Partie 2 : Health Data Hub et protection des données personnelles, la sauvegarde d'une ambition française.

 

©Aphp.fr "Big-data", 2020

Mis en service en décembre 2019, le Health Data Hub est un projet de stockage unifié des données médicales et administratives de tous les assurés sociaux en France. Il s'agit de "Recourir au numérique pour mieux soigner" et pour cela  de donner aux chercheurs l'accès à un pool inédit de data. Prévu dans le cadre du projet de loi "Ma Santé 2022" de transition au numérique, les objectifs présentés par Emmanuel Macron dans le "Discours du Président de la République sur l'intelligence artificielle" au Collège de France en 2018[1], ont permis à la France de devenir une pionnière dans ce domaine, une position qu'il s'agit maintenant de tenir.

Le programme du Health Data Hub est exposé au Sénat en février 2019. Le député Cédric Villani et le sénateur Gérard Longuet [2] le présentent dans un rapport intitulé "l'intelligence artificielle et les données de santé". Le but de la transition numérique des services administratifs de santé est leur évolution vers un nouveau modèle technique. Deux ans plus tard, l'objectif pratique est déjà en partie atteint : le machine-learning assiste bel et bien le chercheur dans le traitement d'un capital de données pour y déceler des signaux fins, sinon ignorés [3].

L'expérience acquise par le Health Data Hub fait par ailleurs œuvre de référence. La plateforme française est  reconnue à l'échelle européenne pour son fonctionnement et ses travaux. Le 11 juin 2020, le Health Data Hub a été nommé autorité compétente pour contribuer à l'élaboration du "European Health Data Space", et a fournir à ses recommandations à la Commission européenne [4(26)]. Le 1 février 2021, le Health Data Hub a annoncé dans un communiqué le lancement du TEHDaS qui sera désormais un "espace européen des données de santé"[5], son nom signifie Towards the European Health  DAta Space.

Il faut cependant noter que le Health Data Hub fait également face à de nombreuses interrogations liées aux risques que présente l'hébergement de données à caractère personnel. C'est Microsoft qui, jusqu'à présent, a fourni ses outils aux Health Data Hub. Or, Microsoft est une entreprise privée américaine, ce qui est  problématique. La Cour de justice de l'union européenne a invalidé, le 16 juillet 2020, un accord avec les Etats-unis, le "Privacy Shield" ou "Bouclier de protection des données"[6]. Celui-ci empêchait tout transfert de data vers les Etats Unis. En 2018, la loi fédérale américaine a elle même évolué dans ce sens avec le "CLOUD act" qui permet un accès sans restriction aux données de puissances étrangères clientes d'entreprises américaines. 

En plus de cette question globale sur la souveraineté de l'accès aux données françaises, s'ajoute une échelle fine sur la protection de l'identité des individus représentés dans les data de la plateforme. Dès son lancement en 2019, la Commission Nationale Informatique et Liberté (la CNIL)[7] et le Conseil National de l'Ordre de Médecins [8] ont alerté à ce sujet. Le Sénat répond : les données hébergées ne peuvent pas être totalement anonymisées[9].

La raison est explicitée par Interhop une association technico-juridique dans une analyse détaillée : pour être accessibles et manipulables les données subissent un chiffrement au moment de la requête [10]. Ce chiffrement n'est pas très fort car les clefs peuvent être retrouvées facilement dans le cache des serveurs. La pseudonymisation est elle aussi limitée et la récupération d’identités facile à effectuer, comme l'ont démontré par l'expérience deux chercheur en juillet 2015[11].

A l'heure des projets européens le Health Data Hub garde le rôle de leader dans le domaine. Cependant les garanties sur la protection des données et des individus reste au centre du paysage de cette évolution technologique. Les évolutions réglementaires et techniques sont à poursuivre.

