B. LA PLATEFORME DES DONNÉES DE SANTÉ : UNE AMBITION À LA CONCRÉTISATION ENCORE TROP LIMITÉE
1. Une ambition forte de création d'un gestionnaire et facilitateur de la mise à disposition des données
L'exposé des motifs du projet de loi de 201976(*) prévoyait que la plateforme des données de santé « a notamment pour rôle de réunir, organiser et mettre à disposition les données du système national des données de santé. Afin de favoriser l'utilisation et de multiplier les possibilités d'exploitation des données de santé, aussi bien en recherche clinique, qu'en termes de nouveaux usages, notamment ceux liés au développement des méthodes d'intelligence artificielle, le système national des données de santé sera enrichi de l'ensemble des données collectées lors des actes pris en charge par l'assurance maladie. Cette avancée positionnera la France parmi les pays en pointe en termes de structuration des données de santé, tout en préservant un haut niveau de protection de la vie privée. »
Aux termes de l'article L. 1462-1 du code de la santé publique, la plateforme des données de santé est créée sous la forme d'un groupement d'intérêt public entre l'État, des organismes assurant une représentation des malades et des usagers du système de santé, des producteurs de données de santé et des utilisateurs publics et privés de données de santé.
La plateforme des données de santé : une approche encore rare
Comme le montre l'étude de législation comparée77(*), la structuration d'une plateforme dédiée à la valorisation des utilisations secondaires demeure rare.
En Allemagne, il n'existe à ce jour pas de plateforme à l'échelle fédérale permettant d'accéder à l'ensemble des données de santé à des fins de recherche. Cependant, La stratégie de numérisation présentée en mars 2023 vise à établir, d'ici 2025, « un point d'accès national aux données de santé pour les acteurs de la recherche ou du domaine de la santé publique, permettant de relier les données de santé et de soins provenant de différentes sources ». La création du centre de données de recherche (Forschungsdatenzentrum Gesundheit - FDZ), qui devrait être opérationnel dans le courant de l'année 2023, constitue une première étape en ce sens. Il couvre le périmètre des données des caisses d'assurance maladie, pseudonymisées.
En Suède, il n'existe pas aujourd'hui de plateforme centralisée permettant d'accéder à l'ensemble des données de santé disponibles à des fins de recherche. Cependant, le grand nombre de registres de santé fiables qui existent sont répertoriés par le Conseil suédois de la recherche et l'outil de métadonnées RUT fournit un aperçu structuré des données disponibles dans les registres suédois et les collections d'échantillons de biobanques et permet aux chercheurs de faire des recherches avancées et de comparer différentes variables. Pour les registres nationaux tenus par Socialstyrelsen, une demande peut être adressée directement après examen éthique.
En Israël, le ministère de la santé a développé une plateforme nationale de mégadonnées pour la réalisation d'études sur les données de santé (TIMNA) s'adressant aux chercheurs des universités et des entreprises privées. TIMNA permet l'analyse et le recoupement de données médicales, démographiques et autres par le biais de salles de recherche virtuelles sécurisées. Les bases de données aujourd'hui accessibles sont celles du ministère de la santé concernant les décès, les hospitalisations, le cannabis médical et le programme de prévention s'adressant aux femmes enceintes et aux nourrissons, le tout sous un format anonymisé.
· Huit missions sont assignées à l'organisme, la première desquelles étant de « réunir, organiser et mettre à disposition les données » du SNDS et de promouvoir l'innovation dans l'utilisation des données de santé. Comme le souligne cependant bien la plateforme, « Si le HDH est chargé par la loi de réunir les données du SNDS, de les organiser et de les mettre à disposition, cela ne signifie pas qu'elles sont ou seront réunies au sein d'un unique fichier ni même d'une plateforme. »
La plateforme est en outre chargée, dans le circuit d'accès et de mise à disposition des données, de deux missions fondamentales que sont assurer le secrétariat notamment du comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé (Cesrees) ainsi que, au niveau opérationnel, de procéder pour le compte de tiers à des opérations nécessaires à la réalisation de traitements de données issues du SNDS.
Enfin, la plateforme assure une mission d'opérateur d'appui et de coordination en ayant la charge de contribuer à la diffusion des normes de standardisation, de renforcer l'information des patients ou d'accompagner les porteurs de projets et les producteurs de données.
Si certains acteurs contestent la place « centralisatrice » que pourrait assumer le Health Data Hub, la présidente de son conseil scientifique, Ségolène Aymé, juge qu'une centralisation est bienvenue, au regard notamment de l'expertise et des compétences nécessaires à la construction d'entrepôts et, surtout, à la capacité d'exploitation des données, ce de manière fiable. Selon elle, « nous avons besoin en France d'un entrepôt national assurant la formation des acteurs et offrant à tous les services réglementaires et techniques pour être en conformité avec les normes, dans un délai raisonnable et à moindre coût ». Selon la chercheuse, l'entrepôt national assure aussi la lisibilité des bases de données disponibles, de leur contenu et des règles d'accès aux données, et permet d'y accéder sous des délais courts. Sans que cette construction de l'entrepôt national ne s'oppose aux entrepôts de données régionaux, il s'agit de garantir un haut niveau de service aux utilisateurs, que seul un opérateur d'envergure est capable d'assurer de manière cohérente et lisible.
