Projet transversal Santé-Droit, note 2/2
Axelle DAVID – Commission Droit CRSI
Avancée technologique majeure, le jumeau numérique offre des possibilités de simulation, analyse, et de préconisation inédites. Dans le domaine de la santé, il permet des représentations numériques et personnalisées des individus, des copies numériques parfaites d’un corps ou d’un organe.
Les questions juridiques qui se posent quant à son utilisation sont nombreuses :
- Les données personnelles : une donnée personnelle est une information relative à des personnes physiques permettant d’être identifiées, directement ou indirectement. Plusieurs textes vont s’appliquer dès lors que des données personnelles sont concernées par l’utilisation des jumeaux numériques :
1/ Le RGPD[1] prévoit plusieurs principes et des droits :
– principe de transparence : la personne concernée doit donner son consentement,
– principe de finalité : la collecte doit être faite pour des finalités déterminées, explicites et légitimes,
– principe de minimisation : les données collectées doivent être adéquates, pertinentes et limitées à l’objectif recherché,
– principe de vigilance : les autorités publiques et les personnes concernées doivent être informées en cas de fuite de leurs données,
– les droits d’accès, de rectification, d’opposition au traitement des données, d’effacement et de retrait de son consentement sont protégés.
[1] Règlement (UE) 2016/679 du 27 avril 2016
2/ Parmi les données personnelles, les données de santé sont qualifiées de sensibles et bénéficient d’une protection renforcée. L’article L. 4001-3 du Code de la santé publique prévoit que le professionnel de santé qui décide d’utiliser, pour un acte de prévention, de diagnostic ou de soin, un dispositif médical comportant un traitement de données algorithmique dont l’apprentissage a été réalisé à partir de données massives (c’est le cas du jumeau numérique) s’assure que la personne concernée en a été informée et qu’elle est, le cas échéant, avertie de l’interprétation qui en résulte. De plus, les données du patient utilisées dans ce traitement et les résultats qui en sont issus leur sont accessibles. Les concepteurs d’un traitement algorithmique s’assurent enfin de l’explicabilité de son fonctionnement pour les utilisateurs.
3/ La directive NIS2[1], qui vise à renforcer le niveau de cybersécurité des entreprises et des administrations, classe le secteur de la santé parmi les secteurs hautement critiques, imposant une protection stricte des systèmes d’information qui traitent des données de santé hautement sensibles.
4/ Le règlement sur l’IA[2]distingue les systèmes d’intelligence artificielle (SIA) suivant le niveau de risque associé aux SIA utilisés : concernant les jumeaux numériques, ce sont des SIA à risques élevés : le règlement exige le respect de certains principes, comme l’atteinte de niveaux adéquats de précision, de robustesse et de cybersécurité, la protection des données personnelles dès la conception des outils et logiciels : « privacy by design », l’accès à la boite noire (transparence).
[1] Directive (UE) 2022/2555 du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union Européenne
[2] Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 (la sanction peut atteindre 7 % du CA annuel mondial)
5/ Le Data Act[1], qui traite des règles relatives à l’accès et l’utilisation équitable des données, s’applique à toutes les données produites par l’utilisation d’objets connectés (en lien avec le développement de l’internet des objets, « internet of things » ou « IoT ») et les services qui leur sont associés, qu’elles soient personnelles ou non. Les personnes concernées doivent être informées, avant la conclusion de tout contrat concernant un objet connecté ou un service associé, du type de données générées lors de l’utilisation de cet objet, de l’utilisation des données par le fabricant/prestataire de services et de l’identité du détenteur des données.
6/ De son coté, le Data Governance Act[2] permet aux entreprises de mettre volontairement et gratuitement leurs données à disposition pour des objectifs d’intérêt général (tels que la recherche médicale) et suppose de recueillir ici encore le consentement pour rendre le partage de données transparent et conforme au RGPD.
Au final, on le voit, de nombreuses obligations s’imposent au professionnel de santé qui entend faire usage de système de traitement algorithmique dont l’apprentissage est réalisé à partir de données massives. Il faut, de manière loyale et transparente, recueillir le consentement explicite des patients et les informer sur la finalité de la collecte. L’ampleur de la collecte laisse toutefois songeur, surtout si le jumeau numérique a vocation à nous accompagner dès notre naissance.
Les utilisateurs doivent être informés du type de données qui sont extraites, utilisées, reproduites, y compris en temps réel, par exemple, dans le cas de capteurs portés en continu. Cette obligation d’information protège la personne concernée, avertie des principes d’utilisation de ces systèmes de traitement algorithmiques, des résultats du traitement, de son fonctionnement. L’accès aux données, leur qualité des données doivent être assurés. Le consentement doit être révocable.
