Plus tôt ce mois-ci, Epic, avec une poignée de prestataires de soins de santé, a intenté une action en justice fédérale contre le réseau de données de santé Health Gorilla visant à mettre fin à un prétendu stratagème visant à exploiter et monétiser les dossiers médicaux des patients sans consentement.

En fin de compte, le différend reflète des ambiguïtés non résolues sur la manière dont l’interopérabilité des données devrait être régie dans le secteur de la santé. Les experts pensent que le procès vise moins à arrêter un mauvais acteur qu’à définir des règles et des limites standardisées autour de l’échange de données de santé.

Conspiration présumée pour monétiser les données des patients

La plainte, déposée le 13 janvier, affirme que Health Gorilla a permis à d’autres sociétés d’accéder de manière inappropriée et de monétiser près de 300 000 dossiers médicaux de patients. Health Gorilla a nié ces allégations.

Les plaignants sont Epic, Trinity Health, UMass Memorial Health, Reid Health et OCHIN. Ils allèguent que Health Gorilla et un réseau d’autres sociétés ont créé des prestataires de soins de santé fictifs, des sites Web fictifs et de faux identifiants de prestataires pour donner l’impression que les demandes de dossiers étaient destinées à de véritables objectifs de traitement. Au lieu de cela, les données auraient été détournées à des fins non thérapeutiques, comme le marketing auprès d’avocats recherchant des plaignants potentiels pour des poursuites.

Les autres sociétés impliquées dans le réseau sont un groupe de petites sociétés de télésanté, de données et écrans – dont beaucoup seraient liées aux mêmes fondateurs et opérateurs – qui, selon les plaignants, ont été utilisées pour se faire passer pour des fournisseurs légitimes.

La plainte indiquait également que les accusés avaient inséré des informations « indésirables » dans les dossiers pour cacher leur activité et donner l’apparence de soins authentiques, ce qui mettait en danger la sécurité des patients et faisait perdre du temps aux cliniciens.

Lorsqu’une entité frauduleuse était révélée, les mêmes acteurs auraient créé de nouvelles sociétés pour poursuivre le même comportement, fonctionnant « comme une hydre », selon le procès.

Le procès allègue des violations de la HIPAA, ainsi que d’autres protections de la vie privée fédérales et étatiques. Il présente également le projet comme menaçant à la fois la vie privée des patients et l’intégrité des systèmes interopérables de partage de données de santé.

Les plaignants demandent une injonction pour mettre immédiatement fin à la faute présumée.

Health Gorilla est « tout à fait prêt » à défendre sa conduite, selon une déclaration publiée cette semaine par le PDG Bob Watson.

« Le procès d’Epic non seulement ne parvient pas à fournir tous les faits, mais reflète une utilisation irresponsable du litige comme une arme plutôt que pour faire valoir des réclamations sérieuses. Comme Epic le sait, lorsque Health Gorilla a pris connaissance des allégations soulevées par Epic dans sa plainte, Health Gorilla a immédiatement suspendu les connexions en question et a commencé à enquêter sur leur utilisation des données de santé », a déclaré Watson.

Bien que l’enquête de Health Gorilla soit toujours en cours, les connexions en question restent suspendues, a-t-il ajouté.

Watson a également déclaré qu’« Epic a fait l’équivalent de crier « au feu » au milieu d’un théâtre bondé » en matière d’interopérabilité, suggérant que les affirmations du géant du DSE pourraient alarmer inutilement l’industrie et perturber les progrès vers un échange de données légitime.

Interopérabilité vs gouvernance

Le problème central de cette bataille juridique n’est pas l’interopérabilité, mais la gouvernance, a souligné Jackie Mattingly, directrice principale des services de conseil au sein de la société de sécurité et de conformité des soins de santé Clearwater.

« Il ne s’agit pas d’un échec de l’interopérabilité, c’est de la gouvernance qui est à la traîne. De toute évidence, nous avons besoin d’interopérabilité, car nous voyageons et nous allons dans des endroits différents, et nos données doivent être accessibles. Mais la gouvernance n’a pas rattrapé son retard », a-t-elle déclaré.

