Un nouveau comité d’expertise pour aviser les demandes de traitements de données personnelles auprès du Health data hub

Un décret d’application de la loi Santé de 2019 et de la loi Informatique et libertés paru au Journal officiel le 15 mai 2020 remplace le CEREES, comité d’expertise pour les recherches, les études et les évaluations dans le domaine de la santé qui avise les demandes de recours aux données à caractère personnel avant l’instruction du dossier par la Commission nationale de l’informatique et des libertés (Cnil), par le CESREES, comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé. La procédure ne change pas pour les demandeurs : la Cnil reste compétente pour autoriser un traitement, prendra toujours appui sur les avis du comité et le CESREES aura pour mission, comme auparavant le CEREES, d’examiner le caractère scientifique des demandes et leur méthodologie. Mais une nouvelle mission s’y ajoute désormais : pouvoir “se prononcer sur le caractère d’intérêt public d’un traitement de données”, à la demande ou de sa propre initiative. Jusqu’ici, c’était l’objet du comité d’expertise sur l’intérêt public (CEIP), placé auprès de l’Institut national des données de santé (INDS). Ce dernier estime que “cette modification devrait permettre de simplifier la lisibilité des procédures pour les acteurs”. Il précise que le Health data hub “assurera le secrétariat du CESREES, garantissant une fluidité du suivi des dossiers qui paraît d’autant plus importante que le nombre de dossiers est voué à fortement augmenter”. 

Dans sa délibération, également publiée le 15 mai, la Cnil avait demandé à ce que le CESREES “se prononce systématiquement sur le caractère d’intérêt public, ou non, d’un projet de recherche”, s’interrogeant, “d’une part, sur les critères qui seront mis en œuvre par le CESREES afin de déclencher une autosaisine et, d’autre part, sur la cohérence du dispositif prévoyant que la commission peut saisir le CESREES alors même que le comité n’a pas jugé opportun de s’autosaisir lors de l’examen initial du dossier”.

De nouvelles compétences

Le CESREES comptera autant de membres, soit 21, mais plus diversifiés que ne l’étaient ceux du CEREES : des compétences éthiques et juridiques ainsi qu’en matière de traitements algorithmiques viennent ainsi s’ajouter aux compétences déjà prévues en matière de recherche dans les domaines de la santé, de l’épidémiologie, de la génétique, de la biostatistique et des sciences humaines et sociales et en matière de traitement des données à caractère personnel. Un arrêté nommera le président et les membres du comité pour une durée de cinq ans renouvelable une fois (dont un expert proposé par la Cnam, un par l’Inserm, un par le CNRS, un par l’Inria, un par le CCNE, un membre du Conseil d’État, deux représentants de France Assos Santé et une personne “représentant les acteurs privés du domaine de la santé”). À ce jour, Bernard Nordlinger, chef du service de chirurgie générale digestive et oncologie d’Ambroise-Paré (AP-HP), à Boulogne-Billancourt, préside le comité d’expertise. Il a co-dirigé, avec le député Cédric Villani, l’ouvrage “Santé et intelligence artificielle” paru aux éditions du CNRS.

“L’examen des enjeux éthiques” manque, selon la Cnil

La Cnil avait relevé que, “parmi les points relevant de la compétence du CESREES, ne figure pas explicitement l’examen des enjeux éthiques soulevés par le projet de recherche”. Elle avait donc proposé que le décret stipule que le comité se prononce, le cas échéant, sur ce point, “qui est distinct de l’intérêt public”, mais le décret ne le mentionne pas. Elle avait également suggéré, en vain, davantage de transparence : le décret prévoit que “le sens de l’avis rendu par le comité est publié par la Plateforme des données de santé. Pour les traitements autorisés par la commission, la motivation de l’avis du comité est publiée par la Plateforme des données de santé à la fin de la recherche, de l’étude ou de l’évaluation”. La Cnil avait, elle, recommandé que “l’ensemble des avis rendus par le CESREES soit publié, que la demande ait fait l’objet d’une décision expresse d’autorisation ou de refus de la commission” et sans attendre la fin de la recherche, “dans la mesure où tous les traitements à des fins de recherche, d’étude ou d’évaluation doivent présenter une finalité d’intérêt public”.