TDS : on se calme ? Ou pas

Le Collège de médecine générale a récemment demandé aux MG de postposer toute transmission des données santé de leurs patients inscrits dans un trajet de soins (TDS) à l'Institut supérieur de santé publique (ISP). Raison : la pseudonymisation n'est pas l'anonymisation. La médico-mut de cette semaine a clarifié les choses : il n'y aurait pas de soucis à se faire.

Nicolas de Pape - 22 novembre 2017

L'objectif de cet enregistrement de données est d'évaluer l'efficacité des TDS diabète de type 2 et insuffisance rénale chronique en terme de qualité des processus de soins pour ces patients. En clair, de savoir si un patient inscrit dans un TDS donne lieu à un meilleur suivi et un meilleur " outcome ". Le Collège intermutualiste national a envoyé une liste à 9.573 médecins avec leurs patients sous trajet de soins actif le 1/10/2017 qui ont débuté le 30/09/2016. Près de 70.000 patients sont repris dans ces listes. Au 16 novembre 2017, 3.100 TDS ont été enregistrés par les MG, soit 900 TDS insuffisance rénale et 2.200 TDS diabète de type 2.

Il y a une dizaine de jours (lire sur www.lejournaldumedecin.com), le Collège de médecine générale (SSMG, Absym, GBO, Fag, trois facultés de médecine) s'était ému que ces données puissent n'être pas totalement anonymisées, " pseudonymisation " n'étant pas synonyme parfait de " anonymisation ". Le Collège a demandé des clarifications à la médico-mut.

Celle-ci a rappelé ce lundi, que " la transmission de données à caractère personnel codées par les MG à l'ISP via la plateforme Healthdata pour cette évaluation des TDS a reçu l'autorisation du comité sectoriel de la sécu " le 16 mai dernier. Le patient qui approuve le trajet donne ipso facto son approbation pour cette transmission. Il s'agit des données suivantes : NISS, date de naissance, sexe, domicile, éventuellement date du décès, numéro Inami du médecin, " statut clinique " du patient (poids, taille, tension artérielle, diagnostic de diabète rénal), mesure du HbA1C et cholestérol LDL d'une part et eGFR, hémoglobine et créatinine d'autre part.

Les données sont transmises dans le cadre de Healthdata via la eHealthbox. Le MG envoie les données encryptées via son DMI via la eHealthbox de la plateforme eHealth. Celle-ci envoie sous forme de 2e codage les données à la plateforme Healthdata. Ces données codées sont alors mises à disposition des chercheurs de l'ISP. Si ceuxci demandent des éclaircissements au médecin traitant, ils lui renvoient les données cryptées via eHealth qui les décrypte via HD4PrC, le MG se connecte à celle-ci et corrige les données pour les renvoyer ensuite.

Double encryption

" Les MG sont les seuls à avoir accès aux données à caractère personnel non codées et non agrégées enregistrées par eux (ou par leur pratique de groupe). Les analystes de l'ISP reçoivent accès aux données à caractère personnel mais codées. Le grand public et les ministres fédéraux et régionaux ne reçoivent que des données agrégées sous forme de rapport. " Les MG pourront comparer leur pratique grâce à des feedbacks de données elles aussi agrégées.

Seule l'analyse de risque " small cells " donne lieu à identification via un prestataire indépendant de la plateforme Healthdata sur base de données placées " en quarantaine " à des fins d'étude.

Le comité sectoriel Santé publique rappelle que l'ISP doit s'engager à mettre tout en oeuvre pour éviter cette identification (en convertissant les données codées en données non codées) sous peine d'une amende de cent à 100.000 euros. Les garanties sont suffisantes, selon le Comité.

Par ailleurs, l'encryption de bout en bout ne permet pas à la plateforme eHealth d'avoir connaissance des données médicales, a-t-on assuré en médicomut.

On saura au Comité de l'assurance lundi prochain si ces garanties sont suffisantes aux yeux du Collège de médecine générale.