Plateforme de consentement patient : comment fonctionnent le consentement, les portées, l'expiration et la révocation dans une API de données de santé

Le consentement est la partie d'un produit de santé que personne ne veut construire et sur laquelle tout le monde est audité. "L'utilisateur a coché une case lors de l'inscription" ne satisfait pas l'article 9 du RGPD, ne survit pas à un examen de protection des données et ne permet pas à une personne de retirer l'accès d'une application sans supprimer son compte. Ce guide décrit ce qu'une plateforme de consentement patient doit faire et comment Anpheros Platform le fait, afin que vous puissiez la réutiliser au lieu de la reconstruire.

Version technique pour les développeurs : Plateforme de consentement patient · Consentement sur developers.anpheros.com, avec les requêtes, les réponses et les limites. Cette page est la version en langage clair.

Le consentement comme objet, pas comme indicateur

Dans Anpheros, un consentement est une autorisation : une personne, une application, un ensemble de scopes, un objectif, une date d'expiration. Il est créé lorsque la personne approuve l'accès sur la page de consentement, il est listé là où la personne peut le voir, et il peut être révoqué à tout moment. Les lectures sont vérifiées par rapport à celui-ci à chaque requête.

• Scopes indiquent ce que l'application peut lire ou écrire : observations, conditions, médicaments, allergies, documents, etc., éventuellement affinés par catégorie (par exemple, les résultats de laboratoire mais pas les symptômes).
• Durée est choisie par la personne : 30, 90, 180 ou 365 jours. Il n'y a pas de "pour toujours".
• Révocation prend effet à la prochaine requête. L'application reçoit un webhook consent.revoked.
• Objectif est enregistré avec l'autorisation et présenté à la personne.

Comment une application demande

Via OAuth 2.1 avec PKCE, avec un lancement autonome SMART on FHIR pour les applications qui parlent déjà SMART. La personne se connecte, voit quelle application demande, quels scopes et pour combien de temps, et approuve ou refuse. L'application obtient un jeton limité à ce patient unique et à ces scopes ; une clé de projet ne remplace jamais le consentement d'une personne.

GET  https://platform.anpheros.com/oauth/authorize?client_id=…&scope=patient/Observation.read …
POST https://platform.anpheros.com/oauth/token

Les jetons d'accès durent 30 minutes, les jetons de rafraîchissement 30 jours. Les documents de découverte se trouvent à /.well-known/oauth-authorization-server et /.well-known/smart-configuration.

Ce que le patient voit

GET /me/patients/{id}/grants liste chaque application ayant accès, ses scopes et sa date d'expiration. …/grants/{grant}/access-log liste ce que chacune a lu ou écrit, sous le consentement et avec la propre clé du projet. Avec format=fhir, le journal revient sous forme de Bundle de ressources FHIR R4 AuditEvent façonnées selon les IHE Basic Audit Log Patterns. Dans Anpheros Daily, il s'agit de l'écran "Connexions" ; votre propre application peut afficher la même chose.

Lectures par rapport aux écritures

Avec consentement, une organisation voit l'intégralité du dossier, y compris ce que d'autres cliniques ont écrit, mais ne peut modifier ou supprimer que ce qu'elle a écrit elle-même. Chaque version de chaque ressource enregistre le projet qui l'a écrite ; une écriture par un autre projet est refusée avec une explication. Chaque écriture produit une ressource Provenance nommant l'application, l'organisation pour le compte de laquelle elle a agi, et la personne.

Les agents IA proposent, la personne décide

Une écriture effectuée sous le consentement d'une personne par une application enregistrée comme agent IA n'est pas appliquée immédiatement. La plateforme la valide et répond 202 Accepted avec un identifiant de proposition ; rien ne change dans le dossier. La personne voit la proposition, ce qu'elle est et quelle application l'a envoyée, et l'accepte ou la rejette. Une proposition acceptée est écrite exactement telle qu'envoyée et marquée comme écrite par IA. C'est ainsi qu'un assistant connecté via MCP peut aider à compléter un dossier sans jamais y écrire sans surveillance.

Partage sans application : SMART Health Links

Une personne peut également partager son dossier par QR ou lien. POST /me/patients/{id}/shl crée un SMART Health Link pour le sous-ensemble d'urgence (allergies, médicaments, problèmes, vaccinations) ou le résumé international complet du patient, avec un code d'accès et une date d'expiration optionnels. Chaque ouverture est dans le journal d'accès, et le lien peut être désactivé immédiatement. Tout lecteur SMART Health Link peut l'ouvrir.

Le modèle complet, avec toutes les règles, se trouve sur developers.anpheros.com/guides/consent-model.

Questions fréquentes

Le consentement est-il stocké comme une ressource FHIR Consent ?

L'autorisation est l'objet opérationnel vérifié à chaque requête ; le dossier contient également des ressources FHIR Consent et Provenance afin que d'autres systèmes puissent lire ce qui a été convenu et qui a écrit quoi. Le journal d'accès est disponible sous forme de AuditEvent FHIR.

Un patient peut-il donner accès à seulement une partie du dossier ?

Oui. Les scopes sont par type de ressource, avec des filtres de catégorie, et la personne les choisit sur la page de consentement. Une application peut demander uniquement les résultats de laboratoire, ou uniquement les médicaments.

Que se passe-t-il lorsque le consentement expire ?

Les requêtes sous cette autorisation renvoient 403 à partir de la date d'expiration. L'application peut redemander ; la personne décide à nouveau. Rien n'est supprimé.

La révocation supprime-t-elle ce que l'application a déjà lu ?

Aucun système ne peut relire des données. La révocation arrête immédiatement tout accès futur et est enregistrée ; ce que l'application a stocké de son côté est régi par ses propres obligations en vertu du RGPD.

Une clinique peut-elle accéder à un dossier sans le consentement du patient ?

Un projet voit les patients qu'il a créés lui-même. La lecture d'un dossier créé ailleurs nécessite l'autorisation de la personne. Il n'y a pas de dérogation administrative.