Références:

[1]M. le Président de la République, Emmanuel Macron. Discours du Président de la république sur l'intelligence artificielle. elysee.fr Publié le 29/03/2020 [En ligne] Disponible à l'adresse: <https://elysee.fr/emmanuel-macron/20218/03/29/discours-du-president-de-la-republique-sur--lintelligence-artificielle>

[2] LONGUET, Gérard ; VILLANI,Cédric. Rapport n°401 (2018-2019) "Sur l'intelligence artificielle et les données de santé".senat.fr Déposé le 21 mars 2019 [En ligne]. Disponible à l'adresse:<http://www.senat.fr/rap/r18-401/r18-401.html>

[3] Health Data Hub : page "tous les projets " : https://www.health-data-hub.fr/projets

[4] Health Data Hub. Kick-off officiel de l'action conjointe "espace européen des données de santé". <https://www.health-data-hub.fr/actualites/kick-officiel-de-laction-conjointe-espace-europeen-des-donnees-de-sante>

[5] Commission Européenne Santé en ligne : "Espace européen des données de santé"ec.europa.eu Publié le 18/11/2020 [En ligne] Disponible à l'adresse : <https://ec.europa.eu/health/ehealth/dataspace_fr>

[6] Cour de Justice de l'Union Européenne. C-311/18 The Court of Justice Invalidates Decision 2016/1250 on the adequacy of the protection provided by the EU-US Data Protection Shield. curia.europa.eu Publié le 16/07/2020 [Téléchargement] Diponible à l'adresse : <https://tinyurl.com/curia-c31118>

[7]CNIL Plateforme des données de santé : le Conseil d'Etat confie à la CNIL la mission d'expertiser la robustesse des mesures de pseudonymisation. cnil.fr Publié le 19/06/2020 [En ligne]Disponible à l'adresse :<https://www.cnil.fr/fr/plateforme-des-donnees-de-sante-le-conseil-detat-confie-la-cnil-la-mission-dexpertiser-la-robustesse>

[8]Conseil National de l'Ordre des Médecins. Le Health Data Hub. conseil-national.medecin.fr Publié le 16/05/2019 [En ligne]. Consulté le 16/10/2020. Disponible à l'adresse : <https://www.conseil-national.medecin.fr/lordre-medecins/conseil-national-lordre/sante/donnees-personnelles-sante/health-data-hub>

[9]JO Sénat Q.n°14130 de Claude Reynal.Modalités de stockage du "health data hub". senat.fr Publié le 13/02/2020.[En ligne] Disponible à l'adresse : <http://senat.fr/questions/base/2020/qSEQ200114130.html>

[10]InterHop. Pourquoi le Health Data Hub travestit la réalité sur le chiffrement des données de santé sur Microsoft Azure. interhop.org Publié le 15/06/2020.  <https://interhop.org/2020/06/15/healthdatahub-travestit-le-chiffrement-des-donnees> 

[11]Controverses Mines ParisTech Ouverture des données de santé : Anonymisation ou pseudonymisation des données de santé. <https://controverses.minesparis.psl.eu/public/promo16/promo16_G13/www.controverses-minesparistech-3.fr/_groupe13/anonymisation-ou-pseudonymisation-des-donnees-de-sante/index.html>

Partie 1 : Levée de Bouclier face à l'hébergement par Microsoft du Health Data Hub

 

©Copyright, Accessnow.org, 201

Mis en service le 2 décembre 2019, le Health Data Hub (HDH) est la nouvelle plateforme numérique des données médico-administratives françaises. Le 16 juillet 2020, un accord de confiance entre l'Union européenne et les États-Unis est révoqué, le "Privacy Shield" ou "bouclier de protection des données". Or, le Health Data Hub, est hébergé par Microsoft, une entreprise américaine soumise au droit fédéral des États-Unis. A la suite de cette décision,  la place de Microsoft est en question, l'interrogation sur la sécurité des données demeure et une clarification s'impose.

Le  14 octobre 2020, Conseil d’État appelé à juger sur le maintient du Health Data Hub, notait que "la Plateforme des données de santé et Microsoft se sont engagés, par contrat, à refuser tout transfert de données de santé en dehors de l'Union européenne"[1]. Le Conseil d’État a alors suggéré qu'en l'absence "d'illégalité grave et manifeste qui justifierait une suspension immédiate de la plateforme", Microsoft reste en charge de l’hébergement du Health Data Hub. Il rajoute pourtant que cela sera : "dans l'attente d'une solution qui permettra d'éliminer tout risque d'accès aux données personnelles par les autorités américaines."

