L'affaire Veradigm met en lumière les risques réglementaires liés à la confidentialité des données de santé numérique.

Poursuite judiciaire pour le suivi des données des portails patients : l'avertissement de l'industrie de la santé numérique dans l'affaire Veradigm

Introduction

Les questions de confidentialité des données dans le secteur de la santé numérique sont de nouveau sous les feux de l'actualité. En avril 2025, la société américaine de technologies de l'information de santé Veradigm (anciennement Allscripts) n'a pas réussi à faire rejeter une action collective - les plaignants l'accusant d'avoir transmis sans autorisation des données personnelles de santé à des tiers (y compris Meta, la société mère de Facebook) via son portail patient, en violation des lois fédérales et étatiques sur la vie privée. Cette décision expose non seulement Veradigm à un risque potentiel d'indemnisation, mais envoie surtout un signal fort à l'ensemble de l'industrie des technologies médicales : les pratiques de partage de données des patients sont soumises à un contrôle judiciaire et réglementaire de plus en plus strict.

Contexte de l'industrie

Les portails patients sont devenus un élément central de l'infrastructure de la santé numérique. Selon les données de l'American Hospital Association, plus de 90 % des hôpitaux proposent des portails en ligne aux patients pour consulter leurs dossiers médicaux, prendre des rendez-vous, payer leurs factures et communiquer avec les médecins. Cependant, ces plateformes intègrent souvent des technologies de suivi de tiers, telles que Meta Pixel ou Google Analytics, pour analyser le comportement des utilisateurs ou cibler la publicité. Les entreprises de technologies médicales brouillent progressivement la frontière entre « amélioration opérationnelle » et « exploitation commerciale ».

La Loi sur l'assurance maladie et la portabilité des responsabilités (HIPAA) aux États-Unis impose des règles strictes concernant la divulgation des informations de santé protégées (PHI), mais la présence généralisée de codes de suivi de tiers soulève des controverses de conformité. Dès 2022, le ministère américain de la Santé et des Services sociaux (HHS) a publié des directives interdisant clairement le partage de PHI via des technologies de suivi sans l'autorisation du patient. Cependant, l'inertie du secteur a fait que de nombreux fournisseurs n'ont réévalué leur chaîne de données qu'après le déclenchement de poursuites.

Principaux développements

Le principal litige dans l'affaire Veradigm réside dans le fait de savoir si les codes de suivi intégrés dans le portail patient ont, à l'insu des utilisateurs, envoyé à des tiers comme Meta les comportements de navigation liés à l'état de santé (tels que le nom du médecin, la raison du rendez-vous). Les plaignants soutiennent que les actions de Veradigm constituent une « violation délibérée ou imprudente de la HIPAA » et violent les lois étatiques sur la concurrence déloyale.

Bien que Veradigm ait plaidé que son partage de données était conforme à l'exception des « fins opérationnelles » et a insisté sur le fait que les utilisateurs avaient accepté la politique de cookies, la cour fédérale de l'Illinois a jugé dans sa décision d'avril 2025 que les accusations des plaignants étaient « suffisantes pour passer à la phase de divulgation des preuves ». Cela signifie que le tribunal examinera en profondeur l'écart entre l'accord de partage de données de Veradigm et le comportement réel du code.

Conclusions

Des affaires similaires se sont déjà propagées dans le secteur des technologies médicales.Des affaires similaires se sont multipliées dans le secteur des technologies médicales. En 2023, Meta a fait face à plusieurs poursuites pour avoir suivi les données des patients via les sites web d'hôpitaux. En 2024, la plateforme de télémédecine BetterHelp a conclu un accord de 7,8 millions de dollars avec la FTC pour avoir partagé des données utilisateur sans consentement. La progression continue de l'affaire Veradigm montre que les forces de régulation et la conscience de la défense des patients s'unissent.

