Open data et protection des patients dans une agence régionale de santé
L’agence régionale de santé souhaite publier en open data un jeu de données sur les établissements de santé : taux d’infections nosocomiales, délais moyens de prise en charge, nombre de plaintes de patients. Le jeu couvre 140 établissements, dont 37 de très petite taille. Une journaliste demande par ailleurs la liste nominative des établissements avec le nombre exact de plaintes et les motifs. Le service juridique craint une réidentification des patients dans les petits établissements et un contentieux sur les données personnelles. La direction veut à la fois transparence et protection des personnes. Le RGPD et les règles de la CADA sont invoqués. Vous devez préparer une décision sur la publication et la réponse à la journaliste, avant la conférence de presse prévue dans quinze jours. Le budget communication est limité et aucun expert en anonymisation n’est disponible en interne.
1. Analysez les conditions juridiques de la publication en open data et de la communication à la journaliste.
Read the worked answer
La publication en open data suppose une base légale, une finalité légitime et le respect du RGPD : minimisation, limitation des finalités, sécurité, information des personnes. Les données de santé et les plaintes de patients sont des données personnelles ; les taux d’infections peuvent être agrégés, mais les petits établissements de 37 unités rendent la réidentification possible par recoupement. Il faut donc vérifier si les données sont réellement anonymisées ; une simple pseudonymisation ne suffit pas. Le principe d’open data n’impose pas de publier des données identifiantes si la protection des personnes l’interdit.
Pour la journaliste, la CADA peut être saisie en cas de refus. Le droit d’accès aux documents administratifs ne s’applique pas aux données personnelles dont la communication porterait atteinte à la vie privée ou à la sécurité des personnes. La journaliste peut obtenir des données agrégées ou anonymisées, mais pas nécessairement la liste nominative avec motifs. Il faut distinguer l’intérêt public de transparence et la protection des patients. La réponse doit être écrite, motivée, et indiquer les voies de recours. Le fait qu’aucun expert en anonymisation ne soit disponible impose de choisir une solution prudente : publication agrégée par catégorie d’établissement, seuils minimaux, suppression des petites cellules.
2. Proposez un plan de publication et de réponse, avec mesures de protection.
Read the worked answer
Plan de publication : ne pas publier les données brutes par établissement pour les 37 petits établissements. Publier des indicateurs agrégés par groupe : taille, région, type d’établissement. Appliquer des seuils : ne pas publier de taux si le dénominateur est inférieur à un seuil, regrouper les plaintes par motif et par catégorie. Publier la méthodologie, les limites, la date, et une note expliquant pourquoi certaines données sont masquées. Mettre en place une procédure de réutilisation et un contact pour les demandes.
Réponse à la journaliste : accuser réception, qualifier la demande, proposer dans un délai court une version agrégée et anonymisée. Opposer un refus partiel motivé pour les données nominatives et les motifs détaillés, en invoquant la protection des données personnelles et le risque de réidentification. Proposer une rencontre technique pour expliquer les limites. Si la journaliste saisit la CADA, préparer un dossier démontrant le risque. Communication : annoncer la publication comme une démarche de transparence maîtrisée, pas comme une opération de communication. Prévoir une vérification par un juriste et un référent données, même sans expert externe.
3. Anticipez les risques de contentieux et de réputation.
Read the worked answer
Risques juridiques : recours d’un établissement ou d’un patient pour atteinte à la vie privée ; demande CADA ; contrôle de la CNIL ; contestation de l’anonymisation. Pour les limiter, documenter l’analyse d’impact, conserver les traces de la réflexion, appliquer le principe de minimisation, et prévoir une révision si de nouvelles données permettent la réidentification. Risques de réputation : accusation de cacher des informations ou, à l’inverse, de stigmatiser des établissements. La communication doit expliquer les choix : la protection des patients n’est pas une opacité. Il faut aussi anticiper les questions des établissements : leur offrir un droit de réponse avant publication et corriger les erreurs. Un plan de crise simple : porte-parole, éléments de langage, foire aux questions, délai de réponse. Enfin, consulter le délégué à la protection des données et le service juridique avant la conférence de presse. Le risque principal n’est pas la publication elle-même, mais l’absence de méthode opposable.