Télésurveillance des pacemakers et défibrillateurs : le cardiologue est devenu un opérateur de données de santé

Depuis l'entrée du télésuivi des dispositifs cardiaques implantables dans le remboursement de droit commun, la télésurveillance n'est plus une expérimentation : c'est un standard de prise en charge. Un pacemaker ou un défibrillateur automatique implantable (DAI) moderne transmet chaque nuit, via un boîtier au domicile du patient, des dizaines de paramètres : épisodes de fibrillation atriale, thérapies délivrées, impédance des sondes, état de la batterie.

Concrètement, un cardiologue qui suit 250 patients implantés reçoit un flux permanent d'alertes classées par criticité. Ces données transitent par les serveurs du fabricant (Biotronik, Medtronic, Abbott, Boston Scientific), puis atterrissent sur une plateforme web consultée par le praticien ou son infirmière de télésurveillance. Trois conséquences souvent sous-estimées :

• le cabinet traite désormais des données de santé en continu, y compris la nuit, le week-end et pendant les congés ;
• la frontière de responsabilité entre fabricant, opérateur de télésurveillance et médecin est contractuelle, pas intuitive ;
• le forfait de télésurveillance rémunère une obligation organisationnelle : celle de consulter et de traiter les alertes dans des délais définis.

Autrement dit, le rythmologue est devenu, sans toujours l'avoir formalisé, un opérateur de données critiques doublé d'un centre de tri d'alertes.

Au sens du RGPD, le cardiologue (ou la structure qui organise le télésuivi) est responsable de traitement pour les données de ses patients ; le fabricant et sa plateforme agissent en principe comme sous-traitants ou responsables conjoints selon les montages. Cela emporte des obligations précises :

• Hébergement certifié HDS pour toute donnée de santé stockée pour le compte du praticien : à vérifier dans le contrat de la plateforme, notamment lorsque les serveurs du fabricant sont hors Union européenne ;
• Information spécifique du patient lors de l'inclusion : finalités, destinataires, transferts éventuels hors UE, droits d'accès — le simple consentement à l'implantation ne suffit pas ;
• Registre des traitements et contrat de sous-traitance (article 28 RGPD) : beaucoup de cabinets utilisent les plateformes fabricants sans avoir jamais signé d'accord de traitement des données conforme ;
• Notification des violations à la CNIL sous 72 heures, et aux patients en cas de risque élevé.

Une donnée rythmique, c'est une donnée de santé au sens le plus sensible : elle révèle une pathologie, un traitement, et parfois la géolocalisation d'un boîtier. Sa compromission n'est jamais un incident anodin.

Le point aveugle le plus fréquent : le praticien croit que « c'est le fabricant qui gère ». Juridiquement, c'est faux — la CNIL rappelle régulièrement que le responsable de traitement ne peut pas s'exonérer par délégation.

Le contentieux émergent du télésuivi ne porte pas sur la technique d'implantation, mais sur l'organisation du traitement des alertes. Scénario type : un DAI transmet une alerte de fracture de sonde un vendredi soir ; la plateforme la classe « rouge » ; personne ne la consulte avant le mardi ; entre-temps, le patient reçoit des chocs inappropriés ou, pire, la thérapie échoue lors d'une vraie tachycardie ventriculaire.

Devant l'expert, la question sera simple : quel était le circuit prévu ? Les bonnes pratiques professionnelles recommandent un fonctionnement documenté :

• délais cibles de consultation des alertes selon leur criticité (jour ouvré suivant pour les alertes rouges, typiquement) ;
• désignation nominative des personnes chargées du filtrage, avec suppléance pendant les absences ;
• information écrite du patient sur ce que la télésurveillance n'est pas : un système d'urgence temps réel — en cas de malaise, c'est le 15, pas le boîtier ;
• traçabilité de chaque alerte traitée (horodatage, décision, contact du patient le cas échéant).

Ce dernier point est décisif : un cabinet capable de produire un journal de traitement des alertes transforme une accusation de négligence en démonstration de diligence. À l'inverse, l'absence de procédure écrite fait présumer la désorganisation.

Le risque du télésuivi est hybride, et c'est précisément ce qui piège les cabinets mono-assurés.

Le versant médical — alerte mal interprétée, retard de reprogrammation, défaut d'information du patient — relève de la responsabilité civile professionnelle médicale, avec ses plafonds légaux et sa garantie subséquente.

Le versant données relève d'une logique différente : rançongiciel chiffrant le poste qui accède à la plateforme, compromission de la messagerie contenant des comptes rendus rythmiques, fuite de la base patients. Les coûts sont alors sans lien avec une faute médicale : investigation forensique (souvent 15 000 à 50 000 € pour un cabinet), notification CNIL et information des patients, reconstitution du système, interruption d'activité pendant l'indisponibilité des outils, voire sanction administrative. Une assurance cyber est conçue pour ce périmètre exact : assistance 24/7 en cas d'incident, prise en charge des frais de notification et de la perte d'exploitation numérique.

Pour un rythmologue implanteur, la combinaison des deux garanties n'est pas un luxe : c'est la traduction assurantielle de son double statut de médecin et d'opérateur de données. Les autres protections utiles à la spécialité sont détaillées sur la fiche métier cardiologue.