Le risque de transfert des données vers les États-Unis n'est pas un élément nouveau à la connaissance des pouvoirs publics. La loi américaine en question, le "CLOUD Act" date de mars 2018[2]. Cette loi, "Clarifying Lawful Overseas Use of Data", donne la capacité au gouvernement fédéral  d'accéder aux données des clients de toute entreprise américaine. Elle est conçue comme une loi anti-terrorisme et anti-corruption visant à garantir la sécurité de l’État américain.  Nouveau jalon, elle vient s’inscrire en filiation intellectuelle deux lois qui la précèdent. La première, le Foreign Corrupt Practice Act de 1977, qui autorise le gouvernement américain à avoir accès aux données commerciales des entreprises américaines sur son territoire et à l'étranger [3]. La seconde, est le USA Patriot Act du 26 octobre 2001, une réponse immédiate aux attentats du World Trade Center. Celle-ci autorise le gouvernement fédéral américain à utiliser tous les outils jugés appropriés pour avoir accès aux données d'une personne privée ou morale, qu'elle se trouve sur le territoire américain ou non [4].

Coté européen, le Privacy Shield date, lui, du 12 juillet 2016 et définit les conditions de transferts des états membres de l'Union européenne vers des états tiers [5]. L'article 25 de ce décret pose les bases de ces échanges de données. Il y est établit que l'état tiers devra pouvoir garantir la protection des données et des droits de l'individu citoyen des état membres de l'Union. Mais aussi que ces échanges de données se feront dans le respect des lois commerciales et nationales en vigueur dans ce pays tiers. Dans cette même section, il est rappelé la décision 2000/520/CE ou "Safe Harbour Privacy Principles" [6] qui doit garantir un "niveau adéquat de protection pour les données personnelles transférées à partir de l'Union européenne à destination d'organisations établies aux États-Unis" [traduit de l'anglais]. 

Ces éléments définissent les contraintes sur les entreprises étrangères américaines et leurs obligations vis-à-vis de l'Union européenne. Pour comprendre la décision de la CJUE, quatre ans plus tard, il est important de savoir qu'elle est la conséquence des "Affaires Schems I & II" [7]. En 2011, Maximilien Schrems, un militant-activiste autrichien, demande à Facebook l'accès à ses données personnelles . Il se rend alors compte que l'utilisation qui en est faite dépasse le cadre prévu par la réglementation européenne : les données qu'il a supprimées ont été conservées par l'entreprise américaine, ici située en Irlande. Leur transfert vers les États-Unis n'est pas exclu. C'est pour cela qu'il déposera un plainte et poursuivra ensuite son action jusqu'à l'audience du 25 mars 2015 à la Cour de Justice de l'Union Européenne (CJUE), qui décidera de l'invalidation du Safe Harbour. La décision de la CJUE en juillet 2020 est le deuxième volet de l'affaire Schrems, qui conduit à l'invalidation du Privacy Shield :le dispositif qui devait suppléer au Safe Harbour. Pour l'Union européenne, ce sont les manquements à la protection des données privées qui ont conduit à cette décision.

Le Health Data Hub est donc soumis à ces tensions juridiques internationales puisqu'il est hébergé par une entreprise américaine. Microsoft présente ses engagements vis-à-vis de la gestion des données de leurs clients dans une section de leur documentation intitulée "Data Law" [11]. Il y est précisé que Microsoft ne communique pas directement avec les instances gouvernementales américaines ou des pays où ses filiales sont implantées. Microsoft mentionne plus bas  "nous fournissons les données utilisateur que lorsque nous recevons une ordonnance exécutoire ou une assignation."[traduit de l'anglais], ce qui constitue peut-être la limite de la protection légale que l'entreprise peut s'engager à offrir.

Ces dispositions prises en réaction aux risques d'application du CLOUD Act, ont certainement jouées en faveur du maintient de l'hébergement du Health Data Hub par Microsoft. Mais si la décision rendue par le Conseil prend le contre pied, il ne s'agit pas d'un retournement de la situation pour autant [12]. Ce sont en revanche les risques de transferts et de non-respect des clauses de la loi sur le Règlement Général sur la Protection des Données (RGPD) du 27 avril 2016 qui ont catalysé cette situation [13]. Le RPGD encadre les bonnes pratiques sur la manipulation des données personnelles au sein de l'Union européenne. Il est précisé dans l'article 3 que "[l]es sociétés non européennes sont également soumises au règlement [RGPD] dès qu'elles ciblent les résidents de l'UE par le profilage ou proposent des biens et des services à des résidents européens". C'est en définitive cela qui a conduit la CJUE à rendre sa décision sur l'inadéquation du RGPD avec le Privacy Shield [14].

