Blockchain et dossier médical : pourquoi nous restons prudents

Dans les appels à projets de santé numérique, la blockchain réapparaît à intervalles réguliers. L’argument est séduisant : un registre infalsifiable, partagé, sans autorité centrale, rendrait le dossier médical sûr et rendrait le patient maître de ses données. Notre position, à ce stade, est prudente. Non par principe, mais parce que la technologie répond mal aux exigences concrètes d’un dossier médical. Voici pourquoi.

Quatre difficultés de fond

• Les données de santé ne doivent pas être inscrites dans la chaîne. Même chiffrées, des données inscrites dans un registre répliqué et immuable restent exposées au progrès des attaques cryptographiques pendant toute la durée de vie de la chaîne. Les projets sérieux n’y inscrivent donc que des empreintes ou des références, et conservent les données ailleurs. La chaîne ne protège alors pas le dossier lui-même.
• Le droit de rectification et d’effacement s’accorde mal avec l’immuabilité. La CNIL, dès 2018, puis le Comité européen de la protection des données dans des lignes directrices adoptées en 2025, ont souligné cette tension et recommandé de ne pas inscrire de données personnelles en clair dans une chaîne de blocs.
• La gouvernance ne disparaît pas. Dans un système de santé, il faut de toute façon une autorité qui habilite les professionnels, gère les identités et tranche les litiges. Une chaîne « sans tiers de confiance » finit, en pratique, par reconstituer ce tiers sous forme de consortium.
• Les besoins réels sont ailleurs. Les difficultés des dossiers patients tiennent à l’identification fiable des patients, à l’interopérabilité des logiciels, à la qualité des données et à l’adoption par les soignants. Aucune ne se règle avec un registre distribué.

Où la technologie peut avoir un rôle

Notre prudence n’est pas un rejet. Les mécanismes de chaînage cryptographique, qui sont au cœur de la blockchain, peuvent servir à prouver qu’un journal n’a pas été modifié a posteriori : on publie régulièrement une empreinte de l’ensemble des journaux, et toute altération devient détectable. Certains pays ont recours à ce type de technique pour garantir l’intégrité de journaux publics. Il s’agit alors d’un composant de preuve, pas du support du dossier.

D’autres usages font l’objet d’expérimentations : traçabilité de la chaîne d’approvisionnement des médicaments, gestion des consentements dans la recherche clinique. Ils méritent d’être évalués au cas par cas, en se demandant chaque fois si une base de données classique, bien journalisée et auditée, ne ferait pas aussi bien pour moins cher.

La bonne question n’est pas « peut-on le faire avec une blockchain ? », mais « qu’apporte-t-elle qu’un journal signé et audité n’apporte pas ? ».

Nos critères pour réexaminer la question

Nous réviserions notre position face à un projet qui démontrerait, sur un usage précis : un besoin réel de confiance entre acteurs qui ne peuvent pas désigner d’autorité commune ; l’absence totale de données personnelles dans la chaîne ; une gouvernance claire de la chaîne elle-même ; un coût et une performance comparables à une solution classique. Ces conditions sont rarement réunies pour un dossier médical.

Pour les principes que nous appliquons au dossier patient, voir le dossier dossier patient partagé et la solution BETZ. L’expertise santé numérique de DOSOBE peut aider à évaluer une proposition technologique avant de s’engager.