La future solution de gestion des traces de consentement-patient du Grand Est se dessine

Décomposer un système informatique en composants autonomes interopérables pour le rendre réactif aux évolutions des besoins métier : c’est le principe d’”urbanisation informatique” adopté par Pulsy et sa plateforme éponyme. C’est la même philosophie qui a présidé à la conception du service AIC (Accès Information Consentements), qui en 2022 devrait rejoindre l’actuelle offre de services en e-santé du Pulsy.

Début 2019, deux constats interrogent les responsables du GRADeS Pulsy :

• le temps important d’explication passé par chaque professionnel de santé ou personnel administratif pour recueillir le consentement du patient
• offrir au patient une vision synthétisée de tous les consentements qu’il a pu donner (et ceux sur lesquels il souhaiterait peut-être revenir) éviterait les éventuels recours. Cette consolidation de la preuve épargne en outre à l’établissement de santé le travail d’archivage et de recherche d’un justificatif papier.

Dès lors, la solution d’un consentement dématérialisé et d’une gestion fédérée de ce dernier s’impose. Le projet AIC est lancé en mars 2019 et passe en achat public innovant six mois plus tard. Pour rappel, les acheteurs publics peuvent depuis 2018 et jusqu’à fin 2021 passer des marchés sans publicité ni mise en concurrence préalables en dessous de 100 000 euros HT, à condition que les fournitures, services ou travaux concernés soient considérés comme innovants. En septembre 2019, Pulsy se met au travail, accompagné par l’opérateur de services hébergés Adista et l’éditeur Versusmind. De la formulation du besoin, en mars 2019, jusqu’à la livraison du POC, le projet aura mis seulement 9 mois à voir le jour.

Atouts et limites de l’outil

“Une de nos premières intentions pour ce prototype était de dématérialiser lorsque c’était possible le recueil de consentement, en adressant un lien par sms ou par mail“, explique Jonathan Lotz, directeur de Pulsy. En termes de coût et de performance, “le gain apporté par cet outil se situe essentiellement dans la possibilité de réduire le temps d’explication associé au traitement du consentement demandé“, poursuit-il.

À ceux qui lui objecteraient que l’illectronisme (17% de la population française est en difficulté face à l’usage du numérique, selon l’INSEE) se prête peu à la généralisation d’un consentement dématérialisé, il s’empresse d’ajouter que “l’enjeu va être d’être suffisamment explicite et pédagogique pour que le patient donne un consentement éclairé. Cela passe par de bons didacticiels, une rédaction précise, l’intégration éventuelle de liens hypertexte vers des vidéos expliquant en quoi consiste le traitement et le recueil demandé“. Pour les patients les plus réticents à la technologie, il demeurera possible de recueillir le consentement directement par le praticien, comme c’est le cas aujourd’hui. “AIC ne remplace pas ce qui se fait déjà, ça le fédère !” résume Jonathan Lotz.

Le choix d’Adista

“Comme nous avions un budget limité, nous avons décidé de développer un outil qui fonctionne avec les composants Azure. L’opérateur qui nous a le plus sécurisé dans cette contrainte d’environnement est Adista. Nous les connaissions pour avoir déjà mis en place des marchés avec eux sur les réseaux informatiques et sur l’hébergement de l’une de nos salles d’infrastructure (Pulsy est aussi hébergeur de données de santé, NDLR), raconte Jonathan Lotz. Lors du lancement du projet, nous avions des exigences HDS, mais nous n’avions pas encore la certification. Nous avons choisi de transformer cette contrainte en opportunité pour tester des architectures hybrides“.

Techniquement, cette hybridation repose sur une co-construction entre l’éditeur Versusmind (qui disposait déjà d’un logiciel de consentement patients estampillé RGPD), Adista et Pulsy. “Le logiciel de Versusmind a été installé sur un serveur qu’Adista a provisionné dans le cloud Azure, et les équipes du Pulsy ont utilisé les briques fonctionnelles du catalogue Azure pour faire fonctionner sa solution“, explique Sébastien Déon, directeur des offres e-santé chez Adista.