 

Références bibliographiques :

[1] Conseil d'État. "Health Data Hub et protection de données personnelles : des précautions doivent êtres prises dans l'attente d'une solution pérenne". Décision contentieuse. conseil-etat.fr Publié le 14/10/2020. [En ligne]. Consulté le 16/10/2020.Disponible à l'adresse : <https://www.conseil-etat.fr/actualites/actualites/health-data-hub-et-protection-de-donnees-personnelles-des-precautions-doivent-etre-prises-dans-l-attente-d-une-solution-perenne>

[2] Congressional Research Service. H.R.4993. "Clarifying Lawful Overseas Use of Data or the CLOUD Act." congress.gov Publié le 02/06/2018. [En ligne]. Consulté le 23/10/2020.Disponible à l'adresse : <https://www.congress.gov/bill/115th-congress/house-bill/4943>

[3] 95th United States Congress. 91 STAT. 1494  L95-213 [S.305] "Foreign Corrupt Practices Act of 1977" uslaw.link Publié le 19/12/1977.Consulté le 23/10/2020 PDF disponible à l'adresse : < https://www.govinfo.gov/link/statute/91/1494?link-type=pdf>

[4] 107th United States Congress. H.R.3162. L357-66. Uniting and Strengthening America by Providing Appropriate Tools Required to Intercept and Obstruct Terrorim (USA PATRIOT ACT) Act of 2001. congress.gov Publié le 23/10/2001. [En ligne] Consulté le 23/11/2020. Disponible à l'adresse : <https://www.congress.gov/bill/107th-congress/house-bill/3162>

[5] JOUE.n°L207-1 2016/1250/CE- Directive 65/46/EC of the European Paliament and the Council on the adequacy of the protection provided by the EU-U.S. Privacy Shield. (notified under document C(2016) 4176). eur-lex.europa.eu Publié le 01/08/2016. (En ligne) Consulté le 23/11/2020. Disponible à l'adresse : <https://eur-lex.europa.eu/legal-content/EN/TX/?uri=uriserv%3AOJ.L_.2016.207.01.0001.01.ENG>

[6] JOUE. n°L215 - 2000/520/CE : Décision de la Commission du 26 juillet 2000 conformément à la directive 95/46/CE du Parlement européen et du conseil, relative à la pertienence de la protection assurée par les principes de la "sphère de sécurité" et par les questions souvent posées y afférentes, publiées par le ministère du commerce des États-Unis d'Amérique [notifiée sous le numéro C(2000)2441] (Texte présentant de l'intérêt pour l'EEE). eur-lex.europa.eu Publié le 25/08/2000. [En ligne] Disponible à l'adresse : <https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX%3A32000D0520>

[7]European Data Protection Board- Foire aux questions sur l'arrêt rendu par la Cour de justice de l'Union européenne dans l'affaire C-311 - Data Protection Comissioner contre Facebook Ireland Ltd et Maximilian Schrems. edpb.europa.eu Publié le 24 Juillet 2020. [En ligne] Disponible à l'adresse : <https://edpb.europa.eu/our-work-tools/our-documents/ohrajn/frequently-asked-questions-judgment-court-justice-european-union_fr>

[8] Microsoft. Data Law "About our practices and your data" blogs.microsoft.com [En ligne] Consulté le 11/11/2020. Disponible à l'adresse : <https://blogs.microsoft.com/datalaw/our-practices/>

[9] Le Monde. Collectif. "L'exploitation de données de santé sur une plate-forme de Microsoft expose à des risques multiples" lemonde.fr Publié le 10/12/2019 [En ligne]. Consulté le 25/11/2020. Disponible à l'adresse : <https://www.lemonde.fr/idees/article/2019/12/10/l-exploitation-de-donnees-de-sante-sur-une-plate-forme-de-microsoft-expose-a-des-risques-multiples_6022274_3232.html> 