· La plateforme a officiellement été créée à la fin de l'année 201978(*). Le financement du HDH, principalement public, s'est élevé à environ 21 millions d'euros par an sur la période 2020-2022, porté par l'Ondam et le fonds pour la transformation de l'action publique.
· Le HDH accompagne aujourd'hui 89 projets.
Les chiffres clés de l'accompagnement des projets au Health Data Hub
Le Health Data Hub accompagne 89 projets provenant des appels à projets lancés par le Health Data Hub et ses partenaires ou de partenariats spécifiques.
Sur les 89 projets accompagnés par le HDH :
29 ont été sélectionnés dans le cadre des appels à projet de 2019, 2020 et des partenariats de 2019, 42 ont été sélectionnés dans le cadre des appels à projets de 2021, 2022 ou des nouveaux partenariats conclus :
? 14 sont issus de l'AMI BOAS, visant à soutenir le développement et la validation d'algorithmes de ciblage dans le SNDS,
? 6 projets sont pilotés en partenariat avec le Datalab Normandie,
? 3 projets proviennent du programme Unibase,lancé conjointement par Unicancer et le Health Data Hub, dont l'objectif est de créer en 3 ans, une collection de bases de référence en cancérologie.
? 3 projets sont issus du projet HealthData@EUpilot, consortium sélectionné par la Commission européenne pour construire une première version d'Espace Européen des Données de Santé (EHDS)
? 2 projets proviennent d'un appel à projets lancé en partenariat avec le Fonds de recherche du Québec - Santé
? 2 projets visent à constituer des entrepôts de données de santé : EMC², lauréat d'un appel d'offre de l'Agence Européenne du Médicament et P4DP, observatoire de médecine de ville financé à hauteur de 11 millions d'euros par l'État
9 projets ont été ajoutés en 2023 dont :
? 5 projets constitués dans le cadre de l'AMI du Comité Stratégique de Filière des Industries et Technologies de Santé
? 4 projets lancés avec Green Data for Health visant à une meilleure réutilisation des données de santé et environnementales combinées au service de la recherche.
Plus de 30% incluent des partenaires industriels, 19 projets ont des startups partenaires, 60% ont au moins un établissement de santé comme partenaire ou porteur projet
50% des projets utilisent de l'intelligence artificielle
11 sont relatifs à l'épidémie de Covid-19
Sur l'ensemble des projets, 70 utilisent ou souhaitent utiliser la base principale du SNDS, 50% des projets requièrent le croisement de plusieurs sources de données et 15 projets requièrent jusqu'à trois sources
60 projets utilisent ou ont prévus d'utiliser la plateforme du HDH :
? 2 projets ayant utilisés la plateforme sont terminés (Glucocorticoïdes et traitement de la covid-19, Non-recours aux soins)
? 14 projets sont en cours sur la plateforme (DEEPSARC, DSI COVID, HYDRO, DEEP PISTE, COVISAS, ARAC, SEDAAR, PERSEPHONE, TAMIS, DEEPMAP, APSOREN, REXETRIS, HUGOSHARE, APRIORICS)
? 16 demandent une préparation des données au niveau d'un entrepôt de données de santé avant transfert sur la plateforme d'analyse du Health Data Hub, et parmi eux, 7 bénéficient d'un appui du HDH pour ce faire.
Sur l'ensemble de ces projets, à date, 41 ont reçu un avis favorable du CESREES. 30 projets ont été autorisés par la CNIL (sur 61 projets éligibles). Les projets d'analyse de données peuvent durer plusieurs années avant de produire des résultats.
Néanmoins à date, 13 projets sont terminés ou ont produit des résultats intermédiaires :
? Projets terminés (9) : Non recours aux soins, Gluco, EDHEN V1, ORDEI, AIDA Ultrasound, INNERVE, VYV, H3DMED, Antropometer 3DNet.
? Projet avec résultats intermédiaires : BACTHUB, DEEPISTE, EDSANCOH, et TARPON.
Source : Health Data Hub
2. Une absence de copie du SNDS qui grève la pleine activité de la plateforme
Quatre ans après l'adoption de la loi, la principale et première mission assignée à la plateforme des données de santé n'est aujourd'hui pas assurée.
a) Une solution cloud encore non aboutie
Comme le constate la plateforme, la majorité des étapes de mise à disposition des données, qu'il s'agisse des opérations de conventionnement, de ciblage, ou d'appariements directs ou indirects, est réalisée à la Cnam. Or, l'obtention d'une copie de la base principale permettrait selon la plateforme d'effectuer l'essentiel des opérations nécessaires à la mise à disposition.
Le sujet de l'hébergement de la copie du SNDS et donc du choix de la plateforme technologique devant être choisie est principalement orientée autour du débat sur la question d'une plateforme cloud.
Le Health Data Hub estime que la technologie cloud est en capacité de répondre aux besoins non couverts par les solutions existantes avec :
- une capacité de calcul et de stockage massive et s'adaptant à chaque projet ;
- une capacité de croisement de plusieurs sources de données ;
- une utilisation pensée pour un nombre important d'utilisateurs ;
- les exigences de sécurité les plus abouties.
Le Health Data Hub a établi en 2020 une liste de services que la plateforme technologique devrait assurer. Parmi cette cinquantaine de services, la moitié est jugée indispensable et qualifiée de « strict minimum » par le HDH, au nom d'un risque de sécurité lié à la complexité d'intégration, une dizaine jugée secondaire au regard de solutions externes matures et une dizaine correspond à des services déjà externalisés.
