{"id":7490,"date":"2020-05-23T02:01:47","date_gmt":"2020-05-23T00:01:47","guid":{"rendered":"http:\/\/www.quieryavenir.fr\/blog\/?p=7490"},"modified":"2020-05-20T07:03:09","modified_gmt":"2020-05-20T05:03:09","slug":"la-cnil-sinquiete","status":"publish","type":"post","link":"https:\/\/www.quieryavenir.fr\/blog\/2020\/05\/23\/la-cnil-sinquiete\/","title":{"rendered":"La Cnil s\u2019inqui\u00e8te"},"content":{"rendered":"

Il est question d\u2019un possible transfert de nos donn\u00e9es de sant\u00e9 aux Etats-Unis <\/strong><\/h2>\n

\"\"<\/p>\n

<\/p>\n

Au nom de l\u2019\u00e9tat d\u2019urgence, le gouvernement a acc\u00e9l\u00e9r\u00e9 la mise en place du Health Data Hub, une plateforme devant centraliser la quasi-totalit\u00e9 de nos donn\u00e9es de sant\u00e9. Dans un avis, la Cnil rel\u00e8ve, notamment, que le contrat \u00ab\u00a0mentionne l\u2019existence de transferts de donn\u00e9es en dehors de l\u2019Union europ\u00e9enne\u00a0\u00bb<\/em>. La directrice du projet d\u00e9ment.<\/p>\n

https:\/\/www.mediapart.fr\/journal\/france\/080520\/la-cnil-s-inquiete-d-un-possible-transfert-de-nos-donnees-de-sante-aux-etats-unis?onglet=full<\/a><\/p>\n

Extraits<\/strong><\/p>\n

Tandis que tous les yeux sont riv\u00e9s sur les d\u00e9bats autour de l\u2019application StopCovid et du dispositif de fichage envisag\u00e9 dans le cadre des enqu\u00eates \u00e9pid\u00e9miologiques de suivi des personnes infect\u00e9es, le gouvernement a autoris\u00e9, au nom de l\u2019\u00e9tat d\u2019urgence sanitaire, le d\u00e9ploiement anticip\u00e9 du Health Data Hub, la plateforme devant centraliser l\u2019ensemble de nos donn\u00e9es de sant\u00e9, h\u00e9berg\u00e9es par Microsoft et, s\u2019inqui\u00e8te la Commission nationale de l\u2019informatique et des libert\u00e9s (Cnil), potentiellement transf\u00e9rables aux \u00c9tats-Unis.<\/p>\n

Alors que le projet \u00e9tait encore en cours de d\u00e9ploiement, et que tous les textes d\u2019applications ne sont pas encore pr\u00eats, le gouvernement a pris le 21 avril dernier, au nom de l\u2019\u00e9tat d\u2019urgence sanitaire, un arr\u00eat\u00e9<\/a><\/u> modifiant celui du 23 mars sur l\u2019organisation du syst\u00e8me de sant\u00e9 durant l\u2019\u00e9pid\u00e9mie. Il autorise le Health Data Hub, ainsi que la Caisse nationale de l\u2019assurance-maladie (Cnam), \u00e0 collecter, \u00ab\u00a0aux seules fins de faciliter l\u2019utilisation des donn\u00e9es de sant\u00e9 pour les besoins de la gestion de l\u2019urgence sanitaire et de l\u2019am\u00e9lioration des connaissances sur le virus Covid-19\u00a0\u00bb<\/em>, un nombre consid\u00e9rable de donn\u00e9es.<\/p>\n

Seront ainsi int\u00e9gr\u00e9es \u00e0 la plateforme les donn\u00e9es du Syst\u00e8me national des donn\u00e9es de sant\u00e9 (SNDS) qui regroupe lui-m\u00eame les principales bases de donn\u00e9es de sant\u00e9 publique, les \u00ab\u00a0donn\u00e9es de pharmacie\u00a0\u00bb<\/em>, les \u00ab\u00a0donn\u00e9es de prise en charge en ville telles que des diagnostics ou des donn\u00e9es d\u00e9claratives de sympt\u00f4mes issues d\u2019applications mobiles de sant\u00e9 et d\u2019outils de t\u00e9l\u00e9suivi, t\u00e9l\u00e9surveillance ou t\u00e9l\u00e9m\u00e9decine\u00a0\u00bb<\/em>, les donn\u00e9es des laboratoires, celles des services d\u2019urgence, \u00ab\u00a0des enqu\u00eates r\u00e9alis\u00e9es aupr\u00e8s des personnes pour \u00e9valuer leur v\u00e9cu\u00a0\u00bb<\/em> ou encore celles issues du pourtant contest\u00e9 SI-VIC<\/a><\/u>, le syst\u00e8me de suivi des victimes lors de catastrophes sanitaires qui, au mois d\u2019avril dernier, avait \u00e9t\u00e9 utilis\u00e9 pour ficher des gilets jaunes.<\/p>\n