La maîtrise de la centaine de briques techniques de l’interface Microsoft Azure et la volonté de maîtriser les coûts (afin que Pulsy ne soit pas client final et facturé directement par Microsoft) impliquait de recourir à un cloud service provider (CSP) comme Adista. “Le cloud public est typiquement un bon cas d’usage pour faire un POC“, observe Sébastien Déon, vantant la “rapidité et l’agilité” de cette solution. Cette souplesse, confirme Jonathan Lotz, a également été décisive : “Nous ne savions pas, dans cette phase de POC, sur quelle volumétrie et quels usages précis on s’engageait. Le fait de pouvoir étendre facilement nos premières mises en production a facilité la mise à l’échelle à moyen terme“. La réversibilité de la solution est, enfin, rassurante pour le Pulsy qui réfléchit à la possibilité de revenir à un hébergement sur ses propres serveurs, désormais certifiés HDS.

Un déploiement prévu pour septembre 2022

Le POC ayant été réalisé, il reste cependant au Pulsy une tâche d’ampleur : relier tous les établissements de santé de la région au serveur d’identité régional. “Nous en avons environ 200 à raccorder, nous en sommes à une cinquantaine. Tant qu’on ne sait pas associer le consentement à la bonne identité patient, on ne peut pas fédérer ces consentements. En attendant le déploiement de l’identifiant national de santé qui est en train de se déployer, nous fonctionnons donc avec notre serveur de rapprochement d’identité, qui nous permet d’être cohérent et de parler du même patient d’un hôpital à un médecin“, explique Jonathan Lotz.  Le déploiement du service AIC est, selon la feuille de route du Pulsy, prévu pour septembre 2022. Dans un proche avenir, Pulsy souhaite rendre sa démarche régionale visible, pour pouvoir en faire bénéficier à l’échelle nationale les outils portés par l’Assurance Maladie et par l’ANS (Mon Espace Santé).

Recourir à un cloud public : une exigence de rapidité

“Quand on a une bonne idée, en matière de santé numérique, il faut la réaliser tout de suite. Si à cause d’un frein technique, on la laisse dans un carton, elle finit par disparaître“, analyse Sébastien Déon. A cet égard, les solutions “sur étagère”, comme le cloud public Azure, ont à ses yeux l’avantage d’être des “accélérateurs d’innovation“.

L’accès en “self-service” permet de travailler sur un POC avec un simple téléphone portable de n’importe où et de manière sécurisée. La facturation à l’usage implique de passer d’un mode CAPEX (capital expenditures = dépenses d’investissement), à un mode OPEX (operating expenses = dépenses d’exploitation), plus simple et plus rapide.  “Je me connecte au portail Azure, je consulte les ressources dont j’ai besoin, je regarde leur coût, j’instancie mes machines, la facturation se déclenche. Lorsque j’arrête d’utiliser le service (cas d’un serveur pendant la nuit), je ne paye plus“, résume Sébastien Déon. La scalabilité permise par le cloud (la capacité à faire évoluer la puissance (RAM) et la capacité de stockage de ses serveurs), d’un simple clic de souris, permet d’absorber les pics de charges (en cas de forte affluence sur le service).  Enfin, la “métrologie” d’un serveur de cloud public permet d’avoir un retour sur son utilisation au travers d’indicateurs variés (fréquentation, pics de charge, profil des utilisateurs, le temps d’usage, etc.)

Le frein de la confiance

“Cette dernière fonctionnalité est rassurante pour l’utilisateur“, observe Sébastien Déon, conscient qu’en matière de cloud public, le principal frein reste la confiance. “L’angoisse qu’il suscite est entretenue par la peur des coûts imprévus, de ne pas être à la hauteur techniquement, le cadre contractuel jugé trop flou, la crainte de l’irréversibilité de la solution… et le Cloud Act” (voir encadré).

Avoir recours à des hébergeurs français ou européens pour garantir notre souveraineté, semble être aujourd’hui l’option prise par l’État. “Une bonne idée“, selon Sébastien Déon qui regrette cependant que, techniquement, les GAFAM n’aient pas face à eux de concurrent européen de haut niveau et constate, un brin fataliste, “que le retard pris sera difficilement rattrapable. Les Américains ont les GAFAM, les Chinois ont les BATX, nous, Européens, avons le RGPD“, plaisante-t-il, avant de conclure, plus optimiste, “mais l’alliance n’exclut pas l’autonomie !“