« Le stockage [des] données personnelles dans des clouds détenus par des sociétés extra-européennes serait un risque de nature à compromettre la confiance des patients » et le Health Data Hub (HDH) pourrait fragiliser « l’expertise des centres hospitaliers sur leurs données ». Telles sont les craintes émises par Martin Hirsch, directeur de l’AP-HP, qui pointe du doigt la nouvelle plateforme de données de santé dans une note adressée au ministère des Solidarités et de la Santé, citée par Mediapart (article publié le 22 novembre 2019). Il défend dans ce document « l’expertise des CHU sur leurs données » ainsi qu’un « partage équitable et gagnant-gagnant des données ».
Officiellement lancé fin novembre 2019, le HDH vient remplacer l’ancien Institut national des donnés de santé (INDS), avec pour objet « de veiller à la qualité des données de santé et aux conditions générales de leur mise à disposition, garantissant leur sécurité et facilitant leur utilisation dans le respect de la protection des données personnelles sur l’ensemble du territoire » (arrêté du 29 novembre 2019).
Malgré les arguments du gouvernement pour tenter de rassurer acteurs de santé et citoyens, le projet éveillent des inquiétudes, en particulier du côté des établissements hospitaliers :
• sur la protection de ces données (cybersécurité) : la centralisation de ces dernières et la taille de la database sont préoccupantes pour certains, estimant que le fait d’avoir un point d’accès unique augmente les dommages en cas de cyberattaque ;
• ainsi qu’en matière de souveraineté, les géants de l’internet, GAFAM en tête, étant de plus en plus présents dans le secteur de la santé : certains acteurs notent qu’il existe un conflit juridique entre le RGPD et le Cloud Act américain, une loi fédérale américaine promulguée le 23 mars 2018 qui permet aux autorités de récupérer des données hébergées par des entreprises américaines, même à l’étranger.
Au centre des tensions figure l’implication de Microsoft, qui doit assurer par le biais de son cloud le service d’hébergement de données. L’équipe du hub explique ce choix en mettant en avant des raisons de praticité au niveau juridique et donc de rapidité. En novembre 2018, le groupe américain a en effet été certifiée « hébergeur de données de santé » ; ses concurrents français comme OVH ne l’étaient pas.
À noter que la Cnil doit rendre prochainement un avis sur le Health Data Hub.
RGPD (UE) vs Cloud Act (USA) : des lois jugées contradictoires par certains
« Le concept du Health Data Hub est bon (…) mais tant qu’on n’a pas de réponse sur le Cloud Act, je conseille de confier le stockage de ces données à des entreprises françaises ou européennes », commente le député LRM Pierre-Alain Raphan (source : Le Monde).
Selon l’élu, il existe un conflit entre le RGPD et le Cloud Act, cette loi américaine qui autorise la justice des États-Unis à récupérer des données hébergées par des entreprises américaines, même à l’étranger.
Une vision partagée par Martin Hirsch (AP-HP). « On ne saura jamais comment le Cloud Act s’applique et on va filer toutes les recherches en santé à cette plateforme (le Health Data Hub) », s’inquiète-t-il (Le Monde).
Stéphanie Combes (HDH) rappelle que les données seront « pseudonymisées » et chiffrées
Stéphanie Combes, cheffe de projet HDH (Drees), répond :
• en soulignant que « le critère opérant est l’intérêt public : il faudra que Google ou Amazon aient un projet qui vise l’intérêt public pour légitimer leur demande d’accès aux données », ajoutant que, quel que soit le cas, les chercheurs ne pourront pas extraire les données de la plateforme.
• en indiquant que les demandes émanant du Cloud Act ne pourront pas s’appliquer dans le cadre du hub français puisque les données seront « pseudonymisées » (le nom des patients n’est pas mentionné) et chiffrées (Le Monde). Or, le processus de déchiffrement n’est pas connu par Microsoft, retenu pour assurer le service d’hébergement de données, complète la responsable.
Une explication qui ne suffit pas à tous les contradicteurs, certains arguant qu’une anonymisation totale des informations est impossible et qu’un chiffrement peut être contourné.
