This article outlines the need for, and possible solutions to the problem of third parties’ legally untrammelled ability to collect and use identified or identifiable personal, sometimes very sensitive, health data. A solution would be implementation of a comprehensive legal framework – from international treaties through national legislation to operationalising data privacy and ethics by design at the level computer software (algorithmic) instructions. At least since the last decade of the twentieth century, digitisation of health data and creation of national electronic health records infrastructure has held the promise of enabling the attainment of such public health goals as personal health management, health care delivery, health-related research, and population health surveillance. Great advances in Big Data technology, and even more so, the algorithmic revolution, has facilitated these four goals, though not necessarily in the ways envisaged by scholars and policy-makers of the time. Thus, personal health management is supported by apps such as Apple Health; telemedicine and teleradiology systems enable health care delivery to patients wherever they are located. Health-related medical, commercial, socio-economic and socio-political research based on Big Data is booming, while national electronic health record systems allow national and international agencies to track and scrutinize health of individuals and populations. However, unregulated and rampant “datafication” of identified or identifiable personal health information about individuals collected, managed, and disseminated without their knowledge and informed consent effectively treats data subjects – us – as mere means to an end. The law has been lagging a long way behind technical and commercial development, yet it is possible to safeguard privacy and other fundamental rights of data subjects. For example, as part of the European Union's Digital Single Market Strategy, the European Parliament adopted Regulation (EU) 2016/679 on the “protection of natural persons with regard to the processing of personal data and on the free movement of such data”, and the Directive (EU) 2016/680 on the “protection of natural persons with regard to the processing of personal data by competent authorities for the purposes of the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties, and on the free movement of such data”. The Regulation shall apply, and the Directive will enter into force (requiring EU Member States to transpose it into their national law) in May 2018. In the United Kingdom, the Investigative Powers Act (UK) 2016 has systemically incorporated approach to statutory controls in form of proportionality and necessity tests on powers that national security and law enforcement agencies must intercept, communications, access, collect and manage massive volumes of data (known as “bulk powers”). These controls aim to create privacy safeguards for intentionally or inadvertently targeted individuals. Thus, the law seems to be “awakening”. However, a comprehensive and systematic regulatory framework of controls and protections is yet to be postulated. This article outlines an approach consisting of vertical tiers that can be implemented separately or in total. The article has two parts. The first part provides background to the interface between developments in technology and unconsented to “datafication” of our personal health from which, unbeknown to us, third party algorithms create our digital identity. The second part outlines proposal that envisages a five-tier legal framework for protection of identifiable personal health data. Protections at each tier would be discrete yet capable of integration. At the base – the design level – it possible for software engineers and computer programmers to specify precisely defined algorithmic instructions for processing personal data in accordance with privacy laws and ethical standards. At the next level – data operators and/or analysts (whether human or an automated algorithmic program) – legal tests of proportionality and necessity and ethical conduct could be implemented by legislation and embedded in the algorithm design. At the third level – individuals and organizations storing and using the data – responsibility for its integrity and security as well as privacy and ethics could be governed by legislation. At the top level, international treaties could provide for uniform standards and approach.

Cet article étudie le problème et propose des pistes de solutions au problème de tierces personnes ayant la capacité, légalement incontrôlable, d’accumuler et d’utiliser des données identifiées ou identifiables, parfois très confidentielles, sur la santé. Une des solutions qui s’offre serait la mise en place d’un cadre réglementaire exhaustif – des traités internationaux, en passant par la législation nationale, puis à la mise en place d’un système de données confidentielles et d’éthique à partir d’un logiciel d’instruction (algorithmique). Depuis au moins la dernière décennie du vingtième siècle, la digitalisation des données sur la santé et la création de dossiers de santé en ligne à l’échelle nationale permettent d’atteindre des objectifs de santé publique tels la gestion de la santé personnelle, la prestation de soins, la recherche en santé et la surveillance de la santé de la population. Les avancées dans la technologie des mégadonnées, et qui plus est, la révolution algorithmique, a facilité l’accomplissement de ces quatre objectifs, quoique d’une façon différente à celle envisagée par les chercheurs et les responsables politiques de l’époque. En effet, la gestion de la santé personnelle est encouragée par des applications comme Apple Health ; des systèmes de télémédecine et de téléradiologie permettent la livraison de soins aux patients n’importe où. Les recherches médicale, commerciale, socioéconomique et sociopolitique liées à la santé et basées sur les mégadonnées sont en plein essor, alors que des systèmes nationaux de dossiers de la santé électroniques permettent aux agences nationales et internationales de tracer et d’examiner la santé des individus et des populations. Cependant, la « datafication » non réglementée et rampante d’information personnelle sur la santé des individus qui est accumulée, gérée et diffusée sans qu’ils ne le sachent et sans leur consentement traite les sujets de ces données – nous – comme le simple moyen une finalité autre. Le droit a pris du retard face aux développements techniques et commerciaux, mais il demeure possible de protéger la confidentialité et autres droits fondamentaux des sujets de ces données. À titre d’exemple, dans le cadre de la stratégie pour un marché unique numérique de l’Union européenne, le Parlement européen a adopté le règlement (UE) 2016/679 relatif à la « protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données » et la directive (UE) 2016/680 relative à la « protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données ». Le règlement s’applique et la directive entrera en vigueur (lorsque les membres de l’UE auront transposé cette loi dans leur loi nationale) en mai 2018. Au Royaume-Uni, l’Investigatory Powers Act (UK) 2016 a systématiquement incorporé une approche à ce contrôle statutaire par l’entremise de tests de proportionnalité et de nécessité sur les pouvoirs conférés à la sécurité nationale en matière d’interception, de communication, d’accès, de collection et de gestion de quantité massive de données (connus sous le nom de « Bulk powers »). Ce contrôle a pour but de créer des mesures appropriées pour la protection de la vie privée pour les individus qui sont intentionnellement ou involontairement ciblés. Ainsi, le droit semble s’éveiller. Toutefois, un cadre réglementaire exhaustif et systématique de contrôle et de protection n’a pas encore été instauré. Cet article propose une approche en étages verticaux qui pourraient être mis en œuvre séparément ou ensemble. Cet article est divisé en deux parties. La première partie donne de l’information sur l’interface entre les développements en technologie et notre non-consentement à la « datafication » de notre santé personnelle, à partir de laquelle, à notre insu, les algorithmes de tierces parties créent notre identité digitale. La deuxième partie émet une proposition qui envisage un cadre légal en quatre temps pour la protection des données identifiables sur la santé. Les protections à chaque étage seraient discrètes mais capables d’intégration. À la base – au niveau de la conception – il est possible pour les ingénieurs informatiques et les programmeurs informatiques de spécifier des algorithmes d’instructions définis de façon précise pour traiter les données personnelles conformément aux lois sur la confidentialité et les standards éthiques. Au niveau suivant – les opérateurs de données et les analystes (humains ou un programme algorithmique automatisé) – des tests légaux de proportionnalité et de nécessité et de conduite éthique pourraient être mis en place par la législation et intégrés dans la conception algorithmique. Au troisième niveau – les individus et organisations qui stockent et utilisent – la responsabilité de l’intégrité, la sécurité ainsi que la confidentialité et l’éthique pourraient être gouvernés par la législation. Et au plus haut niveau, les traités internationaux pourraient établir des standards et une approche uniformes.