Depuis son lancement en décembre 2019, la « Plateforme des données de santé (PDS) » ou « Health Data Hub » (HDH), a rencontré de nombreuses critiques, notamment pour des questions de souveraineté nationale, la plateforme étant hébergée auprès de la société Microsoft. Plus récemment, le conseil d’administration de la CNAM a refusé le transfert d’une copie du Système national des données de santé (SNDS) auprès de l’hébergeur de la plateforme. Pour essayer de comprendre quelque chose à ce casse-tête juridique, un petit retour en arrière s’impose.
- En 2017, le SNIIRAM s'est enrichi de deux autres bases de données pour constituer le Système national des données de santé (SNDS) ;
- La Plateforme des données de santé vise à apparier les données du parcours de soins aux données cliniques hospitalières ;
- Quels risques pour les libertés individuelles ?
- L'hébergement auprès de la société Microsoft est remis en cause.
Lors du lancement de la Plateforme des données de santé en 2019, beaucoup ont découvert l’existence du Système national des données de santé (SNDS), une des briques qui constituent aujourd’hui la Plateforme des données de santé.
Tout au long de la vie, à chaque acte de soins (chez le médecin, l’infirmier ou le kinésithérapeute…), ou prescription médicale (délivrance de médicaments chez le pharmacien, examen d’imagerie ou de biologie…) des données sont transmises à l’assurance maladie via la carte Vitale, pour assurer le remboursement du praticien et/ou de l’assuré social. Ces données, qui font l’objet d’un codage, sont également rassemblées au sein d’un immense entrepôt de données, le Sniiram (système national d’information interrégimes de l’assurance maladie) créé en 1999 pour contribuer à une meilleure gestion de l’Assurance Maladie et des politiques de santé. En 2015, près de 9 milliards de « feuilles de soins » ont été traitées par le SNIIRAM.
En 2017, le SNIIRAM s'est enrichi de deux autres bases de données pour constituer le Système national des données de santé (SNDS)
En 2017, le SNIIRAM s’est enrichi de deux autres bases de données : la description des séjours hospitaliers (PMSI) et les bulletins de décès enregistrés par l’Inserm CépiDC (qui mentionnent notamment la ou les causes du décès) pour constituer le Système national des données de santé (SNDS), administré par la Caisse nationale d’assurance maladie (CNAM). La constitution du SNDS a été rendue possible par la gestion centralisée des trois systèmes d’information qui le composent pour le moment. La France est aujourd’hui ainsi le seul pays d’Europe disposant d’une base de données quasi exhaustive retraçant le parcours de soins de l’ensemble de la population jusqu’au décès. Les analyses qui peuvent en être extraites sont extrêmement diverses. La plus célèbre d’entre elles a été entreprise par l’Assurance maladie qui a identifié une surmortalité des patients sous Mediator. L’accès à ces données est fortement encadré, un organisme spécifique ayant été créé pour réguler l’accès à ces données, l’Institut des données de santé (IdS). Par ailleurs, la loi définit de manière très précise les organismes susceptibles d’accéder de manière permanente à ces données, sans demande d’autorisation à la Cnil (décret n° 2016-1871 du 26 décembre 2016 relatif au traitement de données à caractère personnel dénommé « système national des données de santé).
Apparier les données du parcours de soins à des données cliniques
Si la création du SNDS s’est effectuée dans l’anonymat, la Plateforme des données de santé (PDS) a, quant à elle, bénéficié d’une large publicité lors de son lancement, à ses dépens. Créée par la loi n° 2019-774 du 24 juillet 2019 relative à l'organisation et à la transformation du système de santé, l’objectif est d’élargir le champ des analyses en santé en offrant la possibilité d’un accès sur demande aux données de parcours de soins du SNDS, pour les apparier à des données cliniques issues d’autres sources d’informations (registres, cohortes, dossiers médicaux hospitaliers…). La plateforme a également été créée pour répondre au développement de l’usage des traitements algorithmiques (dits d’intelligence artificielle-IA-).
Quels risques pour les libertés individuelles ?
