La Cnil s’inquiète d’un possible transfert de nos données de santé aux Etats-Unis
▻https://www.mediapart.fr/journal/france/080520/la-cnil-s-inquiete-d-un-possible-transfert-de-nos-donnees-de-sante-aux-eta
Au nom de l’état d’urgence, le gouvernement a accéléré la mise en place du Health Data Hub, une plateforme devant centraliser la quasi-totalité de nos données de santé. Dans un avis, la Cnil relève, notamment, que le contrat « mentionne l’existence de transferts de données en dehors de l’Union européenne ». La directrice du projet, Stéphanie Combes, dément.
Tandis que tous les yeux sont rivés sur les débats autour de l’application #StopCovid et du dispositif de fichage envisagé dans le cadre des enquêtes épidémiologiques de suivi des personnes infectées, le gouvernement a autorisé, au nom de l’état d’urgence sanitaire, le déploiement anticipé du Health Data Hub, la plateforme devant centraliser l’ensemble de nos données de santé, hébergées par et, s’inquiète la Commission nationale de l’informatique et des libertés (#Cnil), potentiellement transférables aux États-Unis.
Alors que le projet était encore en cours de déploiement, et que tous les textes d’applications ne sont pas encore prêts, le gouvernement a pris le 21 avril dernier, au nom de l’état d’urgence sanitaire, un arrêté modifiant celui du 23 mars sur l’organisation du système de santé durant l’épidémie. Il autorise le Health Data Hub, ainsi que la Caisse nationale de l’assurance-maladie (Cnam), à collecter, « aux seules fins de faciliter l’utilisation des données de santé pour les besoins de la gestion de l’urgence sanitaire et de l’amélioration des connaissances sur le virus Covid-19 », un nombre considérable de données.
Seront ainsi intégrées à la plateforme les données du Système national des données de santé (SNDS) qui regroupe lui-même les principales bases de données de santé publique, les « données de pharmacie », les « données de prise en charge en ville telles que des diagnostics ou des données déclaratives de symptômes issues d’applications mobiles de santé et d’outils de télésuivi, télésurveillance ou télémédecine », les données des laboratoires, celles des services d’urgence, « des enquêtes réalisées auprès des personnes pour évaluer leur vécu » ou encore celles issues du pourtant contesté SI-VIC, le système de suivi des victimes lors de catastrophes sanitaires qui, au mois d’avril dernier, avait été utilisé pour ficher des gilets jaunes.
Le Health Data Hub récupérera aussi des données issues des enquêtes épidémiologiques instaurées par la loi de prolongation de l’état d’urgence sanitaire, dont celles du Système d’information national de dépistage populationnel (SIDEP), un fichier spécialement créé pour centraliser les résultats d’analyses des laboratoires. Comme l’explique un document du ministère de la santé que Mediapart a pu consulter, l’un des buts du SIDEP sera en effet de « permettre un réutilisation des données homogènes et de qualité pour la recherche ». « Dans le cadre du Health Data Hub », cette réutilisation se fera « avec un chaînage avec les autres données du SNDS ».
Ce fichier « va aider à l’identification des cas car il permet d’avoir une visibilité sur les nombreux cas de contamination testés en dehors de l’hôpital », explique à Mediapart la directrice du Health Data Hub Stéphanie Combes. « Les données seront pseudonymisées », assure-t-elle.
Autre ajout au Health Data Hub, l’arrêté prévoit une « remontée hebdomadaire » des données du programme de médicalisation des systèmes d’information (PMSI), qui comptabilise les actes médicaux facturés par les hôpitaux dans un but de gestion économique et administrative des établissements. « C’est essentiellement un fichier économique et qui peut avoir ses limites en fonction des usages, détaille Stéphanie Combes. Mais il comporte beaucoup d’informations intéressantes. Il comprend des codes qui permettent de déterminer chaque acte médical, et donc par exemple de savoir si le patient a été en réanimation. Croisées aux données de l’Assurance-maladie, elles permettront par exemple d’évaluer la comorbidité ou les facteurs de risque. »
À quoi servira une telle concentration de données ? « Les outils numériques peuvent être une aide à la gestion de cette crise sanitaire », assure Stéphanie Combes, qui donne quelques exemples. « Il y a tout d’abord des outils d’aide à la modélisation de l’évolution de l’épidémie, en analysant notamment les passages aux urgences. On pourra également plus facilement évaluer l’efficacité des traitements grâce à ce qu’on appelle des “essais virtuels”, les “données de vie réelle” qui, croisées avec les données pathologiques, permettront de comprendre dans quels cas le virus se développe et donc de mieux suivre les patients à risque. Même si pour l’instant il est un peu trop tôt, on pourra analyser les parcours de soin des personnes ayant été contaminées. Enfin, à plus long terme, ces données permettront d’étudier les conséquences plus générales de cette crise, au-delà du virus lui-même. Je pense par exemple aux conséquences du confinement sur notre système de santé qui a entraîné le report de nombreux actes médicaux. On pourra mieux prévoir et organiser la reprogrammation de ces actes. »
Pourtant, la publication de cet arrêté accélérant la mise en place du Health Data Hub n’est pas du goût de tout le monde. Lancé au printemps 2018 par Emmanuel Macron dans la foulée du rapport Villani sur l’intelligence artificielle, ce projet est en effet vivement contesté en raison des craintes relatives à la protection de la vie privée des usagers et faisait actuellement l’objet de discussions visant à apaiser les tensions.