Le Health Data Hub r\u00e9cup\u00e9rera aussi des donn\u00e9es issues des enqu\u00eates \u00e9pid\u00e9miologiques instaur\u00e9es par la loi de prolongation de l\u2019\u00e9tat d\u2019urgence sanitaire, dont celles du Syst\u00e8me d\u2019information national de d\u00e9pistage populationnel (SIDEP), un fichier sp\u00e9cialement cr\u00e9\u00e9 pour centraliser les r\u00e9sultats d\u2019analyses des laboratoires. Comme l\u2019explique un document du minist\u00e8re de la sant\u00e9 que Mediapart a pu consulter, l\u2019un des buts du SIDEP sera en effet de \u00ab\u00a0permettre un r\u00e9utilisation des donn\u00e9es homog\u00e8nes et de qualit\u00e9 pour la recherche\u00a0\u00bb<\/em>. \u00ab\u00a0Dans le cadre du Health Data Hub\u00a0\u00bb<\/em>, cette r\u00e9utilisation se fera \u00ab\u00a0avec un cha\u00eenage avec les autres donn\u00e9es du SNDS\u00a0\u00bb<\/em>.<\/p>\n

Ce fichier \u00ab\u00a0va aider \u00e0 l\u2019identification des cas car il permet d\u2019avoir une visibilit\u00e9 sur les nombreux cas de contamination test\u00e9s en dehors de l\u2019h\u00f4pital\u00a0\u00bb<\/em>, explique \u00e0 Mediapart la directrice du Health Data Hub St\u00e9phanie Combes. \u00ab\u00a0Les donn\u00e9es seront pseudonymis\u00e9es\u00a0\u00bb<\/em>, assure-t-elle.<\/p>\n

Autre ajout au Health Data Hub, l\u2019arr\u00eat\u00e9 pr\u00e9voit une \u00ab\u00a0remont\u00e9e hebdomadaire\u00a0\u00bb<\/em> des donn\u00e9es du programme de m\u00e9dicalisation des syst\u00e8mes d\u2019information (PMSI<\/a><\/u>), qui comptabilise les actes m\u00e9dicaux factur\u00e9s par les h\u00f4pitaux dans un but de gestion \u00e9conomique et administrative des \u00e9tablissements. \u00ab\u00a0C\u2019est essentiellement un fichier \u00e9conomique et qui peut avoir ses limites en fonction des usages<\/em>, d\u00e9taille St\u00e9phanie Combes. Mais il comporte beaucoup d\u2019informations int\u00e9ressantes. Il comprend des codes qui permettent de d\u00e9terminer chaque acte m\u00e9dical, et donc par exemple de savoir si le patient a \u00e9t\u00e9 en r\u00e9animation. Crois\u00e9es aux donn\u00e9es de l\u2019Assurance-maladie, elles permettront par exemple d\u2019\u00e9valuer la comorbidit\u00e9 ou les facteurs de risque.\u00a0\u00bb<\/em><\/p>\n

\u00c0 quoi servira une telle concentration de donn\u00e9es\u00a0? \u00ab\u00a0Les outils num\u00e9riques peuvent \u00eatre une aide \u00e0 la gestion de cette crise sanitaire\u00a0\u00bb<\/em>, assure St\u00e9phanie Combes, qui donne quelques exemples. \u00ab\u00a0Il y a tout d\u2019abord des outils d\u2019aide \u00e0 la mod\u00e9lisation de l\u2019\u00e9volution de l\u2019\u00e9pid\u00e9mie, en analysant notamment les passages aux urgences. On pourra \u00e9galement plus facilement \u00e9valuer l\u2019efficacit\u00e9 des traitements gr\u00e2ce \u00e0 ce qu\u2019on appelle des \u201cessais virtuels\u201d, les \u201cdonn\u00e9es de vie r\u00e9elle\u201d qui, crois\u00e9es avec les donn\u00e9es pathologiques, permettront de comprendre dans quels cas le virus se d\u00e9veloppe et donc de mieux suivre les patients \u00e0 risque. M\u00eame si pour l\u2019instant il est un peu trop t\u00f4t, on pourra analyser les parcours de soin des personnes ayant \u00e9t\u00e9 contamin\u00e9es. Enfin, \u00e0 plus long terme, ces donn\u00e9es permettront d\u2019\u00e9tudier les cons\u00e9quences plus g\u00e9n\u00e9rales de cette crise, au-del\u00e0 du virus lui-m\u00eame. Je pense par exemple aux cons\u00e9quences du confinement sur notre syst\u00e8me de sant\u00e9 qui a entra\u00een\u00e9 le report de nombreux actes m\u00e9dicaux. On pourra mieux pr\u00e9voir et organiser la reprogrammation de ces actes.\u00a0\u00bb<\/em><\/p>\n

Pourtant, la publication de cet arr\u00eat\u00e9 acc\u00e9l\u00e9rant la mise en place du Health Data Hub n\u2019est pas du go\u00fbt de tout le monde. Lanc\u00e9 au printemps 2018 par Emmanuel Macron dans la foul\u00e9e du rapport Villani sur l\u2019intelligence artificielle, ce projet est en effet vivement contest\u00e9 en raison des craintes relatives \u00e0 la protection de la vie priv\u00e9e des usagers et faisait actuellement l\u2019objet de discussions visant \u00e0 apaiser les tensions.<\/p>\n

