Entrepôt de données de santé : quels sont les acteurs à en avoir constitué ?

Le 22 novembre 2023, le consortium P4DP (Université Côte d’Azur, Université de Rouen Normandie, le CHU de Rouen, le Collège National des Généralistes Enseignants, le Heath Data Hub et Loamics) annonçait la création de Platform For Data in Primary care, le premier entrepôt national de données de santé de médecine de ville. Il prévoit de collecter plus de 5 millions de données prévisionnelles d’ici la fin 2025. 

Avec l’arrivée du numérique et de la big data dans le secteur de la santé, l’utilisation de données générées lors de soins médicaux offre de nouvelles perspectives pour la recherche clinique, le pilotage d’établissement ou encore la prise en charge des patients. En concentrant un volume important de données alimentées par de multiples sources, les entrepôts de données de santé permettent de répondre à des finalités multiples et démultiplient les possibilités d’exploitation. Ils sont définis par la Commission nationale de l’informatique et des libertés (Cnil) comme “des bases de données destinées à être utilisées notamment à des fins de recherches, d’études ou d’évaluation dans le domaine de la santé”. 

“Les entrepôts peuvent contenir plusieurs types de données tels que les dossiers médicaux, des données issues de projets de recherches et d’études dans le domaine de la santé, des antécédents médicaux, parfois des données open source comme le fichier des décès de l’Insee”, indique Marion Jabot, juriste au service Santé de la Cnil. Dans son rapport de novembre 2022 consacré aux entrepôts de données hospitaliers (EDSH), la Haute Autorité de Santé (HAS) fait remonter à 2008 les premiers travaux de mise en place, la dynamique s’accélérant à la fin des années 2010 jusqu’à l’instauration de l’autorisation réglementaire de la Cnil en 2017. 

Pour en créer un, les établissements et industriels de santé ou encore les instituts de recherche ont deux principales options : soit obtenir une autorisation de la Cnil, soit, depuis l’adoption d’un référentiel en 2021, si la constitution de l’entrepôt se fonde sur l’exercice d’une mission d’intérêt public, lui transmettre une simple déclaration de conformité. Il est possible de s’exonérer de ces formalités si le consentement de toutes les personnes concernées a été recueilli ou si l’entrepôt est nécessaire à des fins de médecine préventive, des diagnostics médicaux, de l’administration de soins ou de traitements, ou de la gestion de services de santé, et qu’il est mis en œuvre par un membre d’une profession de santé (voir méthodologie). 

Pour mieux connaître ces EDS et les acteurs qui les ont créés, mind Health a identifié sur le site Légifrance la liste de ceux qui ont fait l’objet d’une décision ou d’une délibération de la part de la Cnil, ainsi que ceux qui ont été créés dans le cadre du référentiel. Certains ont pu échapper à notre attention, en particulier lorsque leur création est le fruit d’une autorisation tacite de la part de la Cnil, qui ne tient pas de liste complète des EDS actifs (voir méthodologie). 

Nous avons ainsi recensé 84 EDS créés depuis janvier 2017, lorsque l’Assistance publique – Hôpitaux de Paris (AP-HP) a obtenu une première autorisation pour un entrepôt qui réunit les informations de 14 millions de patients. 41 d’entre eux ont été validés par la Cnil, 37 ont opté pour le référentiel. Nous avons également intégré à l’analyse trois entrepôts dont la création est antérieure à 2017 et trois dont le cadre est incertain.

Qui a obtenu une autorisation ?

Quarante entrepôts ont été créés par un établissement de santé (48 %), notamment de nombreux CHU ainsi que l’AP-HP, qui en a trois, l’APHM et les Hospices civils de Lyon, qui en ont deux chacun. Vingt-trois l’ont été par un industriel de santé (27 %) : Clinityx, qui en a quatre (et un pour lequel il est responsable de mise en oeuvre), IQVIA et OpenHealth Company, qui en ont trois, Rhisa, Résilience ou encore Babyprogress. Dans le cadre du consortium Agoria Santé, AstraZeneca, Impact Healthcare et Docaposte ont obtenu une autorisation en mai 2022. Nous avons également identifié sept entrepôts appartenant à un institut de recherche (8 %), dont l’INSERM qui en a deux et l’INCA.

De façon plus surprenante, une quinzaine sont nés au sein d’une société qui n’appartient pas au monde de la santé, en optant systématiquement pour la voie du référentiel. mind Health a ainsi relevé la présence d’une société spécialisée dans la communication, Déco Fête Concept, et d’un paysagiste, Capsel Paysage. La déclaration de conformité au référentiel est en effet une démarche purement déclarative, réalisée par le responsable de traitement, sans regard de la Cnil. Pourtant, Marion Jabot rappelle que “le référentiel s’adresse principalement aux centres hospitaliers souhaitant constituer un entrepôt”.