Le Health Data Hub avait été acté par la loi santé du 24 juillet 2019. Son but est de remplacer l’actuel SNDS qui centralise déjà les principaux fichiers de santé, dont celui de l’Assurance-maladie, tout en élargissant considérablement sa portée. À terme, toute donnée collectée dans le cadre d’un acte remboursé par l’Assurance-maladie sera centralisée dans le Health Data Hub, des données des hôpitaux à celles du dossier médical partagé ou celles des logiciels professionnels utilisés par les médecins et les pharmaciens.
Cette concentration sans précédent de données de santé avait suscité immédiatement de vives inquiétudes, notamment de la Commission nationale de l’informatique et des libertés (Cnil). Dans un avis rendu sur la loi santé, elle soulignait qu’« au-delà d’un simple élargissement, cette évolution change la dimension même du SNDS, qui viserait à contenir ainsi l’ensemble des données médicales donnant lieu à remboursement ». La commission appelait « dès maintenant l’attention sur la problématique majeure du respect, en pratique, des principes de limitation des finalités et de minimisation des données par ces nouveaux traitements, évoluant dans un contexte d’accumulation de données pour alimenter les algorithmes d’intelligence artificielle ».
De plus, le Health Data Hub est géré par un groupement d’intérêt public (GIP) chargé d’administrer l’ouverture des données à des acteurs extérieurs. Or, comme le soulignait la Cnil, la loi santé a également modifié les textes régissant ces accès afin de permettre leur utilisation par des acteurs privés. Jusqu’alors, les données personnelles de santé ne pouvaient être soumises à un traitement informatique que dans le cadre de « l’accomplissement des missions des services de l’État » ou « à des fins de recherche, d’étude ou d’évaluation » et « répondant à un motif d’intérêt public ». La loi santé a fait disparaître toute référence à une finalité scientifique pour ne conserver que le « motif d’intérêt public ».
Enfin, et sans doute s’agit-il du point le plus bloquant, l’ensemble de ces données sera hébergé par le géant américain Microsoft.
Comme le racontait Mediapart, ce projet était confronté à une fronde de plusieurs acteurs du monde médical. Les hôpitaux, notamment, possèdent déjà leurs propres bases de données, stockées dans des « entrepôts », qu’ils exploitent déjà par eux-mêmes. Beaucoup acceptent mal cette obligation de transférer, sans contrepartie, ce véritable patrimoine numérique, qui plus est pour que celui-ci soit centralisé à l’extrême et confié à un acteur soumis à la loi américaine qui peut, en théorie, le contraindre à offrir un accès à ces données aux autorités. Ces craintes avaient été notamment exprimées dans un courrier envoyé par le directeur de l’AP-HP Martin Hirsch au ministère de la santé et que Mediapart avait pu consulter.
De plus, l’attribution de l’hébergement à Microsoft s’était faite sans appel d’offres, provoquant ainsi la colère d’autres acteurs du numérique français. Au mois de mars dernier, plusieurs d’entre eux avaient écrit au ministère de la santé pour dénoncer un délit de « favoritisme » et demander l’ouverture d’une enquête.