Dans une présentation rendue publique79(*), le HDH présentait quatorze services dont deux jugés indispensables répondant aux besoins suivants :
- virtualisation de machines présentant les capacités de calcul élastiques nécessaires à la plateforme et aux projets ;
- pilotage et configuration des services de l'environnement cloud dans une interface graphique ;
- restriction des accès aux services PaaS selon des caractéristiques telles que l'adresse IP, la région, les identités, les appareils, etc. ;
- identification des services, des machines et des utilisateurs et gestion de leurs accès aux éléments d'infrastructure et fonctionnels de la plateforme technologique ;
- centralisation, exploration et analyse des traces des composants de la plateforme technologique ;
- déclenchement des événements sur la plateforme technologique et transports des messages liés à ces événements ;
- filtrage des flux intégré dans les réseaux et sous réseaux managés ;
- protection de l'intégrité et de la confidentialité des clés de chiffrement au travers d'une boîte noire transactionnelle (HSM) ;
- mise en place et suivi des critères d'acceptance de sécurité et de santé pour le maintien en condition de sécurité de la plateforme technologique ;
- structuration des espaces de stockage en mode objet ;
- capacité de lancer des traitements distribués ;
- exposition des données selon le modèle relationnel ;
- automatisation du déploiement des ressources ;
- attribution temporaire d'autorisations d'accès.
Pour accueillir des projets de pointe, le HDH explique qu'« en plus d'une infrastructure à la demande et de fonctionnalités de traitement des données à l'état de l'art, le Health Data Hub doit recourir à des services cloud complètement intégrés afin de gérer efficacement la gouvernance de la donnée ainsi que la sécurisation des accès et des usages sur sa plateforme technologique ». Or, selon le HDH, l'étude de marché réalisée faisait apparaître une incapacité des offres cloud dites souveraines à répondre à un niveau suffisant de maturité, particulièrement sur les enjeux de sécurité. Cette étude a conduit le ministère chargé de la santé à privilégier alors une solution américaine, offrant des garanties supérieures en termes de sécurité.
· Le choix fait par le HDH d'utiliser les services de Microsoft correspondait selon la plateforme à une « solution sécurisée dans l'attente d'une solution souveraine remplissant toutes ces exigences ».
Cependant, cette solution n'est aujourd'hui pas déployée pour l'hébergement de la base principale du SNDS.
De plus, la Cnam estime qu'au regard de l'importance des moyens humains nécessaires et de l'étroitesse du vivier de compétences correspondant, « il n'est pas du tout certain qu'une fois le HDH pleinement opérationnel, la question des délais d'accès aux données s'en trouve réglée ».
b) Une préoccupation de protection des données dans un contexte européen incertain
Depuis 2020 et l'invalidation de l'accord Privacy Shield avec l'arrêt « Schrems II »80(*) de la Cour de justice de l'Union européenne, la question de la conformité au droit européen et au règlement général sur la protection des données est régulièrement posée concernant les transferts possibles de données.
Arrêt Schrems II
Le règlement général relatif à la protection des données (ci-après le « RGPD ») dispose que le transfert de telles données vers un pays tiers ne peut, en principe, avoir lieu que si le pays tiers en question assure un niveau de protection adéquat à ces données. Selon ce règlement, la Commission peut constater qu'un pays tiers assure, en raison de sa législation interne ou de ses engagements internationaux, un niveau de protection adéquat 2. En l'absence d'une telle décision d'adéquation, un tel transfert ne peut être réalisé que si l'exportateur des données à caractère personnel, établi dans l'Union, prévoit des garanties appropriées, pouvant notamment résulter de clauses types de protection des données adoptées par la Commission, et si les personnes concernées disposent de droits opposables et de voies de droit effectives 3. Par ailleurs, le RGPD établit, de manière précise, les conditions dans lesquelles un tel transfert peut avoir lieu en l'absence d'une décision d'adéquation ou de garanties appropriées.
[...]
En ce qui concerne le niveau de protection requis dans le cadre d'un tel transfert, la Cour juge que les exigences prévues à cet effet par les dispositions du RGPD, qui ont trait à des garanties appropriées, des droits opposables et des voies de droit effectives, doivent être interprétées en ce sens que les personnes dont les données à caractère personnel sont transférées vers un pays tiers sur le fondement de clauses types de protection des données doivent bénéficier d'un niveau de protection substantiellement équivalent à celui garanti au sein de l'Union par ce règlement, lu à la lumière de la Charte. Dans ce contexte, elle précise que l'évaluation de ce niveau de protection doit prendre en compte tant les stipulations contractuelles convenues entre l'exportateur des données établi dans l'Union et le destinataire du transfert établi dans le pays tiers concerné que, en ce qui concerne un éventuel accès des autorités publiques de ce pays tiers aux données ainsi transférées, les éléments pertinents du système juridique de celui-ci.
[...]
Selon la Cour, les limitations de la protection des données à caractère personnel qui découlent de la réglementation interne des États-Unis portant sur l'accès et l'utilisation, par les autorités publiques américaines, de telles données transférées depuis l'Union vers ce pays tiers, et que la Commission a évaluées dans la décision 2016/1250, ne sont pas encadrées d'une manière à répondre à des exigences substantiellement équivalentes à celles requises, en droit de l'Union, par le principe de proportionnalité, en ce que les programmes de surveillance fondés sur cette réglementation ne sont pas limités au strict nécessaire.
