Faire confiance, c’est bien. Contrôler, c’est mieux?

Le cas Facebook et Cambridge Analytica nous a montré de manière impressionnante comment les données personnelles pouvaient être volées et manipulées dans un réseau complexe de gestionnaires de données. Début mars, on a appris qu’en 2014, les données de 50 millions d’utilisateurs Facebook avaient été systématiquement conservées et analysées, sans leur consentement, pour établir des profils selon l’orientation sexuelle ou les intérêts politiques. Certes, Facebook a déjà imposé la suppression de ces données en 2015, mais le cas n’a pas fait l’objet d’un contrôle ultérieur.

Une étude sur la confiance relative à la sécurité des données réalisée en janvier 2017 par Comparis auprès de 1000 personnes montre à quel point la crainte d’un abus des données est grande.¹ Bien que la confiance dans les plateformes des réseaux sociaux soit faible (12%), le chiffre d’affaires de Facebook a augmenté de plus de 40% en 2017 et quotidiennement, ce sont plus d’un milliard d’individus qui s’y connectent. Apparemment, les utilisateurs estiment que le ­bénéfice individuel est plus important que le risque découlant de la divulgation de leurs données.

Dans l’enquête du baromètre suisse de la cybersanté (Swiss eHealth Barometer) de cette année, les médecins et les citoyennes et citoyens ont été interrogés sur leur confiance en ce qui concerne le respect de la protection des données en rapport avec le dossier électronique du patient (DEP). 16% des citoyens interrogés font à cet égard entièrement confiance aux services qui travaillent avec les données de patients. 49% ne leur font toutefois que partiellement confiance. En revanche, le corps médical se montre plutôt critique: seulement 4% des médecins interrogés déclarent faire entièrement confiance et 46% partiellement. Inversement, cela signifie que 46% des médecins ne leur font que peu ou pas du tout confiance. Leur perception de la question de la sécurité joue un rôle important dans leur choix pour ou contre le dossier électronique du patient.

Ces derniers jours, on a pu lire que les cantons romands se sont regroupés dans l’association intercantonale cara qui poursuit l’objectif de faire avancer le développement du dossier électronique du patient en Suisse occidentale. Le canton du Valais est le dernier à avoir rejoint l’association. Voilà qui évoque quelques sou­venirs, lorsqu’en 2015, il s’est avéré que le dossier du ­patient valaisan Infomed utilisait le service Google Analytics pour analyser ses chiffres et données d’utilisateurs, sans en informer ces derniers, et qu’il com­portait d’ailleurs encore d’autres lacunes de sécurité. Concernant cara, on se montre plus optimiste. En effet, les systèmes feront régulièrement l’objet d’un audit; il n’y aura donc pas de violations de la protection des données («Aucun problème de sécurité des données n’est à déplorer»²). Une certification et un audit annuel des communautés, comme le prévoit la loi fédérale sur le dossier électronique du patient, ne peuvent toutefois pas garantir que les dispositions légales seront ­effectivement systématiquement respectées. L’obligation incombe donc aux communautés, qui, d’après ­l’ordonnance, sont tenues de signaler à l’Office fédéral de la santé publique tout incident ayant une influence sur la sécurité. Faire confiance, c’est bien, mais, comme chacun sait, contrôler, c’est mieux. Mais au final, la question est de savoir: Qui exerce le contrôle quand il s’agit du dossier électronique du patient?