À chacune de vos consultations chez le médecin, lors de chaque dispensation de médicaments en pharmacie, lors d’une prise en charge à l’hôpital, des informations personnelles sont récoltées. Vous est-il déjà arrivé de vous demander où allaient ces informations et ce qu’il en advenait par la suite ?
Il se trouve que toutes ces données sont récoltées et stockées dans une base de données, le Système National des Données de Santé (SNDS) à partir duquel une plateforme le Health Data Hub récupère les données pour les mettre à la disposition de la recherche.
Cependant, le 13 octobre dernier, le Conseil d’État a rendu une décision concernant la protection de ces données personnelles dans le cadre de la base de données Health Data Hub et estime qu’il existe un risque.
Qu’est-ce que le Health Data Hub ?
Le Health Data Hub est une plateforme de partage de données de santé à des fins de recherche. Il s’agit d’une structure publique mise au point par le gouvernement français dans le cadre de la loi n°2019-774 du 24 juillet 2019 sur « l’Organisation et la Transformation du système de santé » et qui s’inscrit dans le projet de « faire de la santé un des secteurs prioritaires pour le développement de l’intelligence artificielle en France ».
L’objectif de cette plateforme est de réunir et de stocker l’ensemble des données de santé des personnes soignées en France. Elle a pour but d’aider la recherche en mettant les millions de données recueillies lors des soins à la disposition des chercheurs, associations de patients, institutions, start-ups et différentes parties prenantes du système de santé.
À terme, l’objectif est de mettre en place et développer des algorithmes et logiciels permettant d’aider la recherche médicale et les professionnels de santé à améliorer la prise en charge, le traitement de certaines pathologies et le suivi des effets indésirables des médicaments présents sur le marché facilitant ainsi leur évaluation. De cette façon, le Health Data Hub est amplement impliqué dans le processus d’amélioration du système de santé français dans sa globalité.
Les données de santé concernées sont celles associées aux remboursements de l’Assurance Maladie et collectées lors d’une visite chez le médecin, d’une prise en charge à l’hôpital, d’une dispensation de médicaments à l’officine, d’une participation à une cohorte de recherche ou à un registre épidémiologique ou un registre des pratiques (méthode d'évaluation et d'amélioration des pratiques).
Ces données sont pseudonymisées, cela veut dire que les données ne peuvent contenir d’informations susceptibles d’identifier des personnes (nom, adresse, date de naissance, etc…). Néanmoins, le dossier médical, le parcours de soin et les informations délivrées par le patient en feront parties. Le Health Data Hub veut se faire dans le respect du droit du citoyen en garantissant le minimum d’impact sur la vie privée des personnes. Pour ce faire, l’information des patients et la facilité d’exercice de leur droit d’opposition à l’utilisation de leurs données sont au cœur de leur démarche.
L’accès à ces données est très réglementé. Pour y avoir accès, les demandeurs doivent porter un projet contribuant à l’intérêt public. Ils devront soumettre leur demande auprès du Health Data Hub qui sera ensuite transmise au Comité Éthique et Scientifique pour la Recherche, l’Études et les Évaluations dans le domaine de la Santé (CESREES). Il s’agit d’un comité indépendant qui statuera sur la pertinence et l’intérêt général de ces données dans les recherches. Par la suite la CNIL (Commission nationale de l'informatique et des libertés), étudiera la demande selon des critères de protection des données et de respect des droits des citoyens et donnera son autorisation.
Pourquoi le Conseil d’État a-t-il été saisi ?
Il faut savoir que cette plateforme est hébergée par une filiale irlandaise de Microsoft sur des serveurs situés aux Pays-Bas, conformément au règlement européen sur la protection des données (RGPD) qui demande à ce que les données soient stockées en Europe et qui permet la protection des données en interdisant tout transfert de ces données vers d’autres pays.
Néanmoins, des associations et des professionnels de santé ont saisi le Conseil d’État en demandant la suspension de la plateforme des données de santé compte tenu des risques au regard du droit au respect de la vie privée. En effet, un risque de possibles transferts de données vers les États-Unis où la protection des données est sensiblement différente a été avancé.
La raison de cette inquiétude ? Il s’agit du fait que Microsoft soit soumis à une loi américaine qui permet à la justice des États-Unis de perquisitionner des données partout dans le monde lorsqu’elles sont hébergées par une entreprise américaine et par conséquent récupérer les données du Health Data Hub.
Le juge des référés estime qu’on ne peut exclure ce risque de transfert des données de santé hébergées dans la plateforme du Health Data Hub aux services de renseignements américains.
Cependant l’utilité du Health Data Hub pour la gestion de la crise sanitaire, a amené le juge à refuser de suspendre le fonctionnement de la plateforme.
Toutefois, il demande au Health Data Hub de travailler, sous le contrôle de la CNIL, sur certains points du contrat qui le lie à Microsoft pour renforcer la protection des droits des personnes concernées sur leurs données personnelles.
Ces précautions devront être prises dans l’attente d’une solution pérenne qui permettra d’éliminer tout risque d’accès aux données personnelles par les autorités américaines, comme annoncé par, Cédric O, Secrétaire d’État chargé de la Transition Numérique.
Melissa Bechroune
Sources : Health Data Hub, Conseil d'État, CNIL