[13] JOUE. Règlement UE 2016-679 du Parlement européen et du conseil de l'Union Européenne relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données-version consolidée. eur-lex.europa.eu Publié le 04/05/2016 [En ligne]. Disponible à l'adresse :<http://data.europa.eu/eli/reg/2016/679/oj>

[14] Cour de Justice de l'Union Européenne. C-311/18 The Court of Justice Invalidates Decision 2016/1250 on the adequacy of the protection provided by the EU-US Data Protection Shield. curia.europa.eu Publié le 16/07/2020 [Téléchargement] Disponible à l'adresse : <https://curia.europia.eu/jcms/upload/docs/application/pdf/2020-07/cp200091en.pdf>

Le "Health Data Hub" : l'hébergement par Microsoft crée la polémique

Le «Health Data Hub» a été lancé officiellement le premier décembre 2019 et se substitue à l’Institut national des données de santé (INDS). La plate-forme permet le développement de l’intelligence artificielle appliquée à la santé et la création d’un guichet unique d’accès à l’ensemble des données de santé : des centres hospitaliers, des pharmacies ainsi que du dossier médical partagé. Le choix du gouvernement français de Microsoft comme hébergeur, crée la polémique et fragilise le principe de confidentialité et de souveraineté tant promues par les ministères.

Vingt mois après l’annonce du président de la République Emmanuel Macron de la création d’un hub des données de santé, le HDH est officiellement lancé. Cette décision s’inspire essentiellement du rapport sur l’intelligence artificielle rendu le 28 mars 2018 par le député Cédric Villani qui prône « une politique offensive visant à favoriser l’accès aux données, la circulation de celles-ci et leur partage », et évoque notamment la nécessité pour le secteur de la santé, de créer « une plate-forme d’accès et de mutualisation des données pertinentes pour la recherche et l’innovation ». (1) Prévu d’être opérationnel mi 2020, ce projet suscite des critiques liées à plusieurs facteurs :

• Le choix de Microsoft comme prestataire d’hébergement crée une polémique autour de la souveraineté numérique, en particulier du fait du Cloud Act, loi adoptée en 2018 permettant à la justice américaine d’accéder aux contenus des serveurs situés en dehors des États-Unis. Le gouvernement se défend par la nécessité « d’aller vite » et le fait qu’aucune entreprise française n’était encore «certifiée hébergeur de données de santé» en 2018. Cependant le nombre d’hébergeurs certifiés est important, parmi lesquels Orange HealthCare, poids lourds français du numérique. (2)

• L’accès aux données par des acteurs privés inquiète les professionnels du monde médical ainsi que les défenseurs de la vie privée, qui commencent à parler de risque de « la rupture du secret médical » et de la «privatisation de la santé». Bien que l’accès soit soumis à la condition de développer des projets d’intérêt général et après autorisation par la Cnil, Benoît Piédallu, membre de l'association La Quadrature du Net, pointe du doigt le fait que « personne ne sait comment sont traitées ces données, et de quoi sont faits les résultats... » (3)

• L’accès aux données médicales personnelles sans consentement des personnes attire des inquiétudes. Les promoteurs du projet répliquent en évoquant le droit d’opposition qui peut être exercé par les patients pour le retrait de leurs données.

• L’anonymat des données reste fragile. Le choix de la « pseudonymisation », introduite par le RGPD et qui consiste à séparer les données de leurs propriétaires respectifs, ne garantit pas l’anonymat pur car elle est réversible ; grâce à la clé d’identification le lien entre les données peut être rétabli.

En dépit de toutes ces réticences, la feuille de route stratégique (4), présente le «Health Data Hub» comme un atout et une opportunité pour améliorer la qualité des soins, un «véritable renfort de nos capacités à innover pour faire de la France un leader de l’analyse des données de santé». Ses principaux enjeux sont le décloisonnement du patrimoine de données de santé, le renforcement de leur usage, le positionnement de la France comme un leader dans le domaine et la garantie de la participation de la société civile. Reste à suivre l’évolution du projet et les réponses données par le gouvernement pour apaiser les inquiétudes.

