Ce que Solys garde, ce qu'il supprime : le dossier pour le DPO
Avant d'utiliser Solys sur de vrais patients, un hôpital doit savoir exactement quelles données circulent, où, et combien de temps. Cette page donne la réponse sans arrondir, dans l'ordre où un délégué à la protection des données (DPO) pose ses questions. Elle peut lui être transmise telle quelle.
- L'audio est supprimé dès sa transcription ; la note et la transcription au plus tard après 24 heures.
- Traitement et hébergement dans l'Union européenne ; les dictées n'entraînent aucun modèle.
- Un filtre retire les identifiants avant la mise en forme, mais un nom prononcé part avant lui dans l'audio.
- L'hôpital reste responsable du traitement : son accord écrit précède le premier usage réel.
Quelles données entrent dans Solys ?
Une seule chose : ce que le médecin dicte, après son tour de salle. Solys ne se connecte à aucun logiciel de l'hôpital et n'y lit rien. Il n'enregistre ni la consultation, ni le patient, ni la chambre : le médecin parle seul, à la machine. La consigne donnée au médecin est de ne dicter aucune identité : la chambre ou le lit suffit à retrouver le bon dossier au moment de coller.
Le parcours d'une dictée, étape par étape
| Étape | Ce qui se passe | Durée de vie |
|---|---|---|
| 1. Audio | Enregistré dans le navigateur, envoyé par morceaux au serveur, transcrit par le service de transcription | Supprimé dès sa transcription |
| 2. Filtre | Chaque morceau transcrit est filtré : noms, dates de naissance, numéros (dont le NISS) sont retirés ; l'écran avertit le médecin | — |
| 3. Mise en forme | La transcription filtrée est mise en forme par un modèle de langage hébergé en France, selon le profil du service | Les dictées ne servent à entraîner aucun modèle |
| 4. Note | Affichée au médecin, qui relit et copie chaque encadré dans le dossier du patient | Supprimée à la fermeture de la session, au plus tard après 24 heures |
Et si un nom est prononcé par erreur ?
Le filtre travaille sur le texte, donc après la transcription. Si le médecin prononce un nom, ce nom part dans l'audio vers le service de transcription avant d'être filtré. Le fournisseur de transcription fait donc partie du périmètre à déclarer au DPO.
Aucun filtre automatique n'est parfait. C'est pourquoi la règle d'usage reste simple : ne jamais dicter d'identité, la chambre suffit. Si un identifiant était repéré après coup, une procédure prévoit la suppression immédiate de la dictée concernée.
Pourquoi une note sans nom reste une donnée personnelle
Le RGPD distingue les données anonymisées, qui ne permettent plus d'identifier personne, et les données pseudonymisées, dont on a retiré l'identité directe mais qui peuvent encore être rattachées à une personne. Son considérant 26 est clair : des données pseudonymisées restent des données à caractère personnel1. Une note qui décrit l'état d'un patient d'un service donné, un jour donné, peut être rattachée à lui par l'hôpital : elle entre dans cette catégorie.
C'est aussi une donnée concernant la santé, que l'article 9 du RGPD range parmi les catégories particulières de données1. Conséquence pratique : le filtre réduit le risque, il ne rend pas l'usage libre. Il faut un cadre.
Qui est responsable de quoi ?
- L'hôpital est responsable du traitement. Ce sont ses patients et ses dossiers ; ce n'est ni le médecin seul, ni Solys.
- Solys agit comme sous-traitant, sur instruction de l'hôpital, dans le cadre d'un contrat de sous-traitance au sens de l'article 28 du RGPD1.
- Les fournisseurs de Solys sont des sous-traitants ultérieurs, tous européens. Leur liste nominative est fournie au DPO avec le contrat.
Selon l'analyse de l'hôpital, une analyse d'impact relative à la protection des données (AIPD, article 35) peut être demandée. Les éléments techniques nécessaires sont fournis au DPO sur demande.
Ce qui est conservé au-delà de 24 heures
Rien de clinique. Ce qui reste, et pourquoi :
- Le profil de format du service : ses encadrés, ses étiquettes, ses abréviations. Une description d'une manière d'écrire, sans aucune information sur un patient.
- Le vocabulaire appris : des paires « sigle ↔ expansion » (ETT ↔ échographie transthoracique), jamais la phrase où elles apparaissaient.
- Des mesures d'usage sans contenu : la date et la durée d'une dictée, par exemple. Jamais le texte.
- Un journal des accès, qui ne contient que des identifiants techniques, jamais de texte.
Les sauvegardes ne contiennent, elles aussi, rien de clinique.
Les questions qu'un DPO pose, et nos réponses
| Question | Réponse |
|---|---|
| Où sont les serveurs ? | En Allemagne. Mise en forme en France. |
| Durée de conservation de l'audio ? | Supprimé dès sa transcription. |
| Durée de conservation des notes ? | Fermeture de la session, 24 heures au plus. |
| Données utilisées pour entraîner un modèle ? | Non. |
| Accès au dossier patient de l'hôpital ? | Aucun. Le médecin copie et colle lui-même. |
| Écriture automatique dans le dossier ? | Jamais. Le médecin valide tout. |
| Connexion des médecins ? | Code à six chiffres envoyé par e-mail, sans mot de passe. |
Pour le fonctionnement côté médecin, voir la dictée du tour de salle et dicter plusieurs patients en une fois.
Questions fréquentes
Les données de Solys sont-elles anonymisées ?
Non. Les identifiants sont retirés par un filtre, mais une note clinique sur un patient reste une donnée pseudonymisée, donc une donnée personnelle au sens du RGPD. C'est pour cela que l'accord de l'hôpital est nécessaire.
Où les données de Solys sont-elles traitées ?
Exclusivement dans l'Union européenne : mise en forme en France, hébergement en Allemagne.
Combien de temps Solys garde-t-il une dictée ?
L'audio est supprimé dès sa transcription. La transcription et la note sont supprimées à la fermeture de la session, et au plus tard après 24 heures.
Que se passe-t-il si un médecin dit le nom d'un patient ?
Le nom part dans l'audio vers le service de transcription, puis le filtre le retire du texte avant la mise en forme et avant tout stockage. Le filtre n'étant pas infaillible, la consigne est de ne jamais dicter d'identité : la chambre suffit.
Qui doit autoriser Solys dans un hôpital ?
L'hôpital, responsable du traitement, par un accord écrit de son DPO ou de sa direction, avant la première dictée sur de vrais patients.
Sources
- Règlement (UE) 2016/679 du 27 avril 2016 (RGPD), considérant 26 et articles 4, 9, 28 et 35. eur-lex.europa.eu
Par Klaas Sabbe, fondateur de Solys · mis à jour le . Une erreur, une précision ? Écrivez-nous : solys@solyshealth.com.