Dans ce contexte particulièrement tendu, le déploiement du Health Data Hub devait se faire de manière progressive. La loi santé ne faisait que fixer les grands principes de la plateforme. De nombreux points, notamment son architecture, devaient être tranchés en collaboration avec la Cnil et l’Agence nationale de sécurité des systèmes d’informations (Anssi) avant de faire l’objet d’un décret qui n’a toujours pas été pris. Interrogé par Mediapart au mois de novembre, Thomas Dautieu, directeur de la conformité à la Cnil, se voulait pourtant rassurant. « La sécurité informatique est un sujet dont l’importance est bien prise en compte, nous expliquait-il. Nous avons des échanges réguliers et nous travaillons avec le ministère et avec l’Anssi sur ces questions. Il y a également la question des droits des personnes. C’est un aspect important. Nous avions demandé que les missions de la future plateforme incluent la protection des droits des patients, ce qui a été accepté. »
Stéphanie Combes renvoie à « la page 11 du contrat »
La mise en place accélérée du Health Data Hub est donc vue par beaucoup comme un passage en force. Et du côté de la Cnil, le ton s’est visiblement durci. Jeudi 23 avril, la commission a rendu un avis pointant de nombreuses inquiétudes, et dévoilant au passage quelques nouvelles informations sur le projet.
La plus importante est sans doute que, contrairement à ce qui était jusqu’alors affirmé, des données confiées à Microsoft pourront bien être transférées aux États-Unis dans certains cas. Jusqu’à présent, les données devaient être stockées dans des serveurs gérés par le géant américain, mais localisés dans l’Union européenne. Selon la Cnil, qui a pu consulter le contrat liant le Health Data Hub à Microsoft, celui-ci prévoit bien une localisation par défaut des données au sein de l’UE. En revanche, « cette localisation ne s’applique qu’aux données “au repos”, alors même que le contrat mentionne l’existence de transferts de données en dehors de l’Union européenne dans le cadre du fonctionnement courant de la plateforme, notamment pour les opérations de maintenance ou de résolution d’incident ».
La Cnil poursuit en soulignant que la législation américaine permet aux autorités de contraindre les entreprises à leur fournir leurs données. Elle rappelle « les inquiétudes […] concernant l’accès par les autorités des États-Unis aux données transférées aux États-Unis, plus particulièrement la collecte et l’accès aux données personnelles à des fins de sécurité nationale », notamment dans le cadre de la loi FISA. Elle rappelle que cette question fait d’ailleurs l’objet actuellement d’une procédure « soumises à la Cour de justice de l’Union européenne » et qu’« un arrêt de la Cour dans cette affaire est attendu dans les mois qui viennent ».
Interrogée sur ce point, Stéphanie Combes dément pourtant les affirmations de la Cnil. « Nous ne sommes pas alignés sur cette phrase de l’avis. Le contrat prévoit en effet que des données peuvent être transférées par l’hébergeur dans certains cas, sauf indication contraire. Or, nous avons bien spécifié que les données ne devaient pas sortir du territoire français », explique-t-elle. La Cnil aurait-elle alors mal lu le contrat ? « Je ne dis pas ça. Mais je trouve que les faits sont un peu détournés. En tout cas, nous avons bien indiqué que les données ne pourront pas être transférées. Je peux même vous dire que c’est à la page 11 du contrat. »
Peut-être encore plus inquiétant, la Cnil affirme que, même si les données stockées seront bien chiffrées « avec des algorithmes à l’état de l’art à partir de clés générées par les responsables de la plateforme sur un boîtier chiffrant maîtrisé par la plateforme des données de santé », les clefs de déchiffrement seront envoyées à Microsoft. « Elles seront conservées par l’hébergeur au sein d’un boîtier chiffrant, ce qui a pour conséquence de permettre techniquement à ce dernier d’accéder aux données », pointe l’avis de la commission.
Elle s’inquiète également d’un manque d’encadrement des procédures d’accès des administrateurs de la plateforme. Dans l’étude d’impact du projet, « une fonctionnalité d’autorisation préalable des accès administrateurs » était bien prévue. Mais « la Commission relève que cette fonctionnalité ne semble pas mentionnée dans les contrats fournis. En outre, la Commission s’interroge sur l’effectivité de cette mesure qui ne semble pas couvrir la totalité des accès possibles ».
Sur ce point, Stéphanie Combes explique qu’en effet les clefs de chiffrements des données seront générées par un « HSM » (Hardware Security Module), un « coffre-fort numérique » et envoyées à la plateforme ainsi qu’à Microsoft. Mais ces clefs « sont utilisées de manière automatique sans intervention humaine ».
Concernant les accès des administrateurs, la directrice du Health Data Hub explique « qu’il peut y avoir un accès des administrateurs à certaines conditions. Mais pas n’importe lesquelles. Nous contrôlons ces accès et nous nous sommes engagés à refuser toute demande qui ne serait pas légitime. Nous avons totalement sécurisé cet aspect-là », assure-t-elle.