Source : Cour de justice de l'Union européenne, Communiqué de presse n° 91/20, 16 juillet 2020
Le Conseil d'État a été saisi en référé en 2020 par des associations et syndicats concernant le traitement de données liées à l'épidémie de covid-19 sur la plateforme. Le Conseil a alors constaté que le traitement sur le territoire de l'Union européenne - par une filiale irlandaise de Microsoft - n'était pas en lui-même une illégalité grave et manifeste et que dans le cadre du contrat conclu, aucune donnée personnelle ne pouvait être transférée en dehors de l'Union. Surtout, le Conseil d'État a constaté, malgré l'existence d'un risque, qu'« il existe un intérêt public important à permettre la poursuite de l'utilisation des données de santé pour les besoins de l'épidémie de covid-19 grâce aux moyens techniques dont dispose la Plateforme ». Ainsi, il a estimé que « si le risque ne peut être totalement exclu que les services de renseignement américains demandent l'accès à ces données, il ne justifie pas, à très court terme, la suspension de la Plateforme, mais impose de prendre des précautions particulières, sous le contrôle de la Cnil »81(*).
C'est à cette fin, le HDH a conclu avec Microsoft sept avenants contractuels interdisant tout transfert de données. En outre, le HDH insiste sur le fait que les serveurs de stockage retenus sont tous localisés en France et, par surcroît, remarque que les données hébergées sont toutes pseudonymisées.
En outre, d'un point de vue opérationnel, le HDH fait valoir que : « cette question du transfert de données vers les États-Unis, qui revient souvent dans les débats, est étrangère à l'activité du HDH puisque les données que nous mettons à disposition des chercheurs restent constamment sur la plateforme technologique, certes hébergée par Microsoft, mais uniquement dans des serveurs situés en France. »
Le Conseil d'État s'est à nouveau prononcé, en novembre 2022, dans le cadre de l'examen du décret de 202182(*) relatif au traitement dénommé « Système national des données de santé », lequel désigne la Cnam et le HDH comme responsables conjoints. Le recours, qui ne concernait pas directement l'accord relatif au choix de la plateforme Microsoft Azure, n'a pas fait apparaître d'opposition du Conseil d'État aux solutions pratiquées alors, lequel a rejeté les moyens formulés concernant les risques pour les données, l'accès aux bases par l'administration et les droits des personnes.
· Le successeur du Privacy Shield a été adopté en juillet 2023.
En réaction à l'invalidation du Privacy Shield en juillet 2020 par la Cour de justice de l'Union européenne (CJUE), le président des États-Unis, Joseph Biden, a adopté le 7 octobre 2022 un nouveau cadre juridique pour renforcer les garanties concernant la collecte et l'utilisation des données personnelles par les services de renseignement américains.
Ce nouveau cadre légal a été soumis à la Commission européenne afin qu'elle évalue s'il permet d'assurer un niveau de protection adéquat des données des Européens. Avant d'adopter définitivement sa décision reconnaissant le caractère adéquat de ce nouveau dispositif, la Commission a soumis un projet de décision pour avis au conseil européen de la protection des données (CEPD), organe qui regroupe l'ensemble des autorités de protection des données au niveau européen.
Rendu le 28 février 2023, son avis relève les améliorations apportées par le gouvernement des États-Unis dans le cadre du nouveau cadre de protection des données transférées vers ce pays, « en particulier en ce qui concerne l'introduction des principes de nécessité et de proportionnalité et le mécanisme de recours individuel pour les personnes concernées de l'UE ».
La commission des libertés civiles, de la justice et des affaires intérieures du Parlement européen a toutefois recommandé à la Commission européenne, le 14 février 2023, de rejeter le projet de cadre de protection des données UE-États-Unis, pour non-conformité au RGPD, en particulier à la lumière de la politique américaine actuelle qui permettrait la collecte à grande échelle et sans mandat des données des utilisateurs à des fins de sécurité nationale. La commission fait notamment valoir que le décret du président Biden pourrait être révoqué par un autre titulaire de la fonction.
À la suite du décret présidentiel signé en octobre 2022 par le Président américain Joe Biden, la Commission européenne a publié en décembre 2022 un projet de décision d'adéquation visant à remplacer le Privacy Shield. L'ensemble a vocation à répondre aux préoccupations soulevées par la Cour de justice dans son arrêt de 2020. Après approbation des États membres, la Commission a adopté sa décision au début du mois de juillet 202383(*).
Celle-ci conclut que les États-Unis garantissent un niveau de protection comparable à celui de l'Union européenne pour les données à caractère personnel transférées de l'UE vers des entreprises américaines, permettant une circulation sans nécessité de garantie supplémentaire.
c) Un enjeu devenu politique
· En janvier 2022, le Health Data Hub a retiré « temporairement » sa demande d'autorisation faite à la Cnil relative à l'hébergement de la base principale du SNDS.
Cette décision, prise en accord avec le ministère de la santé, s'inscrivait dans un contexte pré-électoral dans lequel les questions de souveraineté ont été largement débattues. Le débat demeure aujourd'hui figé, sans solution opérationnelle disponible et dans l'attente d'une solution « de confiance » ou « souveraine ».