La gouvernance s’affaiblit une fois que les données quittent le DSE, a noté Mattingly. Même si les hôpitaux disposent généralement de contrôles stricts au sein de leurs DSE, la surveillance peut s’effondrer lorsque les données circulent vers des plateformes externes, des outils d’analyse et des tiers. La responsabilité ne s’arrête pas lorsque les données quittent Epic, a-t-elle déclaré.

Elle pense que les contrôles d’accès doivent devenir plus stricts, affirmant que l’octroi de l’accès aux données ne peut pas être un processus « définissez-le et oubliez-le ». Les organisations de soins de santé ont besoin de contrôles d’accès basés sur des objectifs précis et d’une réévaluation continue pour savoir si le partage de données est toujours justifié, a déclaré Mattingly.

Cet écart entre l’interopérabilité technique et la responsabilité est de plus en plus considéré comme une faille systémique dans l’infrastructure actuelle de partage de données. Un autre leader du secteur de la santé – Tyler Giesting, directeur des fusions et acquisitions dans le secteur de la santé chez West Monroe – a déclaré que le procès expose les lacunes et les ambiguïtés des règles actuelles de la TEFCA en matière d’échange de données cliniques. Le Trusted Exchange Framework and Common Agreement (TEFCA) est une initiative fédérale conçue pour normaliser les règles et les normes techniques pour l’échange de données de santé à l’échelle nationale.

Le cadre est nouveau et continue d’évoluer, il manque donc de définitions claires et applicables sur qui peut accéder aux données et à quelles fins, a noté Giesting.

Pour lui, cette affaire met en évidence la nécessité de normes plus strictes, éventuellement dirigées par le gouvernement fédéral, régissant l’échange de données à l’échelle nationale.

Et ce n’est pas la seule bataille juridique récente qui a mis en lumière cette question : au cours des deux dernières années, les tribunaux ont également vu des poursuites contre des courtiers de données comme BetterHelp et Meta pour une utilisation abusive présumée de données de santé sensibles, ainsi que des différends impliquant des fournisseurs de DSE et des réseaux d’interopérabilité sur la manière dont les informations sur les patients peuvent être partagées.

Les fournisseurs sont également préoccupés par le problème. La semaine dernière, plus de 60 systèmes de santé – dont Stanford Health Care et NYU Langone Health – ont envoyé une lettre à Mariann Yeager, PDG de The Sequoia Project, une organisation à but non lucratif qui influence la gouvernance des réseaux de partage de données de santé, exigeant une meilleure surveillance et transparence.

Combler les lacunes

Selon Giesting, l’industrie gagnerait à passer à un cadre « faire confiance mais vérifier ».

« [TEFCA] est un modèle basé sur la confiance. Je pense que le procès révèle potentiellement qu’il pourrait être nécessaire de passer à un modèle « faire confiance mais vérifier ». La personne qui demande les informations sur la santé est-elle vraiment celle qu’elle prétend être ? Et ont-ils une raison autorisée pour recevoir le dossier clinique ? Ce problème n’est pas totalement résolu dans le cadre actuel », a-t-il déclaré.

TEFCA a également des zones grises autour de l’utilisation des données par des tiers, a ajouté Giesting. Le cadre ne traite pas clairement les scénarios dans lesquels les données sont demandées à des fins autres que les soins directs aux patients. Health Gorilla pourrait donc affirmer qu’il a suivi les règles existantes et les directives de la TEFCA en tant que réseau d’informations sur la santé qualifié et désigné.

Le procès pourrait rendre les organismes de santé plus prudents quant au partage de données, a prédit Giesting. Il pense que certaines entreprises peuvent limiter leur participation à TEFCA ou à l’échange de données pour éviter les risques liés à la vie privée ou juridiques.

Il a noté que cela pourrait ralentir les progrès en matière d’interopérabilité à l’échelle de l’industrie jusqu’à ce que des directives fédérales plus claires apparaissent – ​​faisant écho aux préoccupations soulevées par Watson, PDG de Health Gorilla.

