Données médicales : centraliser pour protéger, tracer pour responsabiliser

Une personne âgée arrive aux urgences un dimanche soir, confuse, sans ordonnance sur elle. Son médecin traitant est injoignable, la pharmacie est fermée, la famille ne connaît pas le détail du traitement. L'équipe soigne à l'aveugle, refait des examens qui existent déjà quelque part, et prend le risque d'une interaction médicamenteuse.

Cette scène se joue tous les jours. Elle ne relève pas d'un défaut de compétence, mais d'une information disponible à laquelle personne ne peut accéder au bon moment.

Vingt ans de tentatives

Le dossier médical partagé a été lancé, relancé, rebaptisé, intégré à Mon espace santé. Chaque étape a amélioré quelque chose, et il faut reconnaître que la dernière a changé d'échelle : un compte existe pour la quasi-totalité des assurés, quelque cent cinquante mille professionnels libéraux et plusieurs milliers d'établissements y déposent des documents, et près de la moitié des documents déposés sont ensuite consultés par la personne concernée. L'ouverture d'un compte par défaut, plutôt que sur demande, a produit en trois ans ce que quinze années d'adhésion volontaire n'avaient pas obtenu.

Aucune de ces étapes n'a pour autant produit un dossier réellement complet et systématiquement alimenté. Les causes sont connues : logiciels métier qui n'exportent pas dans des formats communs, professionnels qui n'ont pas le temps de saisir deux fois, patients qui n'activent pas leur espace, méfiance générale sur l'usage futur des données.

Cette méfiance mérite d'être prise au sérieux plutôt que balayée. Les données de santé sont les plus sensibles qui soient : elles disent la maladie, la grossesse, l'addiction, la santé mentale, la fin de vie. Une fuite n'est pas réparable, et l'on ne change pas d'antécédents comme on change de mot de passe. Les incidents survenus ces dernières années dans des laboratoires et des établissements ont laissé des traces légitimes.

Ce que dit l'expérience sur la sécurité

L'intuition voudrait qu'éparpiller les informations protège mieux. L'expérience des systèmes d'information dit le contraire : chaque base isolée a son propre niveau de sécurité, ses propres sauvegardes, ses propres accès obsolètes jamais révoqués. Multiplier les dépôts, c'est multiplier les portes.

Une architecture unifiée, dotée de moyens de protection sérieux, chiffrée, hébergée sous une juridiction qui protège réellement ses citoyens, résiste mieux qu'une constellation de serveurs entretenus au fil de l'eau. Encore faut-il ne pas confondre unification et concentration aveugle : l'accès doit rester segmenté selon le rôle de chacun, un service d'imagerie n'ayant pas à consulter un suivi psychiatrique.

La traçabilité comme clé de voûte

C'est le point le plus important, et le plus souvent négligé. Tout patient devrait pouvoir consulter, aussi simplement qu'un relevé de compte, la liste des accès à son dossier : qui, quand, dans quel cadre, avec quelle justification. Un historique existe dans Mon espace santé ; ce qui manque, c'est qu'il soit lisible par une personne non spécialiste et qu'il couvre l'ensemble des systèmes hospitaliers, et non le seul espace national. L'historique doit par ailleurs être inaltérable, y compris pour les administrateurs du système.

Cette transparence produit deux effets immédiats. Elle rend les consultations abusives détectables — la curiosité sur un dossier de voisin, d'ex-conjoint ou de personnalité locale existe, et une trace visible la fait disparaître beaucoup plus efficacement qu'une charte affichée. Elle protège aussi les professionnels, qui peuvent démontrer la légitimité de leurs accès si on la conteste.

La donnée médicale appartient à la personne concernée. Les soignants y accèdent dans le cadre d'une mission précise, pas comme à une ressource librement consultable. Rendre ce principe vérifiable est le meilleur moyen de le faire respecter.

L'objection : la traçabilité peut se retourner contre le patient

Le journal des accès est présenté ici comme une garantie. Il est aussi, par nature, un fichier de plus.

Un relevé qui indique qu'un dossier a été consulté par un service d'addictologie, un centre de dépistage ou une unité psychiatrique révèle une information sensible par le seul fait de son existence — indépendamment du contenu du dossier. Ce relevé sera lisible par le patient, mais aussi, potentiellement, par quiconque accède à son compte : un conjoint qui contrôle, un employeur qui exige une démonstration d'écran, un proche mal intentionné. La transparence donnée au titulaire est aussi une transparence donnée à ceux qui exercent une pression sur lui.

Un second effet, moins évident, concerne les soignants. Un accès systématiquement tracé et opposable peut produire une réticence à consulter — dans le doute, on ne regarde pas —, exactement au moment où l'information serait utile. C'est le même mécanisme de retrait que celui décrit à propos du contrôle des forces de l'ordre.

Ces risques ne condamnent pas la traçabilité : ils condamnent une traçabilité naïve. Ils imposent des dispositifs connus et éprouvés — masquage de certaines catégories d'accès dans l'affichage courant, existence d'un accès d'urgence justifié a posteriori plutôt que bloqué a priori, et surtout un droit reconnu du patient à ne pas divulguer son historique, opposable à un employeur comme à une assurance. Sans ces garanties, on aurait construit un outil de contrôle social en croyant construire un droit.

L'enjeu de souveraineté

Il reste une question que l'on préfère éviter : où sont hébergées ces données et à quel droit sont-elles soumises. Confier des dossiers de santé à une infrastructure relevant d'une législation étrangère qui autorise l'accès à ses autorités, c'est accepter une perte de contrôle qu'aucune clause contractuelle ne compense.

La numérisation devait rapprocher le citoyen de son information. Qu'elle serve d'abord à cela : un patient qui voit son propre dossier, comprend qui le consulte et décide de ce qu'il partage n'a pas de raison de refuser un système qui, ce jour-là aux urgences, aurait fait gagner une heure décisive.