Pourtant, il convient de souligner que poursuivre l'objectif d'une solution souveraine n'est pas incompatible avec une solution temporaire qui ne le serait pas. Ainsi, le caractère transitoire du choix qui pourrait être fait est bien assumé, dans la mesure où l'objectif de migration vers une solution dite « de confiance » est anticipé et présent dans la feuille de route pluriannuelle de la plateforme. L'objectif de migration fixé pour 2025 a conduit à concevoir la plateforme technologique comme réversible et redéployable sur un autre fournisseur cloud aux fonctionnalités équivalentes et ce dès sa création en 2019. Il est à noter que le coût de cette migration est estimé à 1,5 million d'euros, celle-ci devant en outre entraîner une augmentation du budget de consommation cloud de 20 %.
Source : Feuille de route du Health Data Hub
Ainsi, si le débat sur le cloud de confiance et l'hébergement des données de santé n'est pas propre à la France, il semble pourtant que la question soit devenue particulièrement sensible et emblématique autour du Health Data Hub. Depuis, cette demande d'autorisation n'a pas été renouvelée. Le HDH souligne à ce titre que des plateformes européennes recourent à des solutions basées à l'étranger, comme le Norwegian Health Data Program avec Microsoft Azure ou la UK Biobank avec Amazon Web services, et que certaines administrations ou établissements français procèdent également de la sorte.
La question n'est aujourd'hui pas tranchée et la mise en oeuvre d'une nouvelle décision d'adéquation prenant la suite du Privacy Shield ne semble pas être un élément du débat.
Quand le ministre de la santé se borne à indiquer que « notre principe est celui d'un hébergement souverain de ces données »84(*), le ministère chargé du numérique a quant à lui insisté sur la priorité qu'est la souveraineté des données, et signalé soutenir « l'idée d'une solution d'hébergement de confiance dès que possible, à condition qu'elle réponde aux besoins de la plateforme des données de santé en termes de capacité, de sécurité, d'intégrité, de fiabilité et de conformité réglementaire »85(*).
d) Le besoin d'une solution rapide
Alors que la question de la souveraineté a été érigée en priorité absolue, force est cependant de constater que les solutions existantes ne semblent pas aujourd'hui en mesure de répondre aux exigences identifiées par le Health Data Hub et qu'aucune solution alternative n'a été poussée par les ministères compétents.
· Alors que le HDH constate qu'« aucun fournisseur ne propose l'ensemble de ces services indispensables » et « un écart extrêmement important » en ce qui concerne les fonctionnalités de sécurité, les solutions souveraines mettront nécessairement du temps à répondre aux exigences.
Comme l'indique le ministère chargé du numérique, « à l'heure actuelle, plusieurs entreprises françaises et européennes travaillent à développer des services d'hébergement en cloud qui pourraient être considérés comme "souverains", mais il faudrait les évaluer soigneusement pour s'assurer qu'ils répondent aux critères spécifiques de la plateforme des données de santé ».
Comme l'indique la Drees, « Les pouvoirs publics et notamment la Dinum86(*) travaillent à pousser les clouders français et/ou européens à accélérer sur la mise au point des services nécessaires. » Le HDH rencontre régulièrement les fournisseurs cloud et travaille avec la Dinum à la construction d'un démonstrateur technique visant à financer le développement des services identifiés manquants chez les fournisseurs souverains.
Certaines entreprises françaises proposent des solutions souveraines
Le paysage français des hébergeurs comprend différents acteurs positionnés sur le segment des solutions clouds souveraines, notamment OVHcloud ou Docaposte, filiale de La Poste.
À titre d'exemple, Docaposte, avec une offre de cloud souverain Numcloud (alliance de Docaposte, Dassault, Bouygues Telecom et la Banque des territoires) revendique d'offrir le seul cloud provider à « réconcilier les trois niveaux de souveraineté : souveraineté technologique, souveraineté juridique et souveraineté des données ». L'entreprise indique s'intéresser en priorité au secteur public et de la santé.
Docaposte, au sein du consortium Agoria santé, a également pu se voir reconnaître l'autorisation de la CNIL de constituer un entrepôt de données de santé (EDS) avec système fils SNDS.
Par ailleurs, ces acteurs ont pu signaler des pratiques préjudiciables, mises en avant par une étude de l'autorité de la concurrence des Pays-Bas. Il s'agit de pratiques dites de « verrouillage », dissuadant les clients dans des projets de migration de leur solution cloud, ou d'abus de position de marché de la part d'acteurs américains en position dominante sur certaines couches de cloud (IaaS) conduisant à contraindre le client sur les solutions accessibles ou en modulant les coûts de licences par exemple. Ainsi, certains considèrent l'encadrement réglementaire du cloud aujourd'hui inadapté.
Si certains hébergeurs souverains revendiquent leur capacité à assurer une partie des missions, ils semblent offrir en réalité des solutions techniques différentes. Ainsi, selon le HDH, les hébergeurs proposant principalement de l'infrastructure (IaaS), obligent les clients à intégrer différentes couches applicatives afin de reproduire les services SaaS (ou services managés) nécessaires pour atteindre le bon niveau de fonctionnalité ou de sécurité, soit une solution longue et coûteuse. L'enjeu du démonstrateur de la Dinum est à ce titre de financer le développement des services SaaS qui manquent aujourd'hui chez certains offreurs de cloud.
· La perspective d'une solution limitée apparaît envisagée sans que cela ne soit explicitement sur la table.
