e-santé, m-santé, DM connecté: la réglementation expliquée

La santé vit son e-révolution : les dispositifs médicaux se connectent à internet, les dossiers médicaux vont sur le cloud et des dizaines de milliers d’applications mobiles liées à la santé débarquent sur les apps stores.

Ce billet résume la réglementation, applicable en France et en l’Europe, dès lors que ces produits sont utilisés à des fins médicales.

Sont présentés :

• La directive Européenne sur les dispositifs médicaux (DM) qui, en plus de définir la notion de DM, fixe les exigences et les moyens de vérification de la conformité.
• Les obligations pour tout logiciel médical, valable de l’appli pour smartphone au logiciel embarqué d’un dispositif électronique.
• La réglementation en matière de données de santé.

Cet article fait suite au billet présentant les définitions en e-santé.

La directive 93/42/CEE sur les dispositifs médicaux

Publiée initialement en 1993 la directive 93/42/CEE en est à sa 5ᵉ révision, datant de 2007, la version consolidée est disponible ici. Elle encadre l’industrie du dispositif médical.

La définition d’un dispositif médical

Avant de chercher à comprendre la réglementation sur les DM connectés il est important de savoir si un produit entre dans ce champ.

La définition est donnée dans l’article premier de la directive, voir ce lien pour comprendre les critères utilisés.

De nature variée, logiciels compris, un dispositif médical se caractérise par sa finalité, définie par le fabricant.

Quelques exemples de DM connectés et d’applications mobiles médicales :

• Lecteur de glycémie communiquant avec un smartphone pour stocker ses résultats sur le cloud (contrôle de maladie)
• Application mobile de suivi des cycles de fécondité (maîtrise de la contraception)
• Canne connectée pour déficients visuels (compensation d’un handicap)

Encore une fois, ces produits ne sont des DM que si le fabricant le revendique : on peut très bien imaginer une “casquette connectée avec lecture de la SpO2 et mise à jour du statut Facebook” à des fins purement récréatives.

La classe des DM

Les dispositifs médicaux sont classés en fonction de leur dangerosité, la classe fixe les contraintes applicables pour déterminer la conformité du produit.

L’annexe IX propose des définitions et des règles pour classer les DM, résumées dans cet article.

J’ai développé un formulaire interactif pour rapidement déterminer la classe d’un DM, n’hésitez pas à l’utiliser.

En cas de doutes, consultez le guide MEDDEV 2.1/6 pour définir la classe des logiciels médicaux.

Les exigences sur les DM

L’annexe I liste les exigences essentielles applicables aux DM, il est principalement question de démontrer que l’utilisation du produit est sûre et efficace.

Vous pouvez prendre connaissance de ces exigences et des réponses couramment mises en œuvre dans ce billet.

Respecter les exigences essentielles est une obligation pour tout fabricant de DM, indépendamment de la classe.

Les procédures dévaluation de la conformité CE

L’article 11 et les annexes II à VII expliquent le “parcours du fabricant” pour aboutir au marquage CE du produit, et ainsi pourvoir le mettre sur le marché.

Les procédures, qui dépendent de la classe du dispositif, sont expliquées dans cet article.

Les contraintes propres au logiciel (valable pour les apps mobiles)

Regardons l’exigence essentielle 12bis :

Pour les dispositifs qui incorpore des logiciels ou qui sont eux-mêmes des logiciels médicaux, le logiciel doit être validé sur la base de l’état de l’art, en tenant compte des principes du cycle de développement ainsi que de gestion des risques, de validation et de vérification.

Deux notions sont à extraire : valider le logiciel et gérer les risques.

Un moyen reconnu par les organismes notifiés pour atteindre ces objectifs est le recours aux normes harmonisées à la directive.

Ainsi, le fabricant mettra en application, dès le début de la conception et pendant toute la vie du produit, les normes suivantes :

• EN 62304 – Logiciels de dispositifs médicaux — Processus du cycle de vie du logiciel
• EN ISO 14971 – Application de la gestion des risques aux dispositifs médicaux

Ces normes ne font que formaliser des mesures de bon sens, si ells sont abordées en bonne intelligence elles accompagneront la vie du produit sans trop donner la migraine aux développeurs, avec à la clé un produit sûr et performant.

D’autres normes seront surement à utiliser pour répondre aux exigences essentielles, voir la liste des normes les plus appliquées pour les DM, cela concerne l’évaluation clinique, les informations fournies à l’utilisateur, l’évaluation de l’aptitude à l’utilisation…

Données de santé à caractère personnel

Les dispositifs en santé connectée permettent le plus souvent d’effectuer des mesures (poids, pression artérielle, SpO2…) et de les stocker les résultats dans un serveur distant, le cloud.

