Télésuivi PPC : vos patients apnéiques dorment, leurs données circulent

Depuis que le remboursement de la pression positive continue (PPC) est conditionné au télésuivi de l'observance, chaque pneumologue prescripteur alimente — souvent sans y penser — un écosystème de données considérable. Une machine PPC transmet chaque nuit : durée d'utilisation, index d'apnées-hypopnées résiduel, fuites, pression délivrée. Ces données remontent vers le prestataire de santé à domicile (PSAD), sont agrégées sur une plateforme éditeur, consultées par le pneumologue, et l'observance est transmise à l'Assurance maladie.

Pour un cabinet suivant 800 patients appareillés, cela représente près de 300 000 relevés nocturnes par an. Ce sont des données de santé au sens de l'article 9 du RGPD : leur traitement est par principe interdit, sauf exceptions strictement encadrées — et leur compromission est traitée par la CNIL avec la plus grande sévérité.

Le point aveugle : beaucoup de praticiens considèrent que « c'est le prestataire qui gère ». Juridiquement, c'est faux.

La CNIL a clarifié la répartition des rôles dans le télésuivi des dispositifs médicaux :

• Le pneumologue est responsable de traitement pour les données qu'il consulte, interprète et verse au dossier patient : c'est lui qui décide de la finalité médicale ;
• Le PSAD est responsable de traitement pour ses propres obligations (facturation, maintenance, transmission de l'observance) ;
• L'éditeur de la plateforme agit généralement comme sous-traitant, lié par un contrat conforme à l'article 28 du RGPD.

Conséquence pratique : le praticien doit pouvoir démontrer qu'il a informé ses patients du télésuivi et de ses destinataires, que ses accès à la plateforme sont sécurisés (authentification forte, pas de mot de passe partagé entre secrétaires), et que les données intégrées au dossier sont hébergées chez un hébergeur certifié HDS.

Une amende CNIL ou une injonction ne s'assure pas. En revanche, les frais pour y répondre — avocats, mise en conformité d'urgence, communication — relèvent d'une bonne police cyber.

Cabinet de deux pneumologues, activité sommeil prédominante, 1 900 dossiers actifs. Un vendredi soir, une secrétaire ouvre une pièce jointe imitant un compte-rendu de polygraphie. Le rançongiciel chiffre le serveur durant le week-end : agenda, dossiers, comptes-rendus de polysomnographie, identifiants de la plateforme de télésuivi.

Le lundi, tout est bloqué. La facture, reconstituée poste par poste :

• Investigation et remédiation (prestataire forensique, reconstruction du SI) : 18 000 € ;
• Notification CNIL sous 72 h et information individuelle de 1 900 patients (courriers, ligne d'assistance) : 9 500 € ;
• Perte d'exploitation : 11 jours de déprogrammation partielle, environ 21 000 € d'honoraires perdus ;
• Accompagnement juridique face aux demandes de patients inquiets : 6 000 €.

Soit plus de 54 000 €, sans compter le temps médical englouti — et sans qu'aucune rançon n'ait été payée. Les structures de santé de petite taille sont devenues une cible privilégiée : données sensibles, sécurité artisanale, forte pression à payer.

La prévention d'abord, car l'essentiel du risque se joue avant l'incident :

• Messagerie de santé sécurisée (MSSanté) pour tout échange de comptes-rendus, jamais de résultats de polygraphie par mail standard ;
• Comptes nominatifs sur la plateforme de télésuivi, avec double authentification et revue des accès au départ de chaque collaborateur ;
• Sauvegarde déconnectée testée régulièrement : c'est elle qui décide si une attaque dure trois jours ou trois semaines ;
• Clause article 28 vérifiée dans le contrat PSAD/éditeur : localisation des données, notification d'incident, réversibilité.

Le risque résiduel, lui, se transfère. Une assurance cyber dédiée prend en charge la gestion de crise 24/7, les frais de notification, la reconstitution des données, la perte d'exploitation et la défense en cas de réclamation de patients — autant de postes que votre RC Pro médicale classique ne couvre pas, car ils ne naissent pas d'un acte de soin.