Les applications de santé numériques et les plateformes en ligne qui collectent des données médicales sensibles sont de plus en plus scrutées par les autorités et les tribunaux, même en dehors du cadre protecteur de la loi HIPAA (Health Insurance Portability and Accountability Act). Cette intensification du contrôle s’explique par une prise de conscience croissante des risques liés à la confidentialité des données de santé et à l’absence de consentement éclairé des utilisateurs.
Les régulateurs et les juges s’appuient sur un éventail de lois existantes pour combler les lacunes de la réglementation fédérale. La Commission fédérale du commerce (FTC) utilise notamment l’article 5 de la loi FTC pour sanctionner les pratiques déloyales ou trompeuses. Cela concerne particulièrement les entreprises qui affichent des politiques de confidentialité promettant un certain niveau de protection des données, mais qui ne respectent pas leurs engagements. « Les promesses d’une politique de confidentialité doivent être exactes », souligne l’analyse du contexte juridique actuel.
Par ailleurs, la FTC applique activement la règle de notification de violation de la santé issue de la loi HITECH (Health Information Technology for Economic and Clinical Health Act) aux fournisseurs de dossiers de santé personnels qui ne sont pas soumis à la loi HIPAA. Cette règle impose aux entreprises de notifier les personnes concernées, la FTC (sauf si moins de 500 utilisateurs sont touchés) et parfois même les médias en cas de divulgation non autorisée de données, généralement dans un délai de 60 jours. Des précisions récentes ont étendu le champ d’application de cette règle aux applications de santé, aux interfaces de programmation d’application (API) et aux dispositifs connectés.
Au niveau des États, les procureurs généraux, notamment en Californie et à Washington, utilisent des lois générales sur les pratiques commerciales trompeuses ainsi que des lois plus spécifiques à la santé pour enquêter sur les flux de données non divulgués. Ces lois considèrent les données relatives à la santé comme particulièrement sensibles et permettent une action en justice même lorsque la législation fédérale ne s’applique pas. De plus, elles offrent souvent aux particuliers la possibilité d’engager des actions collectives, ce qui augmente considérablement le risque financier pour les entreprises.
Les tribunaux réinterprètent également les lois sur l’écoute électronique pour inclure les kits de développement logiciel (SDK), qui transmettent automatiquement l’activité des utilisateurs aux plateformes hôtes, ainsi que les scripts de suivi qui capturent des informations sensibles, telles que les données relatives à la santé reproductive. Une action collective récente, fondée sur le statut fédéral d’écoute électronique, a accusé un prestataire de soins de santé d’intercepter illégalement les communications des patients via un service d’enregistrement d’appels basé sur l’intelligence artificielle, sans obtenir leur consentement préalable. Même lorsque ces outils sont présentés comme des « normes de l’industrie », leur caractère non divulgué et leur accès aux informations de santé personnelles suscitent de plus en plus de litiges.
Plusieurs facteurs expliquent cette accélération de l’application de la loi. Les régulateurs étendent l’interprétation des lois existantes pour couvrir les données de santé qui ne sont pas protégées par la loi HIPAA. Les tribunaux et les jurys sont de plus en plus enclins à considérer le suivi des applications et les flux de données des SDK comme une atteinte à la vie privée, même lorsque les entreprises les présentent comme des pratiques courantes. Enfin, les montants des règlements et les décisions de justice sont en augmentation, ce qui accroît les risques financiers et de réputation pour les entreprises qui gèrent mal les données.
Pour les entreprises opérant dans le secteur de la santé numérique, du bien-être ou des domaines connexes, il est désormais essentiel de comprendre comment les données circulent dans leurs produits, à qui elles sont transmises et si leurs déclarations de confidentialité sont conformes à la réalité. Les régulateurs et les avocats des plaignants sont particulièrement attentifs, et un précédent juridique est en train de se créer.