Dès lors que ces informations sont directement, ou indirectement, associées à l’identité d’un patient, elles sont soumises à la réglementation sur les données de santé à caractère personnel.

Définitions : données de santé et données personnelles

La résolution du 12 mars 2014 du parlement Européen propose la définition suivante pour les “données concernant la santé” :

Toutes données à caractère personnel relatives à la santé physique ou mentale d’une personne, ou à la prestation de services de santé à cette personne.

[MAJ 31/03/2015] Cette définition s’affine dans la proposition de règlement relatif aux données personnelles :

Les données à caractère personnel concernant la santé devraient comprendre (…) les données se rapportant à l’état de santé d’une personne concernée qui comportent des informations sur la santé physique ou mentale passée, présente ou future de la personne concernée, y compris des informations relatives à l’enregistrement du patient pour la prestation de services de santé (…), un numéro ou un symbole attribué à un patient, destinés à l’identifier de manière univoque à des fins médicales, (…) des informations obtenues lors d’un contrôle ou de l’examen d’un organe ou d’une substance corporelle, y compris des données génétiques et des échantillons biologiques, (…) ou toute information concernant, par exemple, une maladie, un handicap, un risque de maladie, un dossier médical, un traitement clinique ou l’état physiologique ou biomédical de la personne concernée, indépendamment de sa source, qu’elle provienne par exemple d’un médecin ou d’un autre professionnel de la santé, d’un hôpital, d’un dispositif médical ou d’une épreuve diagnostique in vitro.

Ce texte (qui n’est pas encore une définition) peut sembler large, mais il y a fort à parier que la finalité soit prise en compte, il est en effet question de “patient”, “fins médicales”, “médecin”, “professionnel de santé”, “dispositif médical”… à comparer avec les termes “utilisateurs”, “fins de loisir”, “coach“, “professionnel du bien-être”, “dispositif de quantified self” propres aux dispositifs “grand public”.

Précisons la notion de données à caractère personnel, définie dans la directive 95/46/CE comme :

toute information concernant une personne physique identifiée ou identifiable ( personne concernée ); est réputée identifiable une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un numéro d’identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique , psychique, économique , culturelle ou sociale.

En France, la loi du 16 janvier 1978, modifiée en tenant compte de la loi du 6 août 2004, propose la définition suivante :

toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d’identification ou à un ou plusieurs éléments qui lui sont propres. Pour déterminer si une personne est identifiable, il convient de considérer l’ensemble des moyens en vue de permettre son identification dont dispose ou auxquels peut avoir accès le responsable du traitement ou toute autre personne.

Proche de la définition Européenne, mais qui insiste sur les nombreuses possibilités d’identification des personnes.

La notion de traitement des données est également importante, définie dans la 95/46/CE :

Toute opération ou ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données à caractère personnel, telles que la collecte , l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage , l’effacement ou la destruction.

La modification des données est évidement évoquée, mais aussi la collecte et la conservation, c’est en fait toute la chaîne, des données à l’utilisateur, qui est concernée.

Directive 95/46/CE relative à la protection des données à caractère personnel

La directive 95/46/CE demande de désigner un responsable du traitement des données, sur qui repose la gestion des risques associés.

Le traitement des données doit se faire avec le consentement de la personne concernée, qui aura au préalable était informée de la finalité du traitement des données. Cette personne conserve un droit de rétraction.

En outre, l’accès aux données doit être rendu possible pour la personne concernée.

Code de la santé publique (CSP)

De nombreux articles du CSP sont applicables, citons :

• L1110-4 sur le respect de la vie privée.
• L1111-8 sur l’hébergement des données de santé à caractère personnel, en résumé : l’hébergeur doit être agréé. La liste des hébergeurs agréés de données de santé à caractère personnel est disponible sur le site de l’ASIP santé.
• La série L1111-1 à L1111-9 sur l’information et l’expression de la volonté des usagers.

Conclusion

Voilà pour les grandes lignes, on retiendra les finalités de toutes ces mesures réglementaires :

Finalités des exigences sur les DM :

• Garantir la sécurité de l’utilisateur
• Garantir la fiabilité des produits
• Garantir l’efficacité clinique des dispositifs (dont, encore une fois, les simples logiciels)

Finalité des exigences sur les données de santé personnelles :

• Garantir le respect de la vie privée des utilisateurs
• Garantir l’intégrité et l’accès aux données
• Garantir une utilisation après consentement éclairé
• Garantir l’information de l’utilisateur vis-à-vis de l’utilisation de ses données