Mais assurer la maitrise des personnes concernées sur leurs données reste illusoire. Comment s’assurer de l’usage réel de ces données ? Comment croire en un véritable droit à oubli quand les données sont répliquées dans plusieurs systèmes, et ce potentiellement dans plusieurs pays ? Difficile est la question de la gestion du consentement éclairé à l’heure des dispositifs d’IoT.
[1] Règlement 023/2854 du 13 décembre 2023 portant sur les règles harmonisées des libres accès et utilisations des données
[2] Règlement 2022/868 du 30 mai 2022 sur la gouvernance des données européennes
Reste la question de la confiance publique et de l’acceptabilité : l’enjeu est d’encourager la libre (ré)utilisation des données pour favoriser la concurrence et l’innovation tout en respectant le droit des utilisateurs sur leurs données. Des solutions pourraient être mises en avant, de la visualisation des flux de données, l’anonymisation des données en temps réel pour assurer une confiance publique face aux enjeux des transferts des données médicales (cf décision de 2026 de la CNIL[1]) voire leur vente.
Le professionnel de santé est un responsable de traitement pour les données de ses patients qui se doit d’appliquer des procédures exigeantes, conformément au principe du « privacy by design », et rester le décisionnaire final face au patient ; à défaut, il pourra être conduit à en répondre.
- Risques contre les fuites et les cyberattaques: les enjeux d’intégrité, confidentialité, traçabilité et disponibilité de la donnée et des systèmes informatisés, notamment ceux qui sont d’importance critique sont gigantesques. Il faut détecter les intrusions, garantir et sécuriser les process afin de neutraliser les vulnérabilités. Le RGPD prévoit que les données doivent être sécurisées et le manquement peut entraîner une condamnation jusqu’à hauteur de 4 % du CA annuel mondial.
[1] https://www.cnil.fr/fr/donnees-sante-sanction-5-millions-iqvia rappelant que les données étaient pseudonymes, mais non anonymes, car une réidentification demeurait possible avec des moyens raisonnables et restaient donc soumises au RGPD
Le professionnel de santé doit s’assurer que ces big data (stockées, transférées, traitées par des algorithmes) sont bien protégées contre les risques de fuite, de cyberattaque. La lutte contre le hacking est permanente. Mais les données seront-elles toujours fiables, intègres une fois venu le moment de leur traitement ?
Au final, il faut assurer une robustesse des systèmes informatiques, mettre en œuvre une architecture du jumeau numérique pour permettre la sélection des seules données fiables et pertinentes, dans laquelle les informations sensibles sont isolées des autres, prévoir une gestion des accès stricte. Les données synthétiques, représentatives de données réelles, pourraient poser moins de problème de confidentialité dans leur usage. Assurer une gestion des risques, conduire des opérations de maintenance efficaces, des audits réguliers des outils, faire des tests de pénétration pour identifier et corriger les vulnérabilités, prévoir une isolation des données et des techniques cryptographiques permettant de garantir que les données restent indéchiffrables même en cas d’accès non autorisé.
Un dernier point : éviter que des données soient captées et utilisées par des entités étrangères. Le RGPD protège mais se heurte au Cloud Act[1] permettant à la justice américaine de demander accès à des données hébergées par des entreprises américaines. La question de la protection par la France de ces données médicales, comme de tant d’autres, reste entière.
- La propriété intellectuelle et la propriété industrielle :
La question centrale est : qui est propriétaire des données, des résultats, des créations ? Les concepts traditionnels, i.e. le droit d’auteur qui protège les œuvres de l’esprit[2], le brevet qui protège les procédés innovants, doivent être utilisés tout en les adaptant : l’interface graphique, la base de données, les logiciels utiles aux jumeaux numériques ainsi que les innovations techniques peuvent être protégés par le droit d’auteur et/ou le brevet, mais il faut aussi utiliser le secret commercial pour protéger les innovations, algorithmes etc contre toute divulgation vers des concurrents.
L’utilisation de logiciels open source pourra être utile pour accélérer l’innovation et éviter l’enfermement dans des logiques de logiciels propriétaires.
[1] Le Cloud Act (Clarifying Lawful Overseas Use of Data Act) est une loi fédérale américaine adoptée le 23 mars 2018
[2] Une œuvre de l’esprit existe si deux conditions sont remplies : être une création humaine et originale
Enfin quand le jumeau numérique se développe, grâce aux échanges de données, qui en est propriétaire, entre le concepteur de logiciel, fabricant des outils numériques et professionnel de santé utilisateur et superviseur ? Des contrats de licence et/ou de copropriété seront utilement rédigés afin de permettre le partage des bénéfices de l’innovation tout en respectant les droits de propriété et les intérêts de chacun.