Malgré ces frictions à court terme, l’interopérabilité est trop centrale dans les soins de santé – en termes de contrôle des coûts, d’amélioration des soins basés sur les données et d’innovation en recherche clinique – pour disparaître, a déclaré Giesting.

Il a souligné que cette affaire met en évidence un schéma plus large : l’innovation dans le secteur privé évolue plus rapidement que la réglementation, en particulier dans le monde de la santé.

« Je pense que le secteur privé pousse généralement la barre vers la phase suivante. Même avec l’IA, il y aura de l’innovation, puis les mesures réglementaires rattraperont leur retard. Je pense que c’est ce qui se passe ici, et cela souligne simplement l’importance d’avoir une coordination très étroite entre les entreprises de l’écosystème technologique, comme Epic et Health Gorilla », a fait remarquer Giesting.

Renforcer la surveillance pour protéger la confiance

Afin d’améliorer le partage de données dans le secteur, les cadres d’interopérabilité doivent appliquer activement les règles, et pas seulement déplacer les données, selon Jason Prestinario, PDG de la plateforme de données Particle Health.

Il a fait valoir que les cadres tels que TEFCA et Carequality ne peuvent pas être des « canaux passifs », affirmant qu’ils nécessitent une meilleure surveillance, un meilleur contrôle de la conformité et une meilleure application. Lorsqu’ils n’y parviennent pas, la confiance s’effondre, a-t-il déclaré.

Particle Health fait face à son propre procès contre Epic, bien que dans ce cas, Epic soit le défendeur et non le plaignant. En septembre 2024, Particle Health a poursuivi Epic pour des allégations selon lesquelles le fournisseur de DSE utilise sa domination sur le marché pour empêcher la concurrence dans le domaine des plateformes de paiement. La plainte affirme qu’Epic a imposé des barrières techniques et contractuelles qui limitaient l’accès aux données des patients, ce qui a effectivement empêché ses concurrents de créer des plates-formes concurrentes destinées aux payeurs. En septembre dernier, un juge fédéral a avancé le procès antitrust.

Même si Particle et Epic ne sont pas dans les meilleures conditions pour le moment, Prestinario estime toujours qu’Epic soulève des inquiétudes légitimes concernant les activités suspectes et la nécessité de renforcer les protections dans l’échange de données de santé.

Il a noté que la plainte d’Epic indiquait qu’elle avait soulevé des inquiétudes auprès de Health Gorilla et d’autres participants au réseau concernant l’accès suspect aux données et l’utilisation abusive potentielle des dossiers des patients plusieurs mois avant le dépôt de la plainte.

« En supposant que ce calendrier soit exact, c’est inacceptable. Cela met tous les implémenteurs, y compris Particle, dans une position difficile », a déclaré Prestinario.

En d’autres termes, si ce qu’Epic prétend est vrai, alors ce manque de transparence et ce contrôle inadéquat des données posent un risque systémique pour l’interopérabilité et la concurrence dans l’écosystème des données de santé.

Epic n’aurait eu aucune visibilité sur ce qui avait fait l’objet d’une enquête ni sur la manière dont elle l’était. Prestinario a averti que ce manque de transparence peut éroder la confiance et restreindre l’accès légitime aux données.

Selon lui, de tels scandales ont deux effets néfastes : ils conduisent souvent à une participation réduite à l’échange national de données de santé et à des restrictions plus strictes de l’accès aux données nécessaires sous couvert de sécurité.

« Chaque scandale devient une raison pour restreindre l’accès, et je crains que cela ne crée une dynamique dans laquelle Epic finit par dire : « Nous sommes complètement hors de ces cadres ». La réponse à tout cela n’est pas moins d’interopérabilité. Il ne nous appartient pas de nous éloigner de la démocratisation de l’accès légitime aux données. Il s’agit d’une meilleure application des règles de toutes parts », a fait remarquer Prestinario.

Il a déclaré qu’il espère que l’industrie pourra renforcer les garanties tout en gardant les données accessibles.

Photo : Aitor Diago, Getty Images