Toutes les demandes faites auprès de la Cnil n’ont pas trouvé une issue favorable, puisque 11 sur 52 ont été refusées. Le CHU de Saint-Etienne a par exemple vu son projet repoussé à deux reprises, en juillet 2021 puis en janvier 2022. L’AP-HP a également vu son souhait de recenser des données clinico-biologiques pour mener une étude sur les traitements aux leucémies pédiatriques être rejeté par la Cnil le 6 mai 2021. “Plusieurs motifs peuvent justifier un refus, par exemple, s’il nous manque des informations et que le responsable de traitement ne répond pas à nos sollicitations, si les mesures de sécurité ne nous semblent pas suffisantes (comme sur le chiffrement, de bulles sécurisées ou de cloisonnement des données) et que le responsable de traitement ne se met pas en conformité dans les délais d’instruction prévus par la loi”, explique Marion Jabot. La Cnil organise une réunion de pré-saisine pour répondre aux questions des responsables de traitement et les accompagner pour mettre en conformité leurs projets. “Si au moment du dépôt le dossier présente encore des non-conformités, nous les accompagnons autant que possible, dans le respect des délais légaux (deux mois, prolongeable une fois)”, déclare Marion Jabot. La juriste ajoute : “lors de l’instruction, nous avons une vigilance particulière sur les données sensibles (par exemple vie et orientation sexuelle, origine ethnique, données génétiques), dans quel cadre ces données sont collectées et les finalités pour lesquelles elles vont être utilisées”.  Pour Julien Guérin, directeur des données de l’Institut Curie, il est indispensable de “constituer une équipe pluridisciplinaire (direction des systèmes d’information, direction juridique, le responsable de la sécurité des systèmes d’informations, le DPO ainsi que les équipes utilisatrices de l’EDS)” pour présenter une demande pertinente. 

Certains projets d’entrepôts sont également abandonnés, même après avoir reçu une autorisation de la Cnil. C’est le cas de celui de PRIeSM, l’association fédérant les acteurs de la e-santé dans le Grand Est, via sa plateforme Inesia. Autorisé en mai 2020, il devait contribuer à créer le premier outil de modélisation épidémiologique prédictive de la Covid-19 du Grand Est, et n’a finalement pas été poursuivi. Les Hôpitaux universitaires de Strasbourg, qui faisaient partie de ses membres fondateurs, ont cependant tiré partie de ces premiers travaux, puisque le CHU de Strasbourg a par la suite constitué son propre entrepôt et déposé une demande d’autorisation auprès de la Cnil. La décision devrait être connue début 2024. Certains entrepôts ont également vocation à disparaître en étant absorbés par d’autres. L’AP-HP a ainsi indiqué à mind Health que les données de celui de l’Hôpital européen Georges Pompidou (HEGP) sont en cours d’intégration dans son EDS. Ce dernier a un périmètre beaucoup plus large car il couvre l’ensemble des 38 sites hospitaliers de l’AP-HP. L’entrepôt HEGP disparaîtra, lui, d’ici 2024. À noter que les entrepôts sont autorisés par la Cnil pour une durée de dix ans, “au terme de cette période il est cependant possible de demander un renouvellement”, précise Marion Jabot.

Une politique volontariste pour développer les EDS

Après un démarrage discret en 2017 et 2018 – il n’y avait encore que huit entrepôts fin 2018 -, on constate une accélération en 2020 et 2021 – ils étaient 34 en décembre de cette année-là – puis surtout en 2022, avec en particulier 23 EDS créés en 12 mois via le référentiel, né en octobre de l’année précédente. Avec la création de ce dernier, l’objectif de la Cnil était de simplifier la procédure pour les responsables de traitement, une stratégie qui semble porter ses fruits. Pour faciliter encore les démarches, elle propose depuis septembre 2022 une checklist qui leur permet de vérifier la conformité de leur projet au référentiel.

Si le référentiel permet de démocratiser la constitution d’EDS, il n’est pas adapté à tous les projets, comme le confie à mind Health Caroline Dunoyer, responsable technique de l’entrepôt du CHU de Montpellier. L’établissement de santé a un temps envisagé d’emprunter cette voie, mais la question de la durée de conservation des données dans ce cadre – 20 ans à compter de la date de la collecte – lui a fait préférer le dépôt d’une demande d’autorisation à la Cnil. “Dans certains cas, une durée plus longue peut être autorisée, par exemple pour permettre la réalisation de recherches sur des pathologies rares”, souligne Marion Jabot.