Ainsi, selon la Cnil, « il est possible qu'une partie des projets pourrait fonctionner sur une plateforme plus légère que celle retenue par la PDS, et qu'une telle plateforme bien ciblée serait à la portée des fournisseurs de cloud européens ».
Le ministère chargé du numérique estime lui qu'« Il est important que le cahier des charges de la plateforme des données de santé reflète les besoins réels de la plateforme, ainsi que les exigences légales et éthiques en matière de gestion des données de santé. Si des difficultés surviennent dans la mise en oeuvre des critères actuels, cela pourrait indiquer la nécessité d'une réévaluation. », considérant que « Toutefois, cela ne signifie pas nécessairement qu'il faille réduire les ambitions ». Cette position de principe à la concrétisation encore introuvable ne permet pas à la plateforme d'avancer sur ses missions.
Le Health Data Hub considère aujourd'hui avec la plus grande prudence des hypothèses de solutions satisfaisant des exigences revues à la baisse : « Dans ce cadre, un cahier des charges dégradé n'est pas envisageable dans la mesure où les offres actuelles ne couvrent quasiment aucun des besoins ». Pour autant, « ce constat n'est pas incompatible avec l'utilisation d'une plateforme plus simple et moins exigeante pour un plus petit nombre d'utilisateurs et des projets moins ambitieux ». C'est bien l'arbitrage qui doit être politiquement tranché désormais.
· L'autonomie du HDH sur l'exploitation de la base principale demeure aujourd'hui la principale priorité. C'est pourquoi il apparaît impératif d'arbitrer politiquement, au plus vite, les solutions que le Health Data Hub est autorisé à poursuivre pour assumer pleinement sa mission de gestion et de mise à disposition de la copie du SNDS.
En d'autres termes : ou bien le choix est celui d'une plateforme offrant le plus de fonctionnalités et services, en capacité de répondre à des projets ambitieux et nombreux, et dans ce cas il convient d'assumer le recours éventuel à une solution extra-européenne - dans des conditions cependant très encadrées -, ou bien le choix d'une solution dite souveraine est vue comme un impératif et il est alors urgent de définir les nouveaux critères que devra satisfaire la plateforme choisie et assumer un nouveau calibrage et des ambitions révisées à court terme à la baisse pour le Health Data Hub. Dans les deux cas, la responsabilité est bien politique et échappe largement au Health Data Hub ou même au comité stratégique. Il s'agit de donner les moyens au HDH de réaliser la feuille de route qui lui est fixée.
La solution retenue peut, à nouveau, tout à fait s'inscrire dans une perspective d'évolution et de solution transitoire répondant à un besoin dans l'attente d'une migration vers un système répondant à un autre agenda.
Un plan d'actions transitoire
Face aux difficultés rencontrées et à l'absence de solution viable à très court terme, le HDH propose d'appuyer la Cnam sur l'exercice de certaines missions afin de faciliter la mise à disposition de données à travers :
- la mise à disposition de personnels pour la réalisation d'extractions ;
- une convention en cours de discussion permettant au HDH d'effecteur au nom de la Cnam la signature de contrats-type ;
- une proposition de critères de priorité pour les projets sur le fondement de l'intérêt public, avec le Cesrees.
Source : Réponses du Health Data Hub
· L'immobilisme constaté depuis plus d'un an maintenant pose question. Au-delà du caractère préjudiciable d'un déploiement lent d'une politique publique ambitieuse et porteuse, il s'agit d'un retard dangereux pour la recherche française.
Pour Ségolène Aymé, « Le principal obstacle est l'usage de clouds utilisant une technologie américaine, alors même que l'hébergement est confié à une filiale européenne, que les données sont physiquement stockées en France et que les mesures de protection répondent aux standards les plus exigeants. Cette situation doit trouver une solution car rien ne justifie une telle défiance pour l'usage de technologie de GAFA qui doivent se soumettre aux règles du RGPD et le font ». Selon la présidente du comité scientifique du HDH, il ne paraît ainsi « pas éthique d'empêcher des recherches de se faire pour des choix idéologiques et politiques, n'ayant aucune justification objective »
En outre, pour la plateforme, « La mise en compétition de la souveraineté et de la cybersécurité nous semble poser un vrai problème de société. »
Recommandation n° 8 : Arbitrer politiquement dès 2023 la solution privilégiée pour l'hébergement du SNDS par le Health Data Hub, entre le choix de fonctionnalités élargies qui pourraient n'être mises à disposition que par des prestataires extra-européens, ou celui d'une solution « souveraine » selon des critères révisés à court terme à la baisse et correspondant aux besoins prioritaires, et engager sans délai le transfert de la gestion de la copie du SNDS vers le HDH
3. Une constitution encore inaboutie du catalogue
Au-delà de la valorisation de la base principale, l'une des missions fondamentales du Health Data Hub est la constitution et la valorisation d'un « catalogue », soit la réunion de bases d'intérêt prioritaires.
Celles-ci peuvent recouvrir des cohortes, des registres, des entrepôts de données ou encore des bases administratives. L'intérêt réside dans l'enrichissement de celles-ci par la base principale : il s'agit ainsi de préparer une série de bases dont les appariements avec la base historique sont pertinents pour la recherche.
Cette démarche de constitution du catalogue se fait de manière progressive et sous l'égide du comité stratégique des données de santé.
Comme le souligne le Health Data Hub, il convient de noter « que seule une copie des données sera transférée au HDH, l'acteur dépositaire de la source initiale la conserve et peut la mettre à disposition par ses propres moyens s'il le souhaite ».
