*mail pour une pharmacie ?

Prenons quelques minutes en ce début d'année pour sortir ce modeste blog des limbes du Web et discuter d'un sujet problématique depuis trop longtemps : l'envoi de données de santé à une pharmacie.

Contexte

Prenons un cas réel : ma compagne et moi-même. Il nous arrive d'être malades, et/ou de devoir faire un test PCR/antigénique.
Problème : on vit dans un quasi-désert médical, et notre médecin traitant est à plus d'une heure de voiture. On utilise donc, quand c'est possible ou pour des sujets où la connaissance/confiance liée au médecin traitant est importante, la télé-consultation.
De plus, madame a perdu sa carte d'assurance santé complémentaire il y a plusieurs mois, et se contente de la version numérique, sur smartphone donc.
Autant de raisons qui nous poussent donc, et ce d'autant qu'on ne possède pas d'imprimante, à partager les ordonnances (et, selon où nous sommes, la carte d'assurance santé complémentaires de ma compagne) avec la pharmacie par voie électronique.

C'est là qu'est le drame. Alors oui, pas mal de pharmacies ne proposent ce service que depuis le début de la crise sanitaire, pour limiter le temps passé par le malade dans la pharmacie, et aussi parce que les malades Covid-19 avaient massivement recours à la téléconsultation (je crois même me souvenir que dans pas mal de cas, en cas de suspicion de Covid, c'était requis par certains médecins) et que tous ne disposent pas d'une imprimante à la maison (comme votre serviteur). Mais la pratique elle-même est je pense amenée à perdurer, et c'est tant mieux. Même si au final, beaucoup de pharmaciens impriment l'ordonnance pour la re-numériser ensuite, et la donner au client.

Passons sur l'aspect écologique de la chose et venons-en au partage du document lui-même, et surtout à la confidentialité requise pour l'envoi et le stockage de données de santé. Car oui, on est en présence de telles données :
- une carte de "mutuelle" est évidemment considérée comme donnée de santé ne serait-ce que parce qu'elle contient le NIR (le "numéro de Sécu"), considéré comme "donnée sensible" d'après le RGPD / la loi "Informatique & Libertés" ;
- une ordonnance est rattachée au dossier du malade, et contient nom/prénom/date de naissance, en plus des prescriptions pouvant assez clairement indiquer le mal dont souffre la personne concernée.

Sans même aborder le sujet du côté du patient, qui ne dispose probablement pas d'une solution offrant la sécurité et la confidentialité adaptées à ces données, intéressons-nous à ce que proposent les pharmacies. La liste n'est évidemment pas exhaustive, mais ce sont les cas de figures auxquels j'ai été personnellement confrontés.

Certaines officines proposent une solution "clé en main" : l'interfaçage avec Doctolib, solution très répandue (quoi qu'on en dise, ou quoi qu'on pense du fait que ce ne serait pas à une société privée de tenir un tel rôle, tout ça tout ça) et certifiée pour l'hébergement de données de santé (HDS) depuis fin 2021, et certifiée ISO 27001 (une norme internationale relative à la sécurité des systèmes d'information). Cela permet au patient, directement depuis son appli Doctolib, de partager les documents qui y sont stockés avec des pharmacies ou d'autres professionnels de santé, de façon sécurisée.
Seul bémol : ces fonctions, si elles sont gratuites pour nous autres patients, sont payantes pour les professionnels de santé. On va y revenir.

D'autres officines, la majorité de celles que j'ai pu visiter depuis 2020, passent tout simplement par... mail. Oui. Des données de santé, en clair, par courriel, quand même la CNIL demande de ne pas envoyer de copies de cartes nationales d'identité par ce même canal, trop peu sécurisé, trop souvent sujet aux intrusions, "piratages"... et avec pour conséquence de nombreuses usurpations d'identité, entre autres joyeusetés.

Dites bonjour à pharmacieduboulevard.codepostal@gmail.com, à pharmaciedusoleil@hotmail.fr et autres adresses hébergées par des services gratuits à destination (principalement) des particuliers.

Voilà pour le décor. Maintenant, les questions, et les réponses qui vont avec.

*mail est-il compatible avec le RGPD ?

La question pourrait être posée de façon plus complète, parce que le RGPD n'est pas le seul texte de loi intervenant ici : il y en a d'autres, à commencer par le Code de la Santé Publique. Mes excuses aux puristes, la vulgarisation implique comme bien souvent des raccourcis, au détriment de la précision.

Mais la réponse est pourtant simple et courte : que ce soit un compte GMail, Hotmail, Laposte.net ou autre, ces solutions n'offrent pas de garanties suffisantes pour respecter les obligations liées aux données de santé, aussi bien du côté du RGPD que du côté HDS.

Qui est responsable de quoi ?

Une pharmacie qui utilise un compte mail gratuit (disons "grand public") porte la responsabilité juridique des pertes ou vols de données, et plus largement c'est à elle de démontrer sa conformité au RGPD, ce qui en l'espèce est tout simplement impossible. En cas de plainte d'un client, la CNIL pourrait décider d'une sanction pécuniaire pouvant s'élever à 4% du chiffre d’affaires mondial de l’année d’exercice précédent.

Du point de vue "risques", le fournisseur ne porte ici pas grand chose (pour ne pas dire rien), contrairement à ce qu'aurait pu définir un contrat pour un service "fait pour" (et même Google Workspace propose une variante HDS de ses services de messagerie électronique).

La pratique visant à faire des économies de bouts de chandelle et à préférer un compte de messagerie gratuit n'est pas simplement à déconseiller ou à éviter. Elle est totalement illégale, et à bannir. Elle met à risque les données personnelles des patients, déjà bien trop souvent exposées, et notamment dans les pharmacies utilisant la solution d'Iqvia, comme révélé dans un reportage "Cash Investigations" il y a quelques années.

Oui mais...

Certes, le patient utilise probablement la boîte de messagerie de son fournisseur d'accès à Internet, ou une quelconque boîte gratuite.

La problématique n'est pas vraiment la même : il ne manipule a priori que les données le concernant et fait le choix de la simplicité, souvent faute de connaissances/compétences. Le pharmacien, lui, centralise les données de nombreux malades.

Et on peut tout à fait lui proposer des solutions accessibles et répondant à notre enjeu. C'est ce que font notamment Doctolib et Mon Espace Santé (mais pas que). Et oui, parfois, un tel outil se paie. À vous, pharmaciens, de proposer et d'orienter vos clients vers ces services, plutôt que de tout offrir à Google ou Microsoft (hors environnement sécurisé).

La suite

Là aussi, je vais faire court.

À quand une obligation, pour toutes les professions de santé, d'utiliser une messagerie sécurisée ? C'est le cas pour les médecins depuis plusieurs années. Étendons cela !

Et puisqu'on parle de données de santé, de leur stockage, de la confiance qu'on accorde tant au professionnel de santé en face de nous qu'à ses pratiques informatiques : réfléchissez aux données de santé que vous fournissez à des charl... à des "non-professionnels de santé" comme des naturopathes, magnétiseurs, ostéopathes "exclusifs"... Comment communiquez-vous avec eux ? Comment stockent-ils votre dossier médical, puisqu'ils n'ont pas accès aux outils habituellement utilisés par les médecins, pharmaciens... ?

Vous seriez surpris de savoir combien gardent ça dans des OneDrive ou Google Drive personnels, ou prennent des notes sur Dropbox.

À bon entendeur...