Le Dr Karel Anseeuw appelle les syndicats médicaux à faire usage du droit d’accès aux données prévu par le RGPD pour rétablir l’équilibre face aux outils de contrôle des mutualités. Selon lui, cet instrument juridique, encore trop peu utilisé, pourrait non seulement offrir une transparence accrue sur les mécanismes de contrôle exercés sur les prestataires de soins, mais également constituer un levier économique d’envergure : des demandes collectives d’accès aux données pourraient coûter jusqu’à 54 millions d’euros par an aux mutualités. Mais ce coût n’a rien d’une menace ...

Les mutualités belges disposent aujourd’hui d’une panoplie croissante d’outils numériques leur permettant d’analyser, de modéliser et de contrôler le comportement des prestataires de soins. Si le principe d’un contrôle n’a rien de problématique en soi, force est de constater que celui-ci devient de plus en plus unilatéral. Pourtant, le Règlement général sur la protection des données (RGPD) offre aux médecins un droit d’accès à l’ensemble de ces flux d’informations. 

Sur le plan juridique, reconnaissons-le, les mutualités disposent d’un fondement solide. Elles traitent les données dans le cadre de leur mission de sécurité sociale et exploitent les résultats de ces analyses à des fins de contrôle et de pilotage. En ont-elles le droit ? Oui. En ont-elles les moyens ? Certainement. Mais la relation informationnelle entre les médecins et les mutualités reste, dans les faits, profondément déséquilibrée.

La généralisation de l’e-facturation, l’usage d’algorithmes, de tableaux de bord ou encore de systèmes internes de notation transforment progressivement le médecin en simple objet de mesure. Le regard est scrutateur, mais l’accès à l’information reste limité. Or la transparence ne peut être à sens unique. Si les mutualités accèdent aux données des prestataires, ces derniers doivent également pouvoir comprendre comment ces informations sont utilisées et interprétées.

Un contrepoids juridique méconnu

L’article 15 du RGPD reconnaît à toute personne physique – y compris les médecins – le droit d’accéder aux données à caractère personnel la concernant : données de facturation, métadonnées pertinentes, profils établis à partir de ces données. Il est également possible de connaître l’identité des destinataires de ces informations. Et lorsque des systèmes de profilage ou de décisions automatisées sont mis en œuvre, la logique sous-jacente doit pouvoir être explicitée.

Il est même possible, en complément, de solliciter un résumé intelligible de l’analyse d’impact relative à la protection des données (DPIA). Ce n’est certes pas un droit formel, mais cela relève de ce que l’on appelle les « bonnes pratiques ». L’exercice du droit d’accès doit naturellement tenir compte des intérêts légitimes d’autrui, comme le respect du secret des affaires ou des droits de propriété intellectuelle.

Le RGPD fixe par ailleurs un délai légal d’un mois pour fournir une réponse. En cas de retard ou de refus injustifié, les sanctions peuvent être sévères : avertissements, injonctions, voire amendes administratives allant jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel (article 83). L’Autorité belge de protection des données n’a d’ailleurs pas hésité à sanctionner plusieurs établissements de soins pour des réponses incomplètes ou tardives.

Enfin, l’article 82 prévoit la possibilité d’indemniser tant les préjudices matériels qu’immatériels. Des actions collectives peuvent être engagées via deux voies : par le biais de mandats individuels (art. 80(1)), ou au nom d’une association sans but lucratif justifiant d’une activité pérenne dans le domaine de la protection des données. Les syndicats médicaux disposent donc de leviers pour structurer ce droit d’accès : formulation standardisée des demandes, suivi systématique, exploitation collective des réponses. Le soutien d’un partenaire externe peut s’avérer utile, mais n’a rien d’indispensable.

Une exigence de redevabilité

L’enjeu est d’autant plus important que les mutualités font désormais usage d’outils de plus en plus sophistiqués pour profiler les professionnels de santé. Il est donc légitime que le secteur puisse contrôler la proportionnalité de ces dispositifs. À défaut, l’arbitraire menace.

Ce que l’on attend concrètement n’a rien d’excessif : savoir quelles données sont conservées à mon sujet, à qui elles ont été transmises, sur quel fondement, et pendant combien de temps ; obtenir une explication claire sur les logiques de traitement en cas de profilage ou de décision automatisée ; disposer, à titre de bonne pratique, d’un résumé intelligible de la DPIA. Idéalement, des éléments de journalisation – tels que les traces d’accès – viendraient compléter cette transparence, dans la mesure de leur disponibilité technique.

Les réponses doivent être exhaustives, fournies dans les délais, et surtout compréhensibles. Il ne s’agit pas ici de chercher un responsable, mais de restaurer un droit à l’intelligibilité.

Un coût, mais aussi un levier

Faut-il rappeler que cela représente un coût ? Assurément. En moyenne, une demande d’accès exige environ deux heures de travail – extraction informatique, validation juridique, contrôle par le DPO – soit quelque 100 euros. Si chaque médecin en formulait une par an, cela représenterait un coût total d’environ 4,5 millions d’euros. Une fréquence trimestrielle ferait grimper la facture à 18 millions, et une demande mensuelle atteindrait 54 millions d’euros. Mais ce coût n’a rien d’une menace. Il constitue une incitation économique à mettre de l’ordre dans les processus internes, à documenter les traitements, à clarifier les responsabilités.

Cette exigence est une invitation à la professionnalisation : mieux modéliser les données, fixer des durées de conservation claires, rendre visibles les lignes de responsabilité. Les organisations qui ont leurs processus en ordre répondront aisément. Les autres devront s’y résoudre ou en assumer les conséquences.

Une responsabilité collective

Pour un médecin isolé, il est pratiquement impossible d’introduire des demandes juridiquement irréprochables, d’en assurer le suivi et, le cas échéant, d’intenter une action. C’est pourquoi une action collective portée par les syndicats est aujourd’hui indispensable.

Elle pourrait reposer sur des mandats types, un portail de saisie, des formulaires standardisés, un tableau de bord de suivi et une procédure d’escalade claire, assortie d’un mécanisme de plainte. Des rapports trimestriels par mutualité, assortis d’analyses et de recommandations, contribueraient à instaurer un véritable contre-pouvoir, structuré, lisible et professionnel.

Au-delà, se pose la question plus vaste de la transparence dans le financement des soins. Si nous réclamons une plus grande ouverture sur les données, nous devons l’exiger également sur les flux financiers. Quel est le coût des processus de contrôle ? Quelle part des moyens est consacrée aux infrastructures de données ou aux outils de profilage ? Quelle traçabilité pour ces choix stratégiques ? Dans un secteur fondé sur la confiance, la transparence budgétaire ne devrait pas être un tabou.

Une alerte salutaire

L’exercice structurel du droit d’accès prévu par le RGPD ne constitue pas une entrave, mais une alerte salutaire. Les mutualités capables de répondre efficacement y gagneront en crédibilité. Celles qui n’y parviendraient pas verront leur fragilité exposée. Mais surtout, cela rétablira une forme d’équilibre : les prestataires de soins ne seront plus de simples objets d’évaluation, mais des acteurs pleinement informés des systèmes qui influencent leur pratique.

Il est temps que les médecins sachent comment ils sont représentés dans ces systèmes. Et il est temps que les syndicats fassent valoir collectivement ce droit pour rétablir les équilibres. Le RGPD fournit les outils. Reste à trouver la volonté de s’en emparer.