Market Implications

Pour les fournisseurs de portails patients et les entreprises de santé numérique en général, les conséquences potentielles du procès Veradigm ne peuvent être ignorées :

• Augmentation des coûts de conformité : Les entreprises devront peut-être réévaluer tous les codes de suivi tiers, voire supprimer complètement les modules de partage de données inutiles. Un associé du cabinet d'avocats Foley & Lardner a souligné que cette affaire pourrait déclencher un « effet de vaccin », incitant les entreprises de santé IT à réaliser proactivement des évaluations d'impact sur la vie privée.
• Modèles commerciaux compromis : De nombreuses entreprises de technologies médicales s'appuient sur des informations provenant de l'agrégation de données anonymisées pour soutenir leurs modèles de rentabilité. Si les voies de partage de données sont entravées, les revenus publicitaires basés sur le comportement de navigation des patients ou les pools de données d'entraînement pour l'apprentissage automatique en subiront l'impact.
• Accélération de la différenciation du marché : Les entreprises dotées de politiques de confidentialité transparentes et de capacités de conformité technique pourraient obtenir un avantage concurrentiel. Par exemple, les fournisseurs de portails disposant de plateformes d'analyse intégrées comme Epic Systems sont plus à même d'éviter les risques que les petites startups qui dépendent du suivi par des tiers.

Parallèlement, les assureurs maladie, les établissements de santé et les entreprises pharmaceutiques, en tant que consommateurs en aval des données des patients, feront également face à des obligations de diligence raisonnable accrues : ils devront s'assurer que leurs fournisseurs de technologies partenaires ont supprimé tout code de suivi non autorisé.

Challenges And Risks

La réglementation actuelle de la confidentialité des données dans le domaine de la santé numérique est confrontée à trois contradictions structurelles majeures :

1. Le cadre juridique est en retard sur l'évolution technologique : La HIPAA concerne principalement l'échange traditionnel de dossiers médicaux, mais il existe encore une zone grise quant à savoir si les données comportementales dans les portails patients (comme les flux de clics, les mots-clés de recherche) relèvent des PHI. L'affaire Veradigm pourrait pousser les tribunaux à clarifier si les « signaux de santé au niveau du navigateur » sont protégés par la HIPAA. 2. Décalage entre les attentes des utilisateurs et la réalité commerciale : Les patients considèrent généralement le portail comme un outil de gestion de la santé, tandis que les entreprises le voient comme une extension de canal. Une enquête montre que 87 % des patients ne souhaitent pas que leur comportement de navigation sur le portail soit utilisé à des fins publicitaires, mais plus de 40 % des sites web d'hôpitaux sont encore équipés d'outils de suivi. 3. Fragmentations réglementaires mondiales : Les États-Unis manquent d'un cadre juridique uniforme pour la protection de la vie privée comme le RGPD de l'UE. Les lois des États (comme le CCPA en Californie, le BIPA dans l'Illinois) s'entremêlent avec la HIPAA, exposant les entreprises nationales à des risques de conformité régionalisés.

Future Outlook

• Au cours des 3 à 5 prochaines années, trois tendances notables émergeront dans le domaine du partage de données de santé numérique :- Affinement supplémentaire des normes réglementaires : Le HHS pourrait réviser les règles HIPAA pour interdire explicitement l'utilisation des données des portails patients à des fins non thérapeutiques sans consentement explicite. La Federal Trade Commission (FTC) a également annoncé en 2024 un renforcement de l'application de la loi contre les abus en matière de données de santé.
• Émergence de solutions technologiques : Les portails patients « natifs de la vie privée » au niveau des entreprises se développeront, utilisant des technologies telles que l'analyse localisée et la confidentialité différentielle, coupant les flux de données brutes vers des tiers tout en maintenant l'efficacité opérationnelle.
• Évolution des clauses d'assurance et de contrat : Les erreurs de confidentialité des données des entreprises de technologie médicale déclencheront de nouveaux produits d'assurance (par exemple, une assurance responsabilité civile pour la vie privée en complément de l'assurance cyber), tandis que les contrats entre hôpitaux et fournisseurs incluront des clauses obligatoires d'audit de partage de données.