La Commission remet en cause un autre engagement du Health Data Hub : les données mises à la disposition des porteurs de projets ne devaient pouvoir être utilisées qu’au sein de la plateforme, sans pouvoir les exporter. Si ce principe est maintenu, la Cnil s’interroge désormais dans son avis « sur l’effectivité du blocage de toute possibilité d’exportation » et semble indiquer que celle-ci sera en réalité possible dans certains cas. « En conséquence la Commission appelle le ministère à indiquer explicitement que toutes les fonctionnalités d’exportation des données seront totalement désactivées et inaccessibles aux utilisateurs », recommande l’avis.
Sur ce point également, Stéphanie Combes dément. « Dans la plateforme, des contrôles tant techniques qu’organisationnels ont été mis en place pour garantir l’impossibilité d’exporter des données brutes. Seuls les résultats des recherches peuvent être exportés après contrôles. Je n’explique pas pourquoi la Cnil exprime des doutes à ce sujet car ce fonctionnement a été présenté dans nos séances de travaux communs et semblait leur convenir », explique-t-elle.
La directrice du Health Data Hub et la commission sont en revanche d’accord sur un point : la durée de conservation des données. Dans son avis, la Cnil pointe en effet que « le projet ne mentionne pas de durée de conservation précise, s’agissant des données contenues dans l’entrepôt ». Elle « en déduit que les données ne devront être conservées dans celui-ci que pour la durée de l’état d’urgence sanitaire ». Elle précise cependant que celles-ci pourraient être conservées si le décret d’application de la loi santé à venir le prévoit. À condition que celui-ci soit pris avant la fin de l’état d’urgence. La Cnil « considère […] que dans l’hypothèse où l’adoption du cadre juridique de droit commun applicable à la plateforme des données n’aurait pu être finalisé à l’issue de l’état d’urgence sanitaire, l’ensemble des données collectées pendant cette période devra être détruit », indique l’avis.
« En effet, les données ne sont censées être stockées que durant la période de l’état d’urgence sanitaire, acquiesce Stéphanie Combes. À sa fin, elles devront être détruites, sauf si un autre texte prévoit cette conservation lors de la mise en place finale du Health Data Hub. »
« On a l’impression que le big data est une réponse magique »
Sur la forme, la Cnil ne cache pas son étonnement de voir le gouvernement accélérer à ce point la mise en place du Health Data Hub, quitte à donner l’impression d’un passage en force. En effet, non seulement le projet ne dispose pas encore de cadre juridique et technique, mais il faisait en outre actuellement l’objet d’« un plan d’action conséquent de mise en œuvre de mesures de sécurité s’étalant sur une période de plusieurs mois ». « La Commission s’interroge donc sur les conditions de démarrage anticipé de la solution technique dans un contexte où la plateforme de données de santé a dû accomplir en quelques semaines des opérations, dont certaines structurantes, pour garantir la sécurité des données traitées, étaient prévues pour s’étaler sur plusieurs mois », souligne l’avis.
« Nous avions prévu de mettre en production au début du mois de juin. L’arrêté a été pris fin avril. Cela ne fait que quelques semaines d’avance, plaide Stéphanie Combes. De plus, nous continuons à travailler avec la Commission. Ils étaient d’ailleurs présents à notre dernière réunion d’homologation. Les échanges ne sont pas du tout rompus. Nous allons leur montrer ce que nous avons mis en place. »
Mais était-il vraiment nécessaire d’utiliser l’état d’urgence pour faire avancer le projet ? « Nous attendons toujours le décret qui va inscrire le Health Data Hub dans notre système santé, répond Stéphanie Combes. Il doit fixer notamment son catalogue, la liste des bases de données qui seront partageables. Pour être totalement transparente, je peux vous dire qu’actuellement, le Health Data Hub ne contient que les données de la base OSCOUR de Santé publique France qui enregistre les passages aux urgences. De plus, les projets qui nous sont présentés doivent respecter toutes les procédures. Il ne peut y avoir d’accès sans cadre clair. C’est pour cela que nous avions besoin d’un texte en attendant que ce décret soit pris. »
Il n’en reste pas moins que le gouvernement va devoir composer avec les vives résistances que suscite ce projet et que cet arrêté et l’avis de la Cnil ont ravivées. Dès le 10 décembre, une tribune publiée dans Le Monde et signée par plus d’une centaine de personnes, dont de nombreux professionnels de la santé, appelait à « garder la main sur les technologies employées » et à « empêcher la privatisation de la santé » en favorisant des solutions alternatives comme le « partage d’algorithmes et de logiciels transparents et utiles aux patients ».