La première critique apportée concerne les risques pour les libertés individuelles. Dans ce domaine, l’arsenal juridique est pourtant conséquent. La première obligation qui s’impose aux gestionnaires de ces bases de données est une exigence de pseudonymisation et de traçabilité (article R. 1461-7 du code de la santé publique). Concrètement, à l’origine, quand elles sont collectées à l’hôpital, dans une pharmacie, ou un cabinet médical ou infirmier, les données de santé contiennent les coordonnées (nom, prénom, adresse, numéro de sécu…) du patient. Mais, lorsque ces données font l’objet d’un traitement statistique, elles doivent être anonymisées. La loi considère toutefois que la suppression du nom, du prénom et de l’adresse ne suffit pas à rendre ces données véritablement anonymes ce qui nécessite de soumettre ces données à un processus irréversible de pseudonymisation. Un pseudonyme est donc systématiquement constitué à travers un code non signifiant obtenu par un procédé cryptographique irréversible du numéro d'inscription au Répertoire national d'identification des personnes physiques de chaque personne. Cette procédure est organisée de telle sorte que nul ne puisse disposer à la fois de l'identité des personnes, notamment de leur numéro d'inscription au Répertoire national d'identification des personnes physiques, d'une part, et du pseudonyme d'autre part. Par ailleurs, les modalités de conservation et d'utilisation des données permettent d'en contrôler les usages et de fournir des preuves en cas d'usage non autorisé (traçabilité).
En plus des contraintes qui pèsent sur la constitution des bases de données elles-mêmes, s’ajoute un double régime d’instruction pour accéder à ces données. Dépendant jusqu'à présent de l’Institut des données de santé, ce régime d'instruction est maintenant de la responsabilité de la plateforme des données de santé. Au sein de la plateforme, le CESREES (Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé) est chargé de rendre un avis sur la finalité et la méthodologie de chaque recherche qui lui est soumise, la nécessité du recours à des données de santé à caractère personnel et la pertinence éthique et la qualité scientifique du projet. Après approbation, le projet est ensuite soumis à la CNIL, le demandeur devant exposer la manière dont il met en œuvre les règles de protection des données personnelles (Règlement général de protection des données – RGPD).
L'hébergement auprès de la société Microsoft remis en cause
Au lancement de la plateforme, le gouvernement a choisi d’héberger la plateforme auprès de la société américaine Microsoft, seule à disposer de la certification nécessaire en 2019, ce qui n’était pas le cas des concurrents français. Depuis, les recours se multiplient devant le Conseil d’État mais qui ont été jusqu’à présent déboutés ! Négocié entre 2015 et 2016 entre l'Union européenne et les États-Unis d'Amérique, le « Privacy Shield » définissait jusqu’à présent le droit de la protection des données personnelles entre l’Europe et les États-Unis. Mais cet accord a été rendu caduque par le Cloud Act (acronyme de "Clarifying Lawful Overseas Use of Data Act"), loi fédérale américaine promulguée le 23 mars 2018 qui permet aux agences de renseignement américaines d’obtenir des opérateurs télécoms et des fournisseurs de services de Cloud computing des informations stockées sur leurs serveurs, que ces données soient situées aux États-Unis ou à l’étranger. En clair, les services de renseignement américains sont légitimes à obliger Microsoft à donner des extraits des données traitées par la Plateforme des données de santé française. À la suite de la publication du Cloud act, la Cour de justice européenne (CJUE) a invalidé le Privacy schield le 16 juillet 2020 (arrêt Schrems II), le règlement général sur la protection des données (RGPD) européen étant jugé incompatible avec le cloud act.
La décision européenne a donc remis en cause l’hébergement de la Plateforme des données de santé par la société américaine Microsoft. Depuis, la plateforme ne reste pas inactive ;
un marché a été conclu le 11 janvier dernier entre la plateforme des données de santé et un cabinet parisien d’avocats afin d’expertiser les conséquences en matière de traitement de données de
santé à caractère personnel. Dernier épisode en date, le conseil de la Caisse nationale de l’assurance maladie (Cnam) a fait part de "son opposition à un transfert d’une copie du système national
des données de santé [SNDS] sur la solution actuelle d’hébergement du Health Data Hub", celle de Microsoft Azure, dans une "déclaration" relative à une nouvelle version du
projet de décret encadrant le Hub.
Parallèlement, la plateforme vient d’annoncer le lancement d’une action conjointe, baptisée TEHDaS, dans le but de favoriser la recherche et l’innovation à l’échelle européenne pour améliorer la
qualité des soins et le système de santé. Les données de santé sont à « manipuler » avec précaution.
POUR EN SAVOIR PLUS