Le Health Data Hub avait \u00e9t\u00e9 act\u00e9 par la loi sant\u00e9 du 24 juillet 2019. Son but est de remplacer l\u2019actuel SNDS qui centralise d\u00e9j\u00e0 les principaux fichiers de sant\u00e9, dont celui de l\u2019Assurance-maladie, tout en \u00e9largissant consid\u00e9rablement sa port\u00e9e. \u00c0 terme, toute donn\u00e9e collect\u00e9e dans le cadre d\u2019un acte rembours\u00e9 par l\u2019Assurance-maladie sera centralis\u00e9e dans le Health Data Hub, des donn\u00e9es des h\u00f4pitaux \u00e0 celles du dossier m\u00e9dical partag\u00e9 ou celles des logiciels professionnels utilis\u00e9s par les m\u00e9decins et les pharmaciens.<\/p>\n

Cette concentration sans pr\u00e9c\u00e9dent de donn\u00e9es de sant\u00e9 avait suscit\u00e9 imm\u00e9diatement de vives inqui\u00e9tudes, notamment de la Commission nationale de l\u2019informatique et des libert\u00e9s (Cnil). Dans un avis rendu sur la loi sant\u00e9<\/a><\/u>, elle soulignait qu\u2019\u00ab\u00a0au-del\u00e0 d\u2019un simple \u00e9largissement, cette \u00e9volution change la dimension m\u00eame du SNDS, qui viserait \u00e0 contenir ainsi l\u2019ensemble des donn\u00e9es m\u00e9dicales donnant lieu \u00e0 remboursement\u00a0\u00bb<\/em>. La commission appelait \u00ab\u00a0d\u00e8s maintenant l\u2019attention sur la probl\u00e9matique majeure du respect, en pratique, des principes de limitation des finalit\u00e9s et de minimisation des donn\u00e9es par ces nouveaux traitements, \u00e9voluant dans un contexte d\u2019accumulation de donn\u00e9es pour alimenter les algorithmes d\u2019intelligence artificielle\u00a0\u00bb.<\/em><\/p>\n

De plus, le Health Data Hub est g\u00e9r\u00e9 par un groupement d\u2019int\u00e9r\u00eat public (GIP) charg\u00e9 d\u2019administrer l\u2019ouverture des donn\u00e9es \u00e0 des acteurs ext\u00e9rieurs. Or, comme le soulignait la Cnil, la loi sant\u00e9 a \u00e9galement modifi\u00e9 les textes r\u00e9gissant ces acc\u00e8s afin de permettre leur utilisation par des acteurs priv\u00e9s. Jusqu\u2019alors, les donn\u00e9es personnelles de sant\u00e9 ne pouvaient \u00eatre soumises \u00e0 un traitement informatique que dans le cadre de \u00ab\u00a0l\u2019accomplissement des missions des services de l\u2019\u00c9tat\u00a0\u00bb<\/em> ou \u00ab\u00a0\u00e0 des fins de recherche, d\u2019\u00e9tude ou d\u2019\u00e9valuation\u00a0\u00bb<\/em> et \u00ab\u00a0r\u00e9pondant \u00e0 un motif d\u2019int\u00e9r\u00eat public\u00a0\u00bb<\/em>. La loi sant\u00e9 a fait dispara\u00eetre toute r\u00e9f\u00e9rence \u00e0 une finalit\u00e9 scientifique pour ne conserver que le \u00ab\u00a0motif d\u2019int\u00e9r\u00eat public\u00a0\u00bb<\/em>.<\/p>\n

Enfin, et sans doute s\u2019agit-il du point le plus bloquant, l\u2019ensemble de ces donn\u00e9es sera h\u00e9berg\u00e9 par le g\u00e9ant am\u00e9ricain Microsoft.<\/p>\n

Comme le racontait Mediapart, ce projet \u00e9tait confront\u00e9 \u00e0 une fronde de plusieurs acteurs du monde m\u00e9dical. Les h\u00f4pitaux, notamment, poss\u00e8dent d\u00e9j\u00e0 leurs propres bases de donn\u00e9es, stock\u00e9es dans des \u00ab\u00a0entrep\u00f4ts\u00a0\u00bb, qu\u2019ils exploitent d\u00e9j\u00e0 par eux-m\u00eames. Beaucoup acceptent mal cette obligation de transf\u00e9rer, sans contrepartie, ce v\u00e9ritable patrimoine num\u00e9rique, qui plus est pour que celui-ci soit centralis\u00e9 \u00e0 l\u2019extr\u00eame et confi\u00e9 \u00e0 un acteur soumis \u00e0 la loi am\u00e9ricaine qui peut, en th\u00e9orie, le contraindre \u00e0 offrir un acc\u00e8s \u00e0 ces donn\u00e9es aux autorit\u00e9s. Ces craintes avaient \u00e9t\u00e9 notamment exprim\u00e9es dans un courrier envoy\u00e9 par le directeur de l\u2019AP-HP Martin Hirsch au minist\u00e8re de la sant\u00e9 et que Mediapart avait pu consulter.<\/p>\n

