des données de santé. En particulier l'article L.1470-5 dispose « afin de garantir l'échange, le partage, la sécurité et la confidentialité des données de santé à caractère personnel, les services numériques en santé destinés à être utilisés par les personnes morales et physiques [...] doivent être conformes aux référentiels d'operability et de sécurité élaborés [...] pour le traitement de ces données, leur conservation sur support informatique et leur transmission par voie électronique »<fnref n="45" />. Autrement dit, le droit français prévoit des standards de sécurité

<footnote n="42">⁴² Autoriteit Persoonsgegevens, Décision d'infliger une amende, 7 avril 2022.</footnote>

<footnote n="43">⁴³ Article 9 (4) du RGPD.</footnote>

<footnote n="44">⁴⁴ Article 8 de la Loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés</footnote>

<footnote n="45">⁴⁵ Article L. 1470-5 du Code de la santé publique</footnote>
spécifiques auxquels les responsables de traitement doivent se conformer pour traiter des données de santé.

Dans cette perspective a été adopté à titre d'exemple un référentiel publié par l'Agence du Numérique en santé sur les dispositifs médicaux numérique, qui renvoie d'ailleurs au RGPD et à la loi informatique et libertés<fnref n="46" />. Il rappelle notamment la nécessité d'adopter une déclaration de conformité au RGPD.

Par ailleurs, certaines dispositions relatives au système national des données de santé concernent en premier lieu la sécurité des données de santé. Tout d'abord il convient de rappeler que le système national des données de santé (SNDS) est destiné à rassembler et à mettre à disposition<fnref n="47" /> les données de santé à diverses finalités dont « l'information sur la santé ainsi que sur l'offre de soins, la prise en charge médico-sociale et leur qualité [...] la définition, à la mise en œuvre et à l'évaluation des politiques de santé et de protection sociale »<fnref n="48" /> ou encore « la surveillance, [...] la veille et [...] la sécurité sanitaires »<fnref n="49" />.

Dans cette perspective un référentiel de sécurité a été adopté par arrêté<fnref n="50" /> qui fixe, là encore, les standards à respecter pour le traitement des données issues du SNDS. Parmi ceux-ci une large place est laissée à la confidentialité des données et, en particulier, à la pseudonymisation des données de santé pour garantir la permanence de la dépersonnalisation des données<fnref n="51" />. Cette sécurisation des données passe également par une certaine forme de souverainisme numérique en ne permettant l'hébergement des données de santé qu'à des hébergeurs agréés<fnref n="52" />. Il est à noter que le recours à un hébergeur agréé n'exonère d'ailleurs pas le responsable de traitement de ses obligations de sécurisation des données. En effet, à l'occasion de l'affaire Doctolib, le Conseil d'Etat a dû déterminer si le recours à un hébergeur étranger, bien qu'agréé, pouvait entraîner une atteinte à la vie privée des personnes concernées du fait de l'accès éventuel à ces données par les autorités américaines, l'hébergeur en question étant une filiale du groupe Amazon<fnref n="53" />. A cet égard, il a été avancé que la « garantie tenant à la procédure de chiffrement par un tiers de confiance semble déterminante pour empêcher la lecture des données par des tiers »<fnref n="54" />. En d'autres termes, le chiffrement des données mis en place, en tant que mesure de sécurité, semble suffisant aux yeux du Conseil d'Etat pour rejeter le moyen selon lequel le recours à un hébergeur de données américain violerait le droit à la vie privée des personnes concernées. Pour soutenir son raisonnement, le Conseil d'Etat s'appuie sur la circonstance que le tiers de confiance sur lequel la procédure de chiffrement repose est basé en France, ce qui constitue un élément supplémentaire tendant à prouver que le niveau de protection des données en l'espèce ne pouvait être considéré comme « manifestement insuffisant »<fnref n="55" />.

<footnote n="46">⁴⁶ Arrêté du 22 février 2023 portant approbation du référentiel d'interopérabilité et de sécurité des dispositifs médicaux numériques, JORF n°0053 du 3 mars 2023</footnote>

<footnote n="47">⁴⁷ Article L. 1461-1 (I) du Code de la santé publique</footnote>

<footnote n="48">⁴⁸ Article L. 1461-1 (III) du Code de la santé publique</footnote>

<footnote n="49">⁴⁹ *Ibidem*.</footnote>

<footnote n="50">⁵⁰ Arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au Système national des données de santé, JORF n°0071 du 24 mars 2017</footnote>

<footnote n="51">⁵¹ *Ibidem*</footnote>

<footnote n="52">⁵² Article L. 1111-8 du Code de la santé publique</footnote>

<footnote n="53">⁵³ Conseil d'État, Juge des référés, 12/03/2021, 450163, Inédit au recueil Lebon</footnote>

<footnote n="54">⁵⁴ Brunessen Bertrand, Jean Sirinelli, « L'affaire Doctolib devant le Conseil d'État : le secret de la Licorne », *Dalloz* IP/IT 2021, p. 518</footnote>

<footnote n="55">⁵⁵ Conseil d'État, Juge des référés, 12/03/2021, 450163, Inédit au recueil Lebon</footnote>
Toujours concernant les mesures à mettre en œuvre, et de manière non-exhaustive, les établissements de santé et autres organismes traitant des données de santé sont tenus de signaler les incidents de sécurité<fnref n="56" />.

Par ailleurs la CNIL a estimé à propos du référentiel mis en place pour le traitement des données issues du SNDS que « ce référentiel a pris en compte la diversité des problématiques de sécurité inhérentes à un tel traitement massif de données personnelles sensibles, et qu'il fixe des exigences de sécurité à la hauteur des enjeux d'un tel traitement »<fnref n="57" />.

Bien qu'il soit impossible de présenter l'ensemble des mesures de sécurité et référentiels propres aux données de santé, force est de constater que ces mesures sectorielles ont pour enjeu d'assurer l'intégrité et la confidentialité de ces données particulièrement sensibles. La difficulté toutefois est que ces dispositions semblent réservées à une partie seulement des données relatives à la santé des personnes concernées.

## B - L'étendue incertaine des traitements concernés par les mesures de sécurité renforcées

Il est admis en droit européen, comme en droit interne, que les données de santé doivent faire l'objet de mesures de sécurité – et notamment de cybersécurité- adaptées aux risques qu'une fuite de données pourrait entraîner pour la vie privée des personnes concernées. Ces obligations font l'objet de règles sectorielles contenues dans le code de la santé publique<fnref n="58" />.

Le problème de ce corpus normatif est qu'il est en principe destiné aux données médicales prises dans un sens large, comme cela est suggéré à l'article L 1460-1 du code de la santé publique mentionnant les « données de santé à caractère personnel destinées aux services ou aux établissements publics de l'Etat ou des collectivités territoriales, aux professionnels de santé ou aux organismes de sécurité sociale »<fnref n="59" />. Certes, cette disposition est contenue dans le Titre du code relatif à la mise à disposition des données de santé dans le cadre du système national des données de santé et à la plateforme des données de santé, ce qui signifie nécessairement que les dispositions qu'il contient ont vocation à encadrer la réutilisation des données de santé pour la recherche médicale, la veille sanitaire et d'autres activités en lien avec l'activité des professionnels de santé.

Il n'empêche qu'il demeure une incertitude sur le fait de savoir si les données de santé qui ne sont pas traitées par des professionnels de santé dans les situations encadrées par le code de santé publique relèvent ou non des référentiels de sécurité prévus par ledit code.

Autrement dit, le débat porte sur le périmètre de la définition des données de santé. Sur ce point particulier le RGPD dispose que les données de santé se rapportent aux données relatives à la santé physique ou mentale d'une personne<fnref n="60" />. Cette définition est donc particulièrement large et ne semble pas nécessairement se rapporter au traitement de données médicales par les personnels de santé. Cette interprétation large des données de santé (et de leur traitement) a été adoptée par la Cour de Justice de l'Union européenne qui a considéré que l'expression « données concernant la santé » devait être comprise comme incluant les données « révélant

<footnote n="56">⁵⁶ Article L. 1111-8-2 du Code de la santé publique</footnote>

<footnote n="57">⁵⁷ CNIL, Délibération n° 2017-022 du 26 janvier 2017 portant avis sur un projet d'arrêté relatif au référentiel de sécurité applicable au Système national des données de santé (demande d'avis n° 16025310)</footnote>

<footnote n="58">⁵⁸ Voir en ce sens les articles L 1470-5 et L 1470-6 du code de la santé publique relatifs aux référentiels d'interopérabilité et de sécurité destinés à assurer la sécurité et la confidentialité des données.</footnote>

<footnote n="59">⁵⁹ Article L 1460-1 du Code de la santé publique</footnote>

<footnote n="60">⁶⁰ Cf supra note 23.</footnote>
l'état de santé » au sens du considérant 35 du RGPD, c'est-à-dire « l'ensemble des données se rapportant à l'état de santé d'une personne concernée qui « révèlent » des informations sur l'état de santé physique ou mentale passé, présent ou futur de la personne concernée »<fnref n="61" />.

Cette définition inclusive semble toutefois ne pas être pleinement partagée par le juge administratif français qui a considéré, *a contrario*, que la publication de l'acte de nomination d'un fonctionnaire qui comportait dans son visa, la mention d'un décret relatif à l'accès des personnes souffrant d'un handicap à la fonction publique, ne constituait pas un traitement de données de santé<fnref n="62" />. Pour parvenir à cette conclusion le Conseil d'Etat a estimé que le traitement de données en cause ne révélait « aucune information sur la nature ou la gravité de ce handicap »<fnref n="63" />. Une telle conclusion semble discutable dans la mesure où le traitement de données révélait que la personne concernée souffrait d'un handicap, ce qui est une caractéristique révélant son état de santé dans un sens large.

Cette problématique démontre que, si la délimitation de la notion de donnée de santé est floue, il peut s'avérer complexe de déterminer quelles sont les mesures de cybersécurité à mettre en œuvre dans certains cas, en particulier lorsque des traitements de données ne se rapportent que de manière indirecte à la santé des personnes concernées.

En particulier, certains dispositifs qui ne sont pas médicaux peuvent révéler des informations sur la santé des personnes concernées, tel est par exemple le cas des montres connectées et autres dispositifs susceptibles de révéler l'état de santé des personnes concernées. Il n'est pas certain que ces dispositifs puissent être encadrés par les dispositions du code de la santé publique dans la mesure où ils ne sont pas proposés, ni utilisés par les professionnels de santé. Il est vrai que l'article L 1470-5 du code de la santé publique précise expressément que les personnes soumises aux référentiels de sécurité édictés par l'Agence du Numérique en Santé sont les professionnels de santé ainsi que les professionnels des secteurs social et médico-social<fnref n="64" />. C'est dans cette logique que les dispositifs médicaux numériques de télésurveillance ont pu faire l'objet d'un référentiel rédigé par l'ANS et publié au Journal Officiel<fnref n="65" />.

Ces incertitudes quant à la portée de la définition des données de santé ont été mises en exergue par la doctrine. À ce titre, il a été souligné que « [d]es données de santé peuvent très bien être collectées par les « tiers intéressés » sans intervenir à l'occasion d'une prise en charge médicale, excluant ainsi l'application du cadre juridique de l'hébergement des données de santé »<fnref n="66" />. De la même façon s'est posée la question de savoir si le NIR, autrement appelé ‘numéro de sécurité sociale’ était ou non une donnée de santé et s’il devait, à ce titre, bénéficier du régime juridique applicable aux données de santé. Lucie Cluzel-Métayer et Armande François ont considéré, à propos du NIR et de diverses données administratives susceptibles d’être récoltées à l’occasion d’un parcours de soin, qu’elles « ne sont considérées comme étant des données de santé. Cela signifie que leur régime n’est pas identique : elles ne relèvent pas du secret professionnel, ni des dispositions relatives aux référentiels de sécurité et d’interopérabilité des données de santé,

<footnote n="61">⁶¹ CJUE, Arrêt de la Cour (Grande Chambre), dans l'affaire C-184/20, 1er Août 2022, ECLI:EU:C:2022:601, § 124</footnote>

<footnote n="62">⁶² Conseil d'État, 10ème - 9ème chambres réunies, 10/06/2021, 431875</footnote>

<footnote n="63">⁶³ *Ibidem*.</footnote>

<footnote n="64">⁶⁴ Voir article L 1470-1 1°) et 2°).</footnote>

<footnote n="65">⁶⁵ Arrêté du 25 juillet 2022 portant approbation du référentiel d'interopérabilité et de sécurité des dispositifs médicaux numériques de télésurveillance, Journal officiel électronique authentifié n° 0176 du 31/07/2022</footnote>

<footnote n="66">⁶⁶ Thibault Douville, « Les dangers de la collecte des données de santé par les tiers intéressés (gafam, assureurs...), *Journal du Droit de la Santé et de l'Assurance Maladie (JDSAM)*, 2018/3 (n°20), p. 14.</footnote>
ni des dispositions relatives à l'hébergement des données de santé »<fnref n="67" />. Et les autrices précitées de se questionner « [n]e peut-on concevoir pour autant que le fait même de solliciter un acte de télémédecine en psychiatrie ou en oncologie, par exemple, est révélateur, en soi, de l'état de santé d'une personne ? »<fnref n="68" />.

Il convient de rappeler tout de même que malgré cette apparente zone grise, la CNIL demeure en capacité d'imposer des règles de sécurité supplémentaires pour les traitements de données biométriques, génétiques ou de santé<fnref n="69" />. Cette possibilité est prévue explicitement par la loi informatique et libertés<fnref n="70" />.

Quoi qu'il en soit, le régime applicable aux traitements de données qui ne sont pas, par nature, des données de santé, peut s'avérer difficile à identifier, et d'autant plus lorsque les responsables de traitement ne sont pas des professionnels de santé mais des entreprises privées. En particulier, les responsables de traitement ne semblent pas soumis, dans une telle hypothèse, aux référentiels de sécurité prévus par le Code de la santé publique.

Conclusion

Le RGPD, de même que les règles européennes relatives à la cybersécurité, prévoient un certain nombre d'obligations en matière de cybersécurité des données de santé. La raison d'être de ces obligations est d'assurer le plus haut standard de sécurité pour les données de santé, ces dernières étant, par définition, des données sensibles. Outre ces obligations générales, la France a adopté des règles sectorielles contenues dans le code de la santé publique, qui renforcent encore les obligations des responsables de traitement en matière de sécurisation des données de santé. Malgré tous ces efforts, la protection des données de santé peut être affaiblie par une délimitation incertaine de ce que recouvre la notion même de données de santé.

<footnote n="67">⁶⁷ Lucie Cluzel-Métayer, Armande François, « La protection des données personnelles à l'épreuve de la télémédecine », RDSS 2020 p.51</footnote>

<footnote n="68">⁶⁸ *Ibidem*.</footnote>

<footnote n="69">⁶⁹ Thibault Douville, « Les dangers de la collecte des données de santé par les tiers intéressés (gafam, assureurs...), *Journal du Droit de la Santé et de l'Assurance Maladie (JDSAM)*, 2018/3 (n°20), p. 14.</footnote>

<footnote n="70">⁷⁰ Article 8 de la Loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés</footnote>