Pour développer le réseau des EDS hospitaliers (EDSH), les pouvoirs publics ont lancé en 2022 un appel à projets dédié. Initialement doté de 50 millions d’euros, son enveloppe totale a finalement été portée à 75 millions d’euros en mars 2023. Les six premiers lauréats ont été annoncés en avril : 

• ACCES, de l’AP-HP (consolidation de son entrepôt de données de santé pour la réalisation de projets de recherche et d’innovation)
• eDOL, du CHU de Montpellier (développement de son entrepôt de données de santé en utilisant le format interopérable OMOP)
• EDEN4HEALTH, porté par le GCS Grand Est (développement d’une plateforme d’accessibilité et d’intelligence en données de santé incluant sept établissements de la région : CHU Besançon, CHU Dijon, CHR Metz-Thionville, CHRU Nancy, CHU Reims et CHU Strasbourg)
• ODH 2.0, porté par le GCS HUGO et l’ODH (intégration de nouveaux types de flux de données)
• EDS NOVA, porté par le GCS NOVA (déploiement et mise à niveau des entrepôts de données des CHU Bordeaux, CHU Limoges et CHU Poitiers)
• ONCODS, d’UNICANCER (conception d’un entrepôt dédié au partage de données s’appuyant sur la mise en réseau de 12 entrepôts locaux des centres de lutte contre le cancer et la constitution d’une infrastructure centrale).

Chaque projet lauréat porte a minima trois projets de recherche et d’innovation. Ils bénéficient d’un montant d’aide global de près de 40 millions d’euros sur 40 mois. Une nouvelle vague de lauréats doit être annoncée prochainement. Le groupe de travail “Financement” du Comité stratégique des données de santé juge cependant que cet appel à projet ne sera pas suffisant pour le développement des EDSH. En avril 2023, il proposait de mettre en place dès cette année une dotation annuelle de 60 à 90 millions d’euros afin d’en financer 30 (un par CHU) sur l’ensemble du territoire. 

La volonté affichée est d’encourager le regroupement d’établissements pour constituer des entrepôts. Le Groupement de Coopération Sanitaire (GCS) HUGO a été précurseur en la matière, puisqu’il regroupe les six entrepôts construits par les CHU de Angers, Brest, Nantes, Rennes, Tours et l’Institut de Cancérologie du Grand Ouest. Chacun d’entre eux repose sur la plateforme eHOP codéveloppée par le CHU de Rennes et la société Enovacom. En décembre 2020, le GCS a lancé la plateforme Ouest Data Hub (ODH)  pour regrouper les données anonymisées de ses six établissements membres et démultiplier les possibilités en matière de recherche. La version 2.0 d’ODH, lauréate de l’AAP, permet d’élargir encore le réseau avec l’ajout de quatre centres hospitaliers (le CHD Vendée, le CHR Orléans, le CH Le Mans, le Groupe Hospitalier Bretagne Sud à Lorient).

Le projet Nova, également lauréat de l’AAP, a vocation à partager les données de trois entrepôts. Pour Vianney Jouhet, docteur en santé publique et chargé de la mise en œuvre de celui du CHU de Bordeaux, ce regroupement présente plusieurs intérêts : “Dans le cas des maladies rares, travailler sur les données de plusieurs établissements est extrêmement intéressant, car si beaucoup de patients sont touchés par une maladie rare, celle de chacun d’eux est très peu fréquente. C’est également un atout pour répondre aux enjeux territoriaux. En rassemblant les données de trois CHU de la région, les chercheurs vont pouvoir produire des connaissances et mieux couvrir la population de ce territoire. Ce n’est pas tant une question de volumes de données que de représentativité. Sur ce point, il est également intéressant de fédérer les données des CHU avec celles des centres hospitaliers et de la médecine de ville”.

Le défi de la pérennisation 

Dans son rapport de novembre 2022, la HAS expliquait le nombre limité d’EDS hospitaliers par leur coût. Alors que l’Institut Curie attend la confirmation de la Cnil pour une demande  d’entrepôt présentée en juin 2023, son directeur des données Julien Guérin confirme à mind Health le budget conséquent que peut représenter sa mise en œuvre : “Il dépend de l’infrastructure initiale mise en place, notamment les éléments de sécurité, et surtout du périmètre de données intégrées. Un EDS qui comprendrait des données génomiques pourrait être beaucoup plus coûteux en termes de stockage. Mais il faut également prévoir les ressources nécessaires à son bon fonctionnement. On estime que le coût de maintenance peut atteindre entre 800 000 et un million d’euros par an.” Florence Favrel-Feuillade, directrice générale du CHU de Brest,  indiquait en septembre 2022 lors d’une rencontre organisée par le Health Data Hub à PariSanté Campus, que le coût de constitution d’un EDS pour un établissement moyen représentait une fourchette allant de 800 000 à 1,2 million d’euros. Les ressources humaines sont également un point à ne pas négliger. Dans un article publié en septembre 2023 sur le site du Health Data Hub, Linda Thieulon, déléguée à la protection des données adjointe à l’AP-HP, indiquait que le développement de son EDS autorisé en janvier 2017 “nécessite au quotidien l’implication de plus de 100 personnes”. Dans son rapport la HAS, notait que les équipes des entrepôts atteignent une médiane de 7,5 équivalents temps plein. Si l’AAP permet à certains établissements de constituer des entrepôts, il ne répond pas à la problématique de leurs coûts de fonctionnement. Pour être maintenus, ils nécessitent souvent des subsides