De plus, l\u2019attribution de l\u2019h\u00e9bergement \u00e0 Microsoft s\u2019\u00e9tait faite sans appel d\u2019offres, provoquant ainsi la col\u00e8re d\u2019autres acteurs du num\u00e9rique fran\u00e7ais. Au mois de mars dernier<\/a><\/u>, plusieurs d\u2019entre eux avaient \u00e9crit au minist\u00e8re de la sant\u00e9 pour d\u00e9noncer un d\u00e9lit de \u00ab\u00a0favoritisme\u00a0\u00bb<\/em> et demander l\u2019ouverture d\u2019une enqu\u00eate.<\/p>\n

Dans ce contexte particuli\u00e8rement tendu, le d\u00e9ploiement du Health Data Hub devait se faire de mani\u00e8re progressive. La loi sant\u00e9 ne faisait que fixer les grands principes de la plateforme. De nombreux points, notamment son architecture, devaient \u00eatre tranch\u00e9s en collaboration avec la Cnil et l\u2019Agence nationale de s\u00e9curit\u00e9 des syst\u00e8mes d\u2019informations (Anssi) avant de faire l’objet d’un d\u00e9cret qui n’a toujours pas \u00e9t\u00e9 pris. Interrog\u00e9 par Mediapart au mois de novembre, Thomas Dautieu, directeur de la conformit\u00e9 \u00e0 la Cnil, se voulait pourtant rassurant. \u00ab\u00a0La s\u00e9curit\u00e9\u00a0informatique est un sujet dont l\u2019importance est bien prise en compte<\/em>, nous expliquait-il. Nous avons des \u00e9changes r\u00e9guliers et nous travaillons avec le minist\u00e8re et avec l\u2019Anssi sur ces questions. Il y a \u00e9galement la question des droits des personnes. C\u2019est un aspect important. Nous avions demand\u00e9 que les missions de la future plateforme incluent la protection des droits des patients, ce qui a \u00e9t\u00e9 accept\u00e9.\u00a0\u00bb<\/em><\/p>\n

St\u00e9phanie Combes renvoie \u00e0 \u00ab\u00a0la page 11 du contrat\u00a0\u00bb<\/strong><\/p>\n

La mise en place acc\u00e9l\u00e9r\u00e9e du Health Data Hub est donc vue par beaucoup comme un passage en force. Et du c\u00f4t\u00e9 de la Cnil, le ton s\u2019est visiblement durci. Jeudi 23 avril, la commission a rendu un avis<\/a><\/u> pointant de nombreuses inqui\u00e9tudes, et d\u00e9voilant au passage quelques nouvelles informations sur le projet.<\/p>\n

La plus importante est sans doute que, contrairement \u00e0 ce qui \u00e9tait jusqu\u2019alors affirm\u00e9, des donn\u00e9es confi\u00e9es \u00e0 Microsoft pourront bien \u00eatre transf\u00e9r\u00e9es aux \u00c9tats-Unis dans certains cas. Jusqu\u2019\u00e0 pr\u00e9sent, les donn\u00e9es devaient \u00eatre stock\u00e9es dans des serveurs g\u00e9r\u00e9s par le g\u00e9ant am\u00e9ricain, mais localis\u00e9s dans l\u2019Union europ\u00e9enne. Selon la Cnil, qui a pu consulter le contrat liant le Health Data Hub \u00e0 Microsoft, celui-ci pr\u00e9voit bien une localisation par d\u00e9faut des donn\u00e9es au sein de l\u2019UE. En revanche, \u00ab\u00a0cette localisation ne s\u2019applique qu\u2019aux donn\u00e9es \u201cau repos\u201d, alors m\u00eame que le contrat mentionne l\u2019existence de transferts de donn\u00e9es en dehors de l\u2019Union europ\u00e9enne dans le cadre du fonctionnement courant de la plateforme, notamment pour les op\u00e9rations de maintenance ou de r\u00e9solution d\u2019incident\u00a0\u00bb<\/em>.<\/p>\n

La Cnil poursuit en soulignant que la l\u00e9gislation am\u00e9ricaine permet aux autorit\u00e9s de contraindre les entreprises \u00e0 leur fournir leurs donn\u00e9es. Elle rappelle \u00ab\u00a0les inqui\u00e9tudes <\/em>[\u2026] concernant l\u2019acc\u00e8s par les autorit\u00e9s des \u00c9tats-Unis aux donn\u00e9es transf\u00e9r\u00e9es aux \u00c9tats-Unis, plus particuli\u00e8rement la collecte et l\u2019acc\u00e8s aux donn\u00e9es personnelles \u00e0 des fins de s\u00e9curit\u00e9 nationale\u00a0\u00bb<\/em>, notamment dans le cadre de la loi FISA. Elle rappelle que cette question fait d\u2019ailleurs l\u2019objet actuellement d\u2019une proc\u00e9dure \u00ab\u00a0soumises \u00e0 la Cour de justice de l\u2019Union europ\u00e9enne\u00a0\u00bb<\/em> et qu\u2019\u00ab\u00a0un arr\u00eat de la Cour dans cette affaire est attendu dans les mois qui viennent\u00a0\u00bb<\/em>.<\/p>\n

