La fièvre des données de santé

Sommaire du dossier :

•  La fièvre des données de santé 
• Marguerite Brac de la Perrière : "les utilisateurs doivent rester maîtres de leurs données"
• ​Hervé Streiff : "attention à la confusion entre notions d'hébergement et d'archivage" 
• Les groupements hospitaliers de territoire, "une vraie révolution !" 
• Déploiement du dossier patient informatisé : les Hôpitaux universitaires de Strasbourg montrent l'exemple

En France, le Système national des données de santé offre un cadre et l’hébergement des données de santé est régulé. Du côté des établissements, les Groupements hospitaliers de territoire sont en mouvement. La mutualisation de leurs systèmes d’information touche bien sûr les données des patients. Pas question qu’il y ait une hémorragie.

D'un côté Apple, Google et IBM. De l'autre Gliimpse, Novartis et les pharmacies CVS. Les trois premiers sont des mastodontes bien connus de l'économie numérique. Les trois autres évoluent dans le domaine de la santé. Leur rencontre était inévitable !

Apple a racheté la plateforme de collecte de données de santé Gliimpse en 2016, Google a noué un partenariat avec le groupe pharmaceutique suisse Novartis, et IBM s'est associé avec le réseau de pharmacies CVS qui compte plus de 7 000 points de vente aux États-Unis. Ces trois rapprochements, parmi tant d'autres, illustrent la vitalité du couple santé-numérique.

Selon une étude réalisée par l'incubateur StartHealth, le nombre de start-up de l'e-santé s'élevait en 2016 à plus de 7 500 dans le monde. Et les investisseurs n'hésitent pas à miser sur les jeunes pousses : la filière de la santé digitale a reçu un peu plus de 8 milliards d'euros d'investissements l'an dernier. Un chiffre proche de ce qu'il était déjà en 2014 et en 2015.

De tels chiffres s'expliquent aisément. Jamais l'homme n'avait produit autant de données à caractère médical. Autrefois gérées par les médecins et les hôpitaux qui avaient la main sur la santé de leurs patients, ces données sont aujourd'hui générées par un nombre croissant d'utilisateurs. 24 % des Français ont déjà utilisé une application de suivi de l'actualité physique d'après le baromètre santé 2016 réalisé par Deloitte et Ifop.

Équipé de capteurs en tous genres (montres et bracelets connectés, balances communicantes...), Homo Numericus est en passe de devenir ce que l'universitaire Olivier Ertzscheid avait diagnostiqué dès 2009 : « Un document comme les autres, c'est-à-dire indexable, découpable, calculable, monétisable ». Et c'est certainement ce dernier terme qui met l'eau à la bouche des investisseurs.

Quand Google accède aux données de 1,6 million de patients britanniques

Au mois de mai 2016, la revue britannique New Scientist dévoilait les détails d'un accord confidentiel passé entre certains hôpitaux londoniens et Google. Selon ce document, la filiale de Google spécialisée dans l'intelligence artificielle DeepMind a eu accès aux données de santé de 1,6 million de patients britanniques.

Le programme de Google baptisé Patient Rescue​ est particulièrement dédié à la prévention des maladies du foie. Mais ses algorithmes ont pu accéder à l'intégralité des informations hébergées dans les bases de données du National Health System, le système de santé publique du Royaume-Uni. Pas seulement celles relatives aux pathologies du foie...

Les autorités sanitaires britanniques se veulent rassurantes : les données recueillies dans le cadre de l'accord entre les hôpitaux londoniens et Google sont hébergées sur le territoire britannique et chez un opérateur national. Et l'accord interdit à Google de les utiliser dans le cadre d'une autre activité que la prévention contre les pathologies. Mais personne n'oublie que DeepMind est à l'origine du programme AlphaGo qui a battu à plate couture les meilleurs joueurs du monde au jeu de Go...

Aux États-Unis, ce sont de banals vols de données qui ont défrayé la chronique. À Los Angeles, un centre médical a été visé l'an dernier par une cyberattaque assortie d'une demande de rançon de plus de 3 millions d'euros : le prix à payer pour récupérer les données hébergées sur le serveur de l'hôpital. Dans l'État du Maine, ce sont les données appartenant à plus d'un millier de personnes qui ont fait l'objet d'un chantage.

Naissance d'un Système national des données de santé

Et en France, où en est-on ? La loi du 26 janvier 2016 de modernisation du système de santé consacre son chapitre 5 aux données de santé. Avec un objectif : « Créer les conditions d'un accès ouvert aux données de santé ». Résultat : un Système national des données de santé (SNDS) est entré en vigueur le 1er avril 2017. « Unique en Europe, voire au monde, le SNDS constitue une avancée considérable pour analyser et améliorer la santé de la population », estime-t-on au ministère de la Santé.

Il donnera progressivement accès à un très important corpus documentaire : données de l'assurance maladie (base Sniiram), données des hôpitaux (base PMSI), causes médicales des décès (base CepiDC de l'Inserm), données relatives au handicap, données en provenance des organismes complémentaires.

Afin de préserver la vie privée des personnes, toutes ces données sont « pseudonymisées » et ne comportent donc ni nom, ni prénom, ni adresse, ni numéro de sécurité sociale. Y accéder sera relativement facile : « Toute personne ou structure, publique ou privée, à but lucratif ou non lucratif, pourra accéder aux données du SNDS sur autorisation de la Cnil, en vue de réaliser une étude, une recherche ou une évaluation présentant un intérêt public », explique le ministère.

Mais ce cadre réglementaire ne s'applique pas aux données collectées par les applications grand public. On peut en effet imaginer qu'une mutuelle exploite les données recueillies par une montre connectée (pratique sportive, poids...) pour fixer le prix de ses prestations. Ces mêmes données pourraient également être utilisées afin d'identifier les populations à risque et de lancer des actions de sensibilisation.

À ce jour, il est donc difficile d'y voir clair dans le statut des données de santé. « On peut affirmer que beaucoup d’objets connectés actuellement sur le marché, s’ils génèrent des “données de santé”, ne déclenchent toutefois pas la mise en œuvre de toute la protection renforcée au regard de l’usage qui en est fait, explique-t-on à l'Agence française de la santé numérique ; en tout état de cause, une analyse au cas par cas s’impose ».