- La responsabilité : la responsabilité en cas d’erreur de prédiction ou de diagnostic, de mauvaise interprétation de résultats, ou de défaillance se pose : qui est responsable ?
Plusieurs types de responsabilité : la responsabilité civile ou pénale dans les cas les plus graves. En cas de dommages, la victime s’adressera au professionnel de santé ayant utilisé cette nouvelle technologie et engagera sa responsabilité pour faute, ce professionnel se retournant, suivant les cas, contre le concepteur / fournisseur de solutions.
Mais comment définir les responsabilités entre le fournisseur de solution,l’éditeur, l’exploitant (équipe médicale, professionnel de santé comme le médecin) ?
Un encadrement contractuel sera nécessaire pour répartir les risques et les responsabilités en anticipant les scénarios de défaillance, voire limiter sa responsabilité. Dans tous les cas, il pourra être utile de faire évoluer les produits d’assurance à destination des professionnels de santé pour gérer les dossiers de responsabilité en cas d’erreur ou de défaillance des jumeaux numériques.
A cet égard, la responsabilité du fait des produits défectueux pourra trouver à s’appliquer à l’avenir : l’article 2 de la directive révisée[1] s’appliquera dorénavant aux logiciels et à tous les produits numériques, mis sur le marché ou s’intégrant dans d’autres produits, en tant que composants, commercialisés à compter du 9 décembre 2026. Les systèmes d’intelligence artificielle et les jumeaux numériques sont donc concernés. C’est la responsabilité du fabricant du produit numérique qui sera engagée vis-à-vis d’une victime potentielle, mais le fabricant ne pourra pas se retourner contre le fabricant du composant logiciel qu’il a incorporé dans son produit en raison d’une clause d’exclusion qui peut être intégrée dans les contrats de fabrication. De plus, la corruption de données personnelles deviennent des dommages indemnisables pour les victimes.
La création d’un fonds d’indemnisation pourrait également être envisagée mais en veillant à ce que son poids financier ne soit pas décourageant pour les innovateurs.
[1] La directive (UE) 2024/2853 du 24 octobre 2024 relative à la responsabilité du fait des produits défectueux
- La question de l’inclusivité numérique, des libertés personnelles, du profilage : les inégalités peuvent se creuser face aux coûts engendrés par les jumeaux numériques, un accès pour tous à ces solutions innovantes est-il possible sur tout le territoire, en ce compris les zones éloignées des métropoles ? La prise de décision automatisée peut être précieuse dans le domaine de la santé (rapidité de diagnostic, choix de solution adaptée, prédictive et préventive) mais est-il opportun d’orienter la personne concernée par le jumeau numérique au point d’entraver son libre arbitre, peut-on remettre en cause l’influence du numérique dans la santé ? Enfin, la concentration de données par les détenteurs et exploitants de ce type de produits peut conduire à un usage contestable conduisant à prendre des décisions affectant les patients sur la base du profilage de ceux-ci.
L’accès aux jumeaux numériques ne devrait pas créer une fracture entre les patients suivant leurs zones de résidence notamment. L’article 22 du RGPD prohibe le traitement automatisé des décisions basées sur du profilage et l’humain doit rester le décisionnaire final (principe du « Human in the loop » du règlement IA).
- Les enjeux environnementaux: la fabrication des outils numériques et l’émission, la collecte, le transport, le stockage et le traitement des données ont un coût écologique, comme les déchets de tous ces produits devenant rapidement obsolètes par des avancées technologiques toujours plus rapides. Enfin, le recours à des solutions numériques et d’IA sont très gourmandes en énergie, eau et matières premières rares. Il faut que les usages soient limités afin de respecter une forme de responsabilité sociétale et environnementale. La sobriété numérique doit être définie comme principe d’action dans l’usage et la consommation des jumeaux numériques.
En conclusion, l’humain n’est pas la somme de ses données. Comme l’a dit un mathématicien américain qui a finalement choisi une autre voie professionnelle[1], « à l’ère de l’intelligence artificielle, lorsque la dignité humaine est menacée par de nouvelles formes de déshumanisation, notre devoir urgent est de rester profondément humains. »
La dignité humaine justifie de définir un cadre précis dans l’usage et les recherches portant sur le jumeau numérique afin d’éviter les dérives industrielles et de simplement concevoir des outils intelligents au service de l’humain.
[1] Pape Léon XIV, « Magnifica Humanitas ».





