Interrog\u00e9e sur ce point, St\u00e9phanie Combes d\u00e9ment pourtant les affirmations de la Cnil. \u00ab\u00a0Nous ne sommes pas align\u00e9s sur cette phrase de l\u2019avis. Le contrat pr\u00e9voit en effet que des donn\u00e9es peuvent \u00eatre transf\u00e9r\u00e9es par l\u2019h\u00e9bergeur dans certains cas, sauf indication contraire. Or, nous avons bien sp\u00e9cifi\u00e9 que les donn\u00e9es ne devaient pas sortir du territoire fran\u00e7ais\u00a0\u00bb<\/em>, explique-t-elle. La Cnil aurait-elle alors mal lu le contrat\u00a0? \u00ab\u00a0Je ne dis pas \u00e7a. Mais je trouve que les faits sont un peu d\u00e9tourn\u00e9s. En tout cas, nous avons bien indiqu\u00e9 que les donn\u00e9es ne pourront pas \u00eatre transf\u00e9r\u00e9es. Je peux m\u00eame vous dire que c\u2019est \u00e0 la page 11 du contrat.\u00a0\u00bb<\/em><\/p>\n

Peut-\u00eatre encore plus inqui\u00e9tant, la Cnil affirme que, m\u00eame si les donn\u00e9es stock\u00e9es seront bien chiffr\u00e9es \u00ab\u00a0avec des algorithmes \u00e0 l\u2019\u00e9tat de l\u2019art \u00e0 partir de cl\u00e9s g\u00e9n\u00e9r\u00e9es par les responsables de la plateforme sur un bo\u00eetier chiffrant ma\u00eetris\u00e9 par la plateforme des donn\u00e9es de sant\u00e9\u00a0\u00bb<\/em>, les clefs de d\u00e9chiffrement seront envoy\u00e9es \u00e0 Microsoft. \u00ab\u00a0Elles seront conserv\u00e9es par l\u2019h\u00e9bergeur au sein d\u2019un bo\u00eetier chiffrant, ce qui a pour cons\u00e9quence de permettre techniquement \u00e0 ce dernier d\u2019acc\u00e9der aux donn\u00e9es\u00a0\u00bb<\/em>, pointe l\u2019avis de la commission.<\/p>\n

Elle s\u2019inqui\u00e8te \u00e9galement d\u2019un manque d\u2019encadrement des proc\u00e9dures d\u2019acc\u00e8s des administrateurs de la plateforme. Dans l\u2019\u00e9tude d\u2019impact du projet, \u00ab\u00a0une fonctionnalit\u00e9 d\u2019autorisation pr\u00e9alable des acc\u00e8s administrateurs\u00a0\u00bb<\/em> \u00e9tait bien pr\u00e9vue. Mais \u00ab\u00a0la Commission rel\u00e8ve que cette fonctionnalit\u00e9 ne semble pas mentionn\u00e9e dans les contrats fournis. En outre, la Commission s\u2019interroge sur l\u2019effectivit\u00e9 de cette mesure qui ne semble pas couvrir la totalit\u00e9 des acc\u00e8s possibles\u00a0\u00bb.<\/em><\/p>\n

Sur ce point, St\u00e9phanie Combes explique qu\u2019en effet les clefs de chiffrements des donn\u00e9es seront g\u00e9n\u00e9r\u00e9es par un \u00ab\u00a0HSM\u00a0\u00bb (Hardware Security Module<\/a><\/u>), un \u00ab\u00a0coffre-fort num\u00e9rique\u00a0\u00bb<\/em> et envoy\u00e9es \u00e0 la plateforme ainsi qu\u2019\u00e0 Microsoft. Mais ces clefs \u00ab\u00a0sont utilis\u00e9es de mani\u00e8re automatique sans intervention humaine\u00a0\u00bb<\/em>.<\/p>\n

Concernant les acc\u00e8s des administrateurs, la directrice du Health Data Hub explique \u00ab\u00a0qu\u2019il peut y avoir un acc\u00e8s des administrateurs \u00e0 certaines conditions. Mais pas n\u2019importe lesquelles. Nous contr\u00f4lons ces acc\u00e8s et nous nous sommes engag\u00e9s \u00e0 refuser toute demande qui ne serait pas l\u00e9gitime. Nous avons totalement s\u00e9curis\u00e9 cet aspect-l\u00e0\u00a0\u00bb<\/em>, assure-t-elle.<\/p>\n

\n

La Commission remet en cause un autre engagement du Health Data Hub\u00a0: les donn\u00e9es mises \u00e0 la disposition des porteurs de projets ne devaient pouvoir \u00eatre utilis\u00e9es qu\u2019au sein de la plateforme, sans pouvoir les exporter. Si ce principe est maintenu, la Cnil s\u2019interroge d\u00e9sormais dans son avis \u00ab\u00a0sur l\u2019effectivit\u00e9 du blocage de toute possibilit\u00e9 d\u2019exportation\u00a0\u00bb<\/em> et semble indiquer que celle-ci sera en r\u00e9alit\u00e9 possible dans certains cas. \u00ab\u00a0En cons\u00e9quence la Commission appelle le minist\u00e8re \u00e0 indiquer explicitement que toutes les fonctionnalit\u00e9s d\u2019exportation des donn\u00e9es seront totalement d\u00e9sactiv\u00e9es et inaccessibles aux utilisateurs\u00a0\u00bb<\/em>, recommande l\u2019avis.<\/p>\n