Copier ces bases dans la plateforme du HDH présente selon cette dernière deux intérêts majeurs :
- décupler le potentiel de ces données en offrant la possibilité de les apparier avec la base principale ;
- pouvoir réduire les délais d'accès en déléguant au HDH les actions d'hébergement, de data management, l'enrichissement avec d'autres sources, la mise à disposition aux personnes habilitées des données dans des espaces informatiques maîtrisés, la contractualisation.
· Un premier arrêté87(*) a été publié en 2022 avec une première constitution du catalogue autour de dix bases de données.
Bases versées au catalogue du Health Data Hub en 2022
La base de résumés des passages individuels aux urgences (OSCOUR) est un réseau de surveillance national basé sur la transmission obligatoire des données du résumé de passage aux urgences (RPU) à Santé publique France, à des fins de veille sanitaire et de surveillance épidémiologique. Plus de 130 millions de passages aux urgences sont ainsi répertoriés depuis 2010, couvrant ainsi 93,3 % des passages aux urgences sur le territoire.
La base de données relatives aux maladies à déclaration obligatoire : Maladies déclaration obligatoire est un dispositif national de surveillance des maladies à déclaration obligatoire qui repose sur la transmission de données par les médecins et les biologistes. Cette base comporte les données d'environ 200 000 patients atteints d'une des 36 maladies à déclaration obligatoire.
La Banque Nationale des Maladies Rares (BNDMR) est un entrepôt de données de santé national rassemblant les données de plus d'1 million de patients atteints de 4 800 différentes maladies rares et suivis dans les centres experts français.
La base de données relative à la cohorte de patients infectés par le virus de l'hépatite B ou C (HEPATHER) est portée par l'Agence Nationale de Recherches sur le Sida et les hépatites virales (ANRS) et l'Institut national de la santé et de la recherche médicale (Inserm). Lancée en 2014, cette base rassemble les données d'une cohorte de plus de 20 000 patients atteints d'hépatite B ou C en France.
La base relative à la cohorte de patients atteints de la maladie d'Alzheimer (MEMENTO) du Centre Hospitalier Universitaire de Bordeaux rassemble les données de 2 300 individus ayant été suivis dans des centres de mémoire de ressources et de recherche français entre 2011 et 2019.
La base de données relative à l'étude sur l'épidémiologie et les conditions de vie liées au covid-19 (EpiCov) menée conjointement par l'Inserm et la Drees, avec 135 000 participants.
La base de données du programme Épidémio-Stratégie Médico-Économique relative au Cancer du Sein Métastatique d'Unicancer (ESMÉ CSM), géréé par Unicancer, est un entrepôt de données structurées issues des dossiers médicaux de patientes atteintes d'un cancer du sein métastatique prises en charge dans les 18 centres de lutte contre le cancer (CLCC), soit les données de plus de 26 000 patientes depuis 2008.
La base de données de dépistage du cancer du sein e-sis (e-sis) du Centre Régional de Coordination des Dépistages des Cancers en Occitanie (CRCDC-OC) rassemble les données cliniques et mammographies de 150 000 femmes ayant participé au dépistage organisé du cancer du sein du Gard et de la Lozère entre 2004 et 2019.
La base de données du registre relatif aux infarctus du myocarde (Registre e-MUST), gérée par l'ARS de l'Île-de-France, est un registre issu des prises en charge des patients par les SAMU et SMUR d'Île-de-France pour un infarctus du myocarde depuis 2014. Le registre contient les données de plus de 12 500 patients actuellement.
La base relative à l'Autorisation Temporaire d'Utilisation de cohorte pour le traitement des cancers bronchiques à petites cellules (ATUc CBPC) du laboratoire ROCHE SAS rassemble les données de plus de 1 400 patients ayant bénéficié de l'Autorisation Temporaire d'Utilisation de cohorte en France de l'anticorps monoclonal atezolizumab pour le traitement des cancers bronchiques à petites cellules, autorisation délivrée par l'Agence Nationale du Médicament (ANSM) en avril 2019.
Source : Health Data Hub
· Le catalogue, encore récent, ne semble pas avoir rencontré à ce stade la satisfaction des acteurs, l'Inserm estimant ainsi que sa « constitution ne suit pas une logique pour l'instant très lisible », le tout formant « pour l'instant un ensemble assez limité, assez hétéroclite, et concernant parfois des bases accueillant un très petit nombre de patients »88(*).
L'institut constatait ainsi que les bases diverses couvrent généralement une fraction limitée de la population vivant en France (typiquement, entre 100 et 100 000 sujets chacune), offrant une pertinence limitée pour l'appariement avec d'autres études du fait de la couverture réduite. En outre, l'Inserm soulignait qu'être hors catalogue ne signifie pas pour une base être indisponible pour des appariements.
Pour le Pr Delphine Maucort-Boulch, des Hospices civils de Lyon, « à un niveau pourvoyeur de données de vie réelle, la plus-value du HDH en complément du SNDS n'est pas objectivée »89(*).
C'est également le constat fait par le laboratoire Sanofi, pour qui « Le catalogue actuel du HdH (en construction) ne répond pas à ce jour aux besoins de Sanofi car les données/ bases disponibles (en dehors des bases du SNDS historique) sont trop spécifiques (petite cohorte, monothématique, ...). » Aussi, à ce jour, « pour pallier les délais d'accès aux données, Sanofi commande une part majoritaire de ses études sur des sources de données européenne ou extra européenne dont les délais d'accès lui permettent la production de résultats à destination des autorités ou de la communauté scientifique dans des délais. »90(*)
· Un nouvel arrêté relatif au catalogue est prévu pour le deuxième trimestre 2024.
