La nouvelle loi fédérale sur la protection des données (nLPD) est en vigueur depuis le 1er septembre 2023. Pour un cabinet médical ou dentaire, elle n'a pas tout bouleversé, mais elle a rendu explicites des obligations qui restaient souvent implicites. Voici, concrètement, ce qu'elle demande à un cabinet, et les questions à poser avant d'adopter un outil d'intelligence artificielle.
Cet article donne une vue d'ensemble ; il ne remplace pas un conseil juridique adapté à votre situation.
Des données sensibles par nature
Les données sur la santé font partie des « données personnelles sensibles » au sens de la nLPD. Elles appellent donc une protection renforcée. Ces règles s'ajoutent au secret professionnel du Code pénal (art. 321 CP) et aux lois cantonales sur la santé, qui fixent notamment la tenue et la conservation du dossier patient.
Ce que la loi demande au cabinet
Informer les patients. Lorsque vous collectez des données, vous devez indiquer qui les traite, dans quel but, et à qui elles peuvent être communiquées. Une déclaration de confidentialité claire, remise ou affichée au cabinet et publiée sur votre site, répond à cette obligation.
Tenir un registre des traitements. La nLPD prévoit un registre des activités de traitement. Les entreprises de moins de 250 collaborateurs en sont dispensées, sauf lorsqu'elles traitent des données sensibles à grande échelle. Dans le doute, tenir un registre simple est une bonne pratique.
Évaluer les risques. Lorsqu'un traitement présente un risque élevé pour les patients, une analyse d'impact relative à la protection des données doit être faite avant de le mettre en place.
Protéger les données dès la conception. La loi demande des mesures techniques et organisationnelles adaptées au risque (accès, chiffrement, sauvegardes), et des réglages qui limitent par défaut le traitement au nécessaire.
Annoncer les violations. Une fuite ou une perte de données qui entraîne vraisemblablement un risque élevé doit être annoncée dans les meilleurs délais au Préposé fédéral à la protection des données et à la transparence (PFPDT).
Répondre aux demandes d'accès. Un patient peut demander quelles données vous détenez sur lui. La réponse est en principe gratuite et doit intervenir dans les 30 jours.
Encadrer les sous-traitants. Si un prestataire traite des données pour vous (logiciel de cabinet, hébergeur, outil d'IA), un contrat doit le lier, et vous devez vous assurer qu'il garantit la sécurité des données.
Contrôler les transferts à l'étranger. Des données ne peuvent être communiquées à l'étranger que vers un pays dont la législation assure une protection adéquate, ou moyennant des garanties appropriées, par exemple des clauses contractuelles types.
Enfin, certaines violations intentionnelles (information, droit d'accès, sous-traitance, transferts à l'étranger, sécurité) sont punissables d'une amende jusqu'à 250 000 francs, infligée à la personne responsable et non à l'entreprise.
Les questions à poser à un outil d'IA
Un assistant de documentation traite le cœur du dossier : ce que le patient dit en consultation. Avant de l'adopter, quatre questions suffisent à faire le tri :
- Où les données sont-elles stockées et traitées ? En Suisse, ou ailleurs ?
- Le modèle d'IA tourne-t-il chez le fournisseur, ou chez un tiers ? Une consultation envoyée à un grand fournisseur d'IA étranger est un transfert à l'étranger.
- Les consultations servent-elles à entraîner des modèles ? Et si oui, avec quel accord ?
- Un contrat de sous-traitance est-il prévu ?
Les réponses d'Aida
Les données d'Aida MD et d'Aida Dental sont stockées et traitées en Suisse, chez un partenaire d'hébergement certifié ISO 27001, et chiffrées au repos et en transit. Nos modèles d'IA tournent sur nos propres serveurs en Suisse : aucune donnée clinique n'est envoyée à OpenAI, Google ou Anthropic. Nous n'utilisons jamais vos données pour entraîner un modèle sans votre accord écrit, et nos contrats de sous-traitance sont prêts à signer.
Une précision : les messages qu'Aida Desk échange avec vos patients par WhatsApp et par SMS passent par les fournisseurs de ces services, comme toute messagerie.
Où vivent les données de vos patients, comment elles circulent, et nos contrats à télécharger : le Centre de confiance.