(1) VILLANI, Cédric. Donner un sens à l’intelligence artificielle. Ministère de lʼEnseignement supérieur, de la Recherche et de lʼInnovation. Mars 2019. p. 25, 201. Disponible en ligne [consulté le 5 décembre 2019]  : < https://www.aiforhumanity.fr/pdfs/9782111457089_Rapport_Villani_accessible.pdf >

(2) ANS. Liste des hébergeurs certifiés. 09/01/2020. Disponible en ligne [consulté le 10 janvier 2020] : < https://esante.gouv.fr/labels-certifications/hds/liste-des-herbergeurs-certifies >

(3) HERARD, Pascal.  Données numériques de santé : le « Health Data Hub » français crée la polémique ». 04/12/2019. Disponible en ligne [consulté le 10 décembre 2019] :  < https://information.tv5monde.com/info/donnees-numeriques-de-sante-le-health-data-hub-francais-cree-la-polemique-335083 >

(4) HEALTH DATA HUB. Health Data Hub, Plan stratégique 2019 – 2020. Ministère des Affaires sociales et de la santé. Disponible en ligne [consulté le 10 janvier 2020] : < https://fee494fb-072e-49c6-a5ed-00cfc497e5db.filesusr.com/ugd/8b518a_b07f0118605b4828a926515d087264fc.pdf >

Le Big Data, nouvel eldorado des politiques de santé ?

Le 12 octobre 2018, Agnès Buzyn, ministre de la Santé, se félicitait de la création d'un Health Data Hub, lequel s'inscrit dans la volonté de refondation de notre système de santé voulu par le président Macron. L'objectif de ce nouveau dispositif : "mettre le patrimoine mondial des données de santé au service de la recherche, des professionnels de santé, des citoyens [...] et de la puissance publique" (1). Un vaste programme, qui interroge certes la notion de protection de données personnelles... et qui invite à repenser le corps social ?

Le 12 juin 2018, dans la droite ligne de la stratégie nationale d'intelligence artificielle française portée par le rapport Villani, la ministre de la Santé annonçait le lancement de la mission de préfiguration d'une plateforme d'exploitation des données, mission confiée à Jean-Marc Aubert, directeur de la Drees (direction de la recherche, des études, de l'évaluation et des statistiques).

Le rapport final, rendu public le 12 octobre dernier, présente la feuille de route de la mise en place du Health Data Hub, une plateforme destinée à collecter toutes les données et innovations dans le domaine de la santé. Son intérêt n'est pas seulement économique, mais souligne les bénéfices d'une médecine préventive et prédictive, d'un partage plus efficace des informations du patient par tous les intervenants de la santé. 

Quelques mois auparavant, la France adoptait le règlement général sur la protection des données personnels (RGPD). Les données de santé étant considérées comme sensibles, elles doivent être encadrées par des dispositions particulières, comme le rappelle la CNIL. Or, si le rapport de la Drees n'omet pas de souligner que la donnée n'est pas la propriété de son producteur, il ajoute toutefois qu'"en dehors du cadre strictement légal, il est nécessaire de procéder à la large diffusion de la culture de la donnée" (p. 20 du rapport). 

Des questions restent en suspens (qui pourraient d'ailleurs intéresser le Projet open data impact de la Fing). Quid de l'interopérabilité des données de santé entre le patient et les soignants ? Quid du cycle de vie de la donnée personnelle ? D'autant que, même si le cadre juridique français peut être considéré comme un des meilleurs, dans la société numérique, le droit est souvent dépassé par les progrès technologiques, comme le rappelle une juriste en droit public, sans parler de l'hétérogénéité des législations entre les nations (2). Ces questions entre éthique et juridique seront à l'ordre du jour du prochain Technolex 2018, qui se déroulera le 28 novembre prochain au collège des Bernardins, à Paris, sur le thème "Opportunités et nouvelles règles du jeu", avec un focus sur l'e-santé.

Sources :

(1) Citée par JOST C., "Agnès Buzyn crée un Health Data Hub : un guichet unique de partage des données de santé", Archimag, le 18-10-2018 [consulté le 19-11-2018],
http://www.archimag.com/univers-data/2018/10/18/agnes-buzyn-health-data-hub-guichet-partage-donnees-sante

(2) N'DA B., "L'encadrement juridique de la gestion électronique des données médicales", thèse de doctorat en droit public, université de Lille-2, http://www.theses.fr/2014LIL20022