Source : Health Data Hub
4. Un acteur à recentrer sur son rôle fédérateur et sa mission première d'alimentation de la base principale
Le rôle de la plateforme apparaît globalement salué par les acteurs, la FHF estimant ainsi que celle-ci a « permis de mettre en avant l'importance de la réutilisation des données de santé pour la recherche et l'innovation auprès des autorités publiques et de l'ensemble de l'écosystème » et y voyant un « catalyseur », avec des parties prenantes « engagées dans des projets structurants basés sur l'exploitation de données de santé, mettant en place une gouvernance des données, définissant les bonnes pratiques et instaurant un cadre réglementaire ».
· Le positionnement de la plateforme dans l'écosystème doit être assumé comme fédérateur plus que centralisateur.
La FHF estime cependant que les établissements « attendent davantage du HDH de porter un rôle de coordination des acteurs autour de dispositifs décentralisés, pour soutenir la constitution des EDS, l'écosystème des données de santé étant en train de se fédérer sur le plan national ». À ce titre, la direction générale de l'offre de soins a également insisté, concernant la construction de la plateforme, sur l'antériorité de certains entrepôts constitués par des établissements de santé. La consolidation du HDH et de son rôle central ne doit pas être perçue comme une mainmise sur les initiatives des établissements ou une dépossession des compétences.
C'est en partie la logique retenue également par Amaury Martin, de l'Institut Curie, qui estime ainsi que « le HDH doit impérativement poursuivre la dynamique en place avec le financement d'EDS sur le territoire ». Loin du mythe d'une plateforme centralisatrice et lieu de stockage unique des données de santé du pays, le chercheur défend un « modèle fédéré où la donnée reste là où elle se trouve (les EDS) avec un rôle du HDH [qui] est d'avoir une cartographie complète des données et d'organiser des standards ».
La plateforme doit pouvoir conforter son rôle d'acteur central et non centralisateur. Elle est aujourd'hui identifiée comme un organisme de référence et, si une méfiance semble parfois demeurer, les attentes à son égard sont grandes en matière de coordination et d'appui technique.
· La plateforme doit avant tout concentrer son action sur la valorisation de la base principale et la constitution d'un catalogue cohérent.
Pour l'Inserm, le HDH doit aujourd'hui recentrer « son énergie sur les activités à haute valeur ajoutée pour tous les acteurs de la santé, à savoir l'enrichissement de la base principale ».
Il apparaît indispensable, difficultés techniques liées à l'hébergement mises à part, que la plateforme soit bien en mesure d'assumer sa mission principale de mise à disposition des données et de valorisation du système national et, en premier lieu, de sa base historique. Au regard des lacunes identifiées par les acteurs dans la constitution du catalogue, l'accent doit également être mis, avec le comité stratégique, sur les bases les plus pertinentes. L'Inserm s'interrogeait sur la réorientation possible des priorités du HDH, en vue de constituer un catalogue privilégiant par exemple les bases « orphelines » ou « fragiles », ne pouvant être partagées par l'institution les ayant produites ou se concentrant sur un petit nombre de priorités de santé bien identifiées.
La priorité identifiée pour la plateforme est d'être en capacité d'améliorer les appariements et assurer des mises à jour rapides.
Recommandation n° 9 : Recentrer la mission du HDH sur la gestion et la mise en valeur de la base principale du SNDS et l'extension progressive du catalogue de données sur des thématiques ou jeux de données identifiés comme prioritaires et renforcer son positionnement comme point d'entrée et fédérateur de l'accès aux données de santé
* 76 Projet de loi n°1681 relatif à l'organisation et à la transformation du système de santé.
* 77 Sénat, étude de législation comparée LC 324, été 2023.
* 78 Arrêté du 29 novembre 2019 portant approbation d'un avenant à la convention constitutive du groupement d'intérêt public « Institut national des données de santé » portant création du groupement d'intérêt public « Plateforme des données de santé ».
* 79 Health Data Hub, Besoins en services cloud de la plateforme technologique, juin 2020.
* 80 CJUE, 16 juillet 2020, Data Protection Commissioner c/ Facebook Ireland Ltd, Maximillian Schrems, affaire C-311/18.
* 81 Conseil d'État, N° 444937, 13 octobre 2020.
* 82 Décret n° 2021-848 du 29 juin 2021.
* 83 Commission implementing decision of 10.7.2023 (C(2023) 4745 final) pursuant to Regulation (EU) 2016/679 of the European Parliament and of the Council on the adequate level of protection of personal data under the EU-US Data Privacy Framewor.
* 84 Audition du 6 juillet 2023, commission des affaires sociales du Sénat.
* 85 Réponses aux questions adressées au ministre Jean-Noël Barrot.
* 86 Direction interministérielle du numérique, service de la Première ministre placé sous l'autorité du ministre de la transformation et de l'action publiques.
* 87 Arrêté du 12 mai 2022 relatif aux données alimentant la base principale et aux bases de données du catalogue du système national des données de santé.
* 88 Réponses au questionnaire.
* 89 Ibid.
* 90 Ibid.