Depuis la publication de l’arrêté, le collectif Interhop, composé de professionnels du secteur de la santé et de l’informatique médicale, a publié un nouvel appel. « Contrairement à l’avis de nombreux acteurs – Commission national informatique et des libertés, Ordre national des médecins, Conseil national des barreaux, hôpitaux –, le gouvernement français s’appuie sur le géant américain Microsoft pour stocker l’ensemble des données de santé, affirme-t-il. Nous appelons à la constitution d’un écosystème universitaire, médiatique, juridique, associatif et politique pour réaffirmer les valeurs d’autonomie et des “communs” et, pour faire naître un large débat de société. »
Les informations de la Cnil selon lesquelles les données pourraient être transférées aux États-Unis par Microsoft, qui, de plus, disposerait des clefs permettant de déchiffrer les données, peuvent, si elles sont avérées, avoir un effet dévastateur sur le projet comme en témoigne cet appel, lancé par un médecin marseillais.
« Je me souviens que, très tôt, des responsables du Health Data Hub étaient venus nous présenter le projet au CNRS et la question de Microsoft avait été l’une des premières posées », se rappelle Catherine Bourgain, chercheuse en génétique humaine et sociologie des sciences à l’Institut national de la santé et de la recherche médicale (Inserm).
« Ce projet suscite beaucoup d’oppositions et de freins, poursuit la chercheuse. Les hôpitaux et les chercheurs trouvent exorbitant qu’on leur demande de transférer des données qu’ils ont collectées. J’ai par exemple un collègue de l’Inserm qui est responsable d’une grosse cohorte avec qui je discutais de ce sujet et qui me disait qu’il ne transférerait pas ses données en m’expliquant : “Si nous transférons nos données, c’est également la responsabilité liée à ces données que nous transférons.” Quand un chercheur récolte des données, il y a un contrat moral, et parfois même un contrat tout court, entre lui et la personne qu’il interroge. S’il perd la main sur ses données, comment pourrait-il savoir l’usage qui en sera fait ? »
Et les autorités auraient tort de sous-estimer le poids de ces résistances, estime Catherine Bourgain : « Il y a le texte et il y a ce qu’en font les acteurs. Penser qu’un arrêté peut changer les pratiques du monde médical, c’est ignorer à quel point celui-ci est structuré par des élites, voire des baronnies, locales ou thématiques, avec une culture très forte de l’opposition. C’est un corps qui ne se laisse pas facilement dicter ce qu’il doit faire. »
La chercheuse, elle-même, est sceptique sur l’utilité réelle du Health Data Hub. « Il y a une sorte de croyance dans les capacités des traitements algorithmiques, estime-t-elle. Le pari, c’est qu’on va pouvoir croiser des données avec un niveau de quantité très important, même si elles ne sont pas de bonne qualité, pour obtenir quelque chose. Mais beaucoup de spécialistes sont très sceptiques sur cette approche. On a l’impression que le big data est une réponse magique à tous les problèmes, permettant de compenser la qualité par la quantité. Mais cela relève surtout d’un rapport à la construction du savoir très déplacé car ne prenant pas en compte la valeur individuelle des données. »
Stéphanie Combes, de son côté, reste optimiste. « Les gens du collectif Interhop ne représentent pas tout le monde hospitalier, attaque-t-elle. J’ai encore eu aujourd’hui des réunions avec les initiateurs de trois projets portés par des établissements hospitaliers de l’Est et du Grand-Ouest. Le Health Data Hub ne va pas remplacer les initiatives locales. Nous sommes là pour les favoriser, les aider notamment financièrement en leur proposant des partenariats, car nous avons des financements prévus pour cela. Je suis certaine que les premiers projets vont servir d’exemple et vont réussir à convaincre les autres de suivre. »
Contactée par Mediapart, la Cnil n’a pas souhaité répondre à nos questions. Mais elle précise qu’elle reviendra « très prochainement » sur le sujet. Selon nos informations, un avis non sollicité par le gouvernement et ne concernant pas le décret doit être adopté jeudi prochain. Parallèlement, Stéphanie Combes sera auditionnée le même jour par la Commission. L’occasion de dissiper les malentendus ou de mettre les points sur les « i ».
#santé #données_personnelles #big_data #big_pognon #épidémie #traçage