Le Health Data Hub : accélération de la prise de conscience pour une souveraineté numérique ?

Qu’est-ce que le Data Hub Santé, ou encore le Health Data Hub ? Quels en sont l’objectif et les modalités ?

Cette initiative, qui vient remplacer une plateforme préexistante (INDS, ou Institut national des données de santé), a dernièrement déchaîné les passions.

Retour sur ce dossier «brûlant».

L’initiative du Health Data Hub vient de la prise de conscience que les données, ou «data», sont le «pétrole» de l’industrie d’aujourd’hui et de demain. Il faut donc mettre en place des outils qui permettent à la France/l’Europe d’être en bonne place dans la compétition :

• de l’utilisation de nos données par le Big Data (analyse de masse),
• et de l’intelligence artificielle (IA).

Cette plateforme doit permettre l’accès facilité à ces données pour des projets de recherches, ou aux startups spécialisées, dans le but d’apporter les outils du futur pour la santé de demain.

Les principaux partenaires de cette plateforme sont :

• l’Assurance Maladie,
• le Service de Santé des Armées,
• la Délégation Générale des Entreprises (DGE),
• l’APHP (Assistance publique –Hôpitaux de Paris),
• l’INSERM (Institut national de la santé et de la recherche médicale)... et bien d’autres encore.

À mon sens, cela constitue une finalité plutôt louable et dont nous avons réellement besoin afin de ne pas laisser le champ libre aux acteurs américains notamment. Mais n’oublions pas non plus les acteurs chinois : ils ont eux aussi une bonne longueur d’avance, à l’exemple de Huawei qui prend des initiatives sur les infrastructures informationnelles dans le domaine médical et hospitalier par exemple.

Pour répondre à cette question, il faut remettre les choses dans leur contexte.

Ce projet, bien avancé fin 2019, a vu une accélération liée à la pandémie du COVID, celle-ci ayant entrainé une prise de conscience aigüe des problèmes criants de souveraineté.

Peu de temps après le démarrage de l’épidémie, le gouvernement a décidé l’accélération de la mise en ligne du Data Hub Santé, dans le but louable de lutter contre l’épidémie. Mais cette dynamique a vu un effet pervers : le choix initial de Microsoft Azure comme plateforme Cloud n’a pas été challengé ! Or, qui dit acteur américain dit soumission au Patriot Act et au Cloud Act, deux dispositifs permettant aux services gouvernementaux US d’accéder à ces données et de les copier sans même que la Drees (Direction de la Recherche, des Études, de l'Évaluation et des Statistiques) soit informée. Il semblerait même que le contrat avec Microsoft l’autorise…

De plus ce choix s’est fait hors du cadre des marchés publics, c’est-à-dire, sans appel d’offres. L’équipe projet accompagnée par une ESN (gold partner avec les 3 acteurs majeurs du Cloud Américain) a fait valoir que seul Microsoft avait la certification Hébergeur de Données de Santé (HAS), ce qui était une très grosse approximation pour ne pas dire un mensonge ! En effet, OVH Cloud disposait déjà d’un agrément pour l’hébergement des données de santé depuis 2006…

Ce choix d’une solution américaine entériné dans la précipitation, alors que nos politiques ne parlent que de souveraineté/souveraineté numérique, a provoqué un émoi et la création de plusieurs collectifs. Citons par exemple le collectif SantéNathon, comprenant le collectif Interhop qui s’engage pour le logiciel libre dans la Santé. Une autre initiative est la création du collectif des acteurs du numérique français #PlayFrance. Digital et leur appel du 9 avril pour alerter sur cette dérive.

L’ensemble de ces initiatives a provoqué le dépôt de plusieurs recours au Conseil d’État et auprès de la CNIL. La situation a peu évolué et le secrétaire d’État au numérique Cédric O dans un premier temps ne semblait pas vouloir prendre le taureau par les cornes, clamant que les acteurs nationaux ou européens n’étaient pas à la hauteur…

Un coup de tonnerre retentit fin juin, début juillet. La Cour de Justice de l’Union Européenne invalide le Privacy Shield qui régissait les échanges de données avec les US. La principale raison est l’incompatibilité des dispositions juridiques US au regard des règles de confidentialité des données privées comme entendu en Europe (RGPD).

De plus, dans un nouvel avis récent, la CNIL se montre extrêmement défavorable à l’hébergement de données de santé par Microsoft. Cette décision n’est pas restreinte au Health Data Hub, mais remet en cause l’ensemble des systèmes de stockage de Données de Santé au sein du système sanitaire français.

Suite à ces annonces, le secrétaire d’État Cédric O change son fusil d’épaule, et se dit prêt à ce qu’il y ait ouverture d’un appel d’offres pour changer d’hébergeur…

Il faut rester vigilant, car si ces dernières semaines/mois les choses ont évolué plutôt dans le bon sens l’appel d’offres n’est pas encore initié.

C’est pourquoi, comme j’ai eu l’occasion de l’écrire dans un article précédent, nous pouvons individuellement demander instamment à ce que nos données ne soient pas transférées. Je donne même dans cet article un petit tutoriel pour mettre en œuvre cette opposition.

Nous ne pouvons que constater, qu’à titre individuel, nous ne saisissons pas toujours la problématique de l’utilisation de nos données et de la souveraineté du traitement de ces dernières. Cependant nous devons nous éveiller à cette prise de conscience, car nous ne pouvons pas compter sur nos décideurs qui, pour la plupart, ne comprennent pas les enjeux de la transformation digitale de notre société.

En ce qui concerne nos données de santé c’est un bien précieux dont la sécurité et la souveraineté sont clés. Mais il faut aussi ne pas perdre l’opportunité des riches découvertes que leur utilisation peut permettre.

Il nous faut donc arriver à tracer notre chemin sur cette ligne de crête, afin que nous puissions tous en tirer bénéfice, et ne pas laisser cette chance à nos adversaires économiques.

Article invité. Les contributeurs experts sont des auteurs indépendants de la rédaction d’Appvizer. Leurs propos et positions leur sont personnels.