Sur ce point \u00e9galement, St\u00e9phanie Combes d\u00e9ment. \u00ab\u00a0Dans la plateforme, des contr\u00f4les tant techniques qu\u2019organisationnels ont \u00e9t\u00e9 mis en place pour garantir l\u2019impossibilit\u00e9 d\u2019exporter des donn\u00e9es brutes. Seuls les r\u00e9sultats des recherches peuvent \u00eatre export\u00e9s apr\u00e8s contr\u00f4les. Je n\u2019explique pas pourquoi la Cnil exprime des doutes \u00e0 ce sujet car ce fonctionnement a \u00e9t\u00e9 pr\u00e9sent\u00e9 dans nos s\u00e9ances de travaux communs et semblait leur convenir<\/em> \u00bb<\/em>, explique-t-elle.<\/p>\n

La directrice du Health Data Hub et la commission sont en revanche d\u2019accord sur un point\u00a0: la dur\u00e9e de conservation des donn\u00e9es. Dans son avis, la Cnil pointe en effet que \u00ab\u00a0le projet ne mentionne pas de dur\u00e9e de conservation pr\u00e9cise, s\u2019agissant des donn\u00e9es contenues dans l\u2019entrep\u00f4t\u00a0\u00bb<\/em>. Elle \u00ab\u00a0en d\u00e9duit que les donn\u00e9es ne devront \u00eatre conserv\u00e9es dans celui-ci que pour la dur\u00e9e de l\u2019\u00e9tat d\u2019urgence sanitaire\u00a0\u00bb<\/em>. Elle pr\u00e9cise cependant que celles-ci pourraient \u00eatre conserv\u00e9es si le d\u00e9cret d\u2019application de la loi sant\u00e9 \u00e0 venir le pr\u00e9voit. \u00c0 condition que celui-ci soit pris avant la fin de l\u2019\u00e9tat d\u2019urgence. La Cnil \u00ab\u00a0consid\u00e8re <\/em>[\u2026] que dans l\u2019hypoth\u00e8se o\u00f9 l\u2019adoption du cadre juridique de droit commun applicable \u00e0 la plateforme des donn\u00e9es n\u2019aurait pu \u00eatre finalis\u00e9 \u00e0 l\u2019issue de l\u2019\u00e9tat d\u2019urgence sanitaire, l\u2019ensemble des donn\u00e9es collect\u00e9es pendant cette p\u00e9riode devra \u00eatre d\u00e9truit\u00a0\u00bb<\/em>, indique l\u2019avis.<\/p>\n

\u00ab\u00a0En effet, les donn\u00e9es ne sont cens\u00e9es \u00eatre stock\u00e9es que durant la p\u00e9riode de l\u2019\u00e9tat d\u2019urgence sanitaire<\/em>, acquiesce St\u00e9phanie Combes. \u00c0 sa fin, elles devront \u00eatre d\u00e9truites, sauf si un autre texte pr\u00e9voit cette conservation lors de la mise en place finale du Health Data Hub.\u00a0\u00bb<\/em><\/p>\n

\u00ab\u00a0On a l\u2019impression que le big data est une r\u00e9ponse magique\u00a0\u00bb<\/strong><\/p>\n

Sur la forme, la Cnil ne cache pas son \u00e9tonnement de voir le gouvernement acc\u00e9l\u00e9rer \u00e0 ce point la mise en place du Health Data Hub, quitte \u00e0 donner l\u2019impression d\u2019un passage en force. En effet, non seulement le projet ne dispose pas encore de cadre juridique et technique, mais il faisait en outre actuellement l\u2019objet d\u2019\u00ab\u00a0un plan d\u2019action cons\u00e9quent de mise en \u0153uvre de mesures de s\u00e9curit\u00e9 s\u2019\u00e9talant sur une p\u00e9riode de plusieurs mois\u00a0\u00bb<\/em>. \u00ab\u00a0La Commission s\u2019interroge donc sur les conditions de d\u00e9marrage anticip\u00e9 de la solution technique dans un contexte o\u00f9 la plateforme de donn\u00e9es de sant\u00e9 a d\u00fb accomplir en quelques semaines des op\u00e9rations, dont certaines structurantes, pour garantir la s\u00e9curit\u00e9 des donn\u00e9es trait\u00e9es, \u00e9taient pr\u00e9vues pour s\u2019\u00e9taler sur plusieurs mois\u00a0\u00bb<\/em>, souligne l\u2019avis.<\/p>\n

\u00ab\u00a0Nous avions pr\u00e9vu de mettre en production au d\u00e9but du mois de juin. L\u2019arr\u00eat\u00e9 a \u00e9t\u00e9 pris fin avril. Cela ne fait que quelques semaines d\u2019avance<\/em>, plaide St\u00e9phanie Combes. De plus, nous continuons \u00e0 travailler avec la Commission. Ils \u00e9taient d\u2019ailleurs pr\u00e9sents \u00e0 notre derni\u00e8re r\u00e9union d\u2019homologation. Les \u00e9changes ne sont pas du tout rompus. Nous allons leur montrer ce que nous avons mis en place.\u00a0\u00bb<\/em><\/p>\n