Gérard Raymond, président de France Assos Santé et futur vice-président du hub, a conscience qu’il faudra faire preuve de vigilance. « Nous pensons que l’État va devoir aller plus loin dans les règles et les sanctions envers ceux qui ne respecteraient pas l’éthique, note-t-il (La Tribune). Notre engagement associatif consistera à ce qu’on ait ces moyens pour faire respecter la loi. »
Microsoft se défend
À propos du Cloud Act, Microsoft affirme au Monde n’avoir reçu, au cours du dernier semestre, « qu’une seule demande de données liées à une entreprise – et pas en France », complétant que la « certification hébergeur de données de santé – qui impose notamment des serveurs en France – répond à la problématique de souveraineté ».
Un hébergement potentiellement transférable à un autre acteur, comme OVH (français)
De son côté, le gouvernement explique que l’hébergement des données ne sera pas forcément indéfiniment confié à Microsoft puisqu’il peut être transféré à une autre société spécialiste du cloud. OVH, par exemple, indique être actuellement en discussion avec le hub pour participer à la phase 2 du projet, pour laquelle un appel d’offres (AO) sur le cloud souverain sera lancé. Le calendrier de cet AO n’est cependant pas encore connu.
Cybersécurité : la centralisation d’un nombre conséquent sensibles inquiète
Pas de « failles majeures » relevées par l’Anssi, qui émet néanmoins des « conseils d’amélioration »
À noter que des « conseils d’amélioration » ont été suggérés au Health Data Hub à l’issue d’un audit mené par l’Agence nationale de sécurité des systèmes d’information (Anssi) mais qu’il n’y a pas eu de « failles majeures » révélées, rapporte Stéphanie Combes.
Cette dernière note par ailleurs, en réponse aux critiques relatives aux questions de cybersécurité, que le niveau de sécurité n’est pas toujours suffisant dans les hôpitaux et les structures locales.
L’Asip Santé (future Agence du numérique en santé) a, à ce propos, recensé 693 incidents déclarés par les structures sanitaires depuis la mise en place du signalement obligatoire des incidents de cybersécurité dans le domaine de la santé en octobre 2017 (annonce du 2 décembre 2019). Lors de la réalisation d’audits de sécurité, l’Anssi indique retrouver des « traces » d’attaque dans tous les établissements de santé. Il ressort d’ailleurs d’une étude menée par Symantec (2016) que les établissements consacrent 6 % de leur budget informatique à la sécurité, contre 16 % dans l’industrie.
Des données avec un point d’accès unique
Les acteurs critiquant le hub rétorquent que les intrusions proviennent parfois d’employés et que le fait d’avoir un point d’accès unique aux données augmente les risques en la matière. « L’idée de centralisation et de facilitation d’accès de l’ensemble des données de santé à des acteurs privés, réalisée sur l’autel de l’intelligence artificielle, ne peut qu’alerter », complète La Quadrature du Net, association de défense des libertés numériques, citée par Le Monde.
Un droit d’opposition prévue dans le cadre du RGPD
Stéphanie Combes rappelle que, dans le cadre du RGPD, le citoyen pour exercer un « droit d’opposition », lui permettant de demander le retrait de ses données d’une base.
« En France, on a des données de très bonne « qualité ». Il faut les regrouper, les exploiter et les mettre à la disposition des chercheurs, tout en les protégeant soigneusement », commente le Pr Serge Uzan, vice-président de l’Ordre des médecins (source : La Tribune).
Des revenus qui pourraient être partagés avec les producteurs de données
L’un des autres sujets de tension autour du Health Data Hub est que les structures de santé, notamment les hôpitaux, vont devoir accepter de mettre à disposition leurs bases de données, pour lesquelles ils ont dû investir.
Comme compromis, Stéphanie Combes suggère de partager avec les producteurs de données (c’est-à-dire les structures de santé) les revenus générés par le HDH de par la facturation de services, dans le cadre de recherches menées par des sociétés privées.
