Le projet de loi intitulé « institution et organisation de l’Agence des données de (soins de) santé » a été adopté par la Chambre la semaine dernière. Une adoption précédée de nombreuses questions critiques des députés au ministre Vandenbroucke. Nous revenons sur deux de ces remarques : l’une à propos des données anonymes et pseudonymisées, l’autre concernant un médecin généraliste qui est sorti des clous.

En ce qui concerne l’obligation de déclaration de la réutilisation des données à l’Agence des données, la liste des utilisateurs est, selon le Dr Catherine Fonck (Les Engagés), très (trop ?) courte. Frank Vandenbroucke (Vooruit) a expliqué que le niveau fédéral peut difficilement imposer cette obligation de déclaration à d’autres utilisateurs, « mais s’efforcera de convaincre les utilisateurs ». « Cependant, le ministre n’impose même pas cette obligation de déclaration aux opérateurs fédéraux en général, a répondu Catherine Fonck, c’est difficilement compréhensible. »

Pseudonymisées

Le concept de « données pseudonymisées » posait également problème au Dr Fonck. Selon elle, ces données ne resteraient pas anonymes après le croisement de plusieurs bases de données. L’avis de Franck Vandenbroucke était tout autre : « La différence entre données anonymisées et données pseudonymisées est claire. Parfois, l’utilisation de données anonymisées ne suffit pas pour la recherche scientifique, des données pseudonymisées sont nécessaires. Toutes les exigences en matière de sécurité et de protection de la vie privée s’appliquent aux données pseudonymisées. Ces données sont sûres et ne portent pas atteinte à la vie privée. Quiconque est convaincu du rôle du Règlement général sur la protection des données (RGPD) et du rôle du Comité de sécurité de l’information ainsi que de l’APD ne peut affirmer que les données pseudonymisées ne peuvent pas être transférées. »

Un médecin généraliste en faute

Un « accès hors de contrôle aux données de santé » via Helena a été observé. Le ministre Vandenbroucke l’a démenti : « Helena était un outil d’authentification, mis au point en vue d’une communication sûre entre les patients et les prestataires de soins. »

Il a admis qu’un médecin généraliste n’a pas suivi les procédures établies, avec le consentement d’un patient. « Ce médecin généraliste a ainsi pu se faire passer pour le patient en question. Dès que cet incident a été constaté, seule la carte d’identité électronique a encore été utilisée, en concertation avec les utilisateurs, comme moyen d’authentification. »

« Chaque année, 20 milliards de données à caractère personnel sont échangées en toute sécurité entre plus de 100 000 prestataires de soins en vue de soins de santé de qualité, et ce, grâce aux services de sécurité de l’information proposés sur la plateforme eHealth », a-t-il déclaré en conclusion.

Lire aussi: Mathieu Michel travaille à une nouvelle loi sur l'Autorité de Protection des Données