Mais \u00e9tait-il vraiment n\u00e9cessaire d\u2019utiliser l\u2019\u00e9tat d\u2019urgence pour faire avancer le projet\u00a0? \u00ab\u00a0Nous attendons toujours le d\u00e9cret qui va inscrire le Health Data Hub dans notre syst\u00e8me sant\u00e9<\/em>, r\u00e9pond St\u00e9phanie Combes. Il doit fixer notamment son catalogue, la liste des bases de donn\u00e9es qui seront partageables. Pour \u00eatre totalement transparente, je peux vous dire qu\u2019actuellement, le Health Data Hub ne contient que les donn\u00e9es de la base OSCOUR de Sant\u00e9 publique France qui enregistre les passages aux urgences. De plus, les projets qui nous sont pr\u00e9sent\u00e9s doivent respecter toutes les proc\u00e9dures. Il ne peut y avoir d\u2019acc\u00e8s sans cadre clair. C\u2019est pour cela que nous avions besoin d\u2019un texte en attendant que ce d\u00e9cret soit pris.\u00a0\u00bb<\/em><\/p>\n

Il n\u2019en reste pas moins que le gouvernement va devoir composer avec les vives r\u00e9sistances que suscite ce projet et que cet arr\u00eat\u00e9\u00a0 et l\u2019avis de la Cnil\u00a0 ont raviv\u00e9es. D\u00e8s le 10 d\u00e9cembre, une tribune publi\u00e9e dans Le\u00a0Monde<\/em><\/a><\/u> et sign\u00e9e par plus d\u2019une centaine de personnes, dont de nombreux professionnels de la sant\u00e9, appelait \u00e0 \u00ab\u00a0garder la main sur les technologies employ\u00e9es\u00a0\u00bb<\/em> et \u00e0 \u00ab\u00a0emp\u00eacher la privatisation de la sant\u00e9\u00a0\u00bb<\/em> en favorisant des solutions alternatives comme le \u00ab\u00a0partage d\u2019algorithmes et de logiciels transparents et utiles aux patients\u00a0\u00bb<\/em>.<\/p>\n

Depuis la publication de l\u2019arr\u00eat\u00e9, le collectif Interhop<\/a><\/u>, compos\u00e9 de professionnels du secteur de la sant\u00e9 et de l’informatique m\u00e9dicale, a publi\u00e9 un nouvel appel. \u00ab\u00a0Contrairement \u00e0 l\u2019avis de nombreux acteurs \u2013 Commission national informatique et des libert\u00e9s, Ordre national des m\u00e9decins, Conseil national des barreaux, h\u00f4pitaux \u2013, le gouvernement fran\u00e7ais s\u2019appuie sur le g\u00e9ant am\u00e9ricain Microsoft pour stocker l\u2019ensemble des donn\u00e9es de sant\u00e9<\/em>, affirme-t-il. Nous appelons \u00e0 la constitution d\u2019un \u00e9cosyst\u00e8me universitaire, m\u00e9diatique, juridique, associatif et politique pour r\u00e9affirmer les valeurs d\u2019autonomie et des \u201ccommuns\u201d et, pour faire na\u00eetre un large d\u00e9bat de soci\u00e9t\u00e9.\u00a0\u00bb<\/em><\/p>\n

Les informations de la Cnil selon lesquelles les donn\u00e9es pourraient \u00eatre transf\u00e9r\u00e9es aux \u00c9tats-Unis par Microsoft, qui, de plus, disposerait des clefs permettant de d\u00e9chiffrer les donn\u00e9es, peuvent, si elles sont av\u00e9r\u00e9es, avoir un effet d\u00e9vastateur sur le projet comme en t\u00e9moigne cet appel, lanc\u00e9 par un m\u00e9decin marseillais.<\/p>\n

\u00ab\u00a0Je me souviens que, tr\u00e8s t\u00f4t, des responsables du Health Data Hub \u00e9taient venus nous pr\u00e9senter le projet au CNRS et la question de Microsoft avait \u00e9t\u00e9 l\u2019une des premi\u00e8res pos\u00e9es\u00a0\u00bb<\/em>, se rappelle Catherine Bourgain, chercheuse en g\u00e9n\u00e9tique humaine et sociologie des sciences \u00e0 l\u2019Institut national de la sant\u00e9 et de la recherche m\u00e9dicale (Inserm).<\/p>\n

\u00ab\u00a0Ce projet suscite beaucoup d\u2019oppositions et de freins<\/em>, poursuit la chercheuse. Les h\u00f4pitaux et les chercheurs trouvent exorbitant qu\u2019on leur demande de transf\u00e9rer des donn\u00e9es qu\u2019ils ont collect\u00e9es. J\u2019ai par exemple un coll\u00e8gue de l\u2019Inserm qui est responsable d\u2019une grosse cohorte avec qui je discutais de ce sujet et qui me disait qu\u2019il ne transf\u00e9rerait pas ses donn\u00e9es en m\u2019expliquant\u00a0: <\/em>\u201cSi nous transf\u00e9rons nos donn\u00e9es, c\u2019est \u00e9galement la responsabilit\u00e9 li\u00e9e \u00e0 ces donn\u00e9es que nous transf\u00e9rons.\u201d Quand un chercheur r\u00e9colte des donn\u00e9es, il y a un contrat moral, et parfois m\u00eame un contrat tout court, entre lui et la personne qu\u2019il interroge. S\u2019il perd la main sur ses donn\u00e9es, comment pourrait-il savoir l\u2019usage qui en sera fait\u00a0?\u00a0\u00bb<\/em><\/p>\n

Et les autorit\u00e9s auraient tort de sous-estimer le poids de ces r\u00e9sistances, estime Catherine Bourgain\u00a0: \u00ab\u00a0Il y a le texte et il y a ce qu\u2019en font les acteurs. Penser qu\u2019un arr\u00eat\u00e9 peut changer les pratiques du monde m\u00e9dical, c\u2019est ignorer \u00e0 quel point celui-ci est structur\u00e9 par des \u00e9lites, voire des baronnies, locales ou th\u00e9matiques, avec une culture tr\u00e8s forte de l\u2019opposition. C\u2019est un corps qui ne se laisse pas facilement dicter ce qu\u2019il doit faire.\u00a0\u00bb<\/em><\/p>\n

La chercheuse, elle-m\u00eame, est sceptique sur l\u2019utilit\u00e9 r\u00e9elle du Health Data Hub. \u00ab\u00a0Il y a une sorte de croyance dans les capacit\u00e9s des traitements algorithmiques<\/em>, estime-t-elle. Le pari, c\u2019est qu\u2019on va pouvoir croiser des donn\u00e9es avec un niveau de quantit\u00e9 tr\u00e8s important, m\u00eame si elles ne sont pas de bonne qualit\u00e9, pour obtenir quelque chose. Mais beaucoup de sp\u00e9cialistes sont tr\u00e8s sceptiques sur cette approche. On a l\u2019impression que le big data est une r\u00e9ponse magique \u00e0 tous les probl\u00e8mes, permettant de compenser la qualit\u00e9 par la quantit\u00e9. Mais cela rel\u00e8ve surtout d\u2019un rapport \u00e0 la construction du savoir tr\u00e8s d\u00e9plac\u00e9 car ne prenant pas en compte la valeur individuelle des donn\u00e9es.\u00a0\u00bb<\/em><\/p>\n

St\u00e9phanie Combes, de son c\u00f4t\u00e9, reste optimiste. \u00ab\u00a0Les gens du collectif Interhop ne repr\u00e9sentent pas tout le monde hospitalier<\/em>, attaque-t-elle. J\u2019ai encore eu aujourd\u2019hui des r\u00e9unions avec les initiateurs de trois projets port\u00e9s par des \u00e9tablissements hospitaliers de l\u2019Est et du Grand-Ouest. Le Health Data Hub ne va pas remplacer les initiatives locales. Nous sommes l\u00e0 pour les favoriser, les aider notamment financi\u00e8rement en leur proposant des partenariats, car nous avons des financements pr\u00e9vus pour cela. Je suis certaine que les premiers projets vont servir d\u2019exemple et vont r\u00e9ussir \u00e0 convaincre les autres de suivre.\u00a0\u00bb<\/em><\/p>\n

Contact\u00e9e par Mediapart, la Cnil n\u2019a pas souhait\u00e9 r\u00e9pondre \u00e0 nos questions. Mais elle pr\u00e9cise qu\u2019elle reviendra \u00ab\u00a0tr\u00e8s prochainement\u00a0\u00bb<\/em> sur le sujet. Selon nos informations, un avis non sollicit\u00e9 par le gouvernement et ne concernant pas le d\u00e9cret doit \u00eatre adopt\u00e9 jeudi prochain. Parall\u00e8lement, St\u00e9phanie Combes sera auditionn\u00e9e le m\u00eame jour par la Commission. L\u2019occasion de dissiper les malentendus ou de mettre les points sur les \u00ab\u00a0i\u00a0\u00bb.<\/p>\n","protected":false},"excerpt":{"rendered":"

Il est question d\u2019un possible transfert de nos donn\u00e9es de sant\u00e9 aux Etats-Unis<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"class_list":["post-7490","post","type-post","status-publish","format-standard","hentry","category-non-classe"],"_links":{"self":[{"href":"https:\/\/www.quieryavenir.fr\/blog\/wp-json\/wp\/v2\/posts\/7490","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.quieryavenir.fr\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.quieryavenir.fr\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.quieryavenir.fr\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.quieryavenir.fr\/blog\/wp-json\/wp\/v2\/comments?post=7490"}],"version-history":[{"count":1,"href":"https:\/\/www.quieryavenir.fr\/blog\/wp-json\/wp\/v2\/posts\/7490\/revisions"}],"predecessor-version":[{"id":7491,"href":"https:\/\/www.quieryavenir.fr\/blog\/wp-json\/wp\/v2\/posts\/7490\/revisions\/7491"}],"wp:attachment":[{"href":"https:\/\/www.quieryavenir.fr\/blog\/wp-json\/wp\/v2\/media?parent=7490"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.quieryavenir.fr\/blog\/wp-json\/wp\/v2\/categories?post=7490"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.quieryavenir.fr\/blog\/wp-json\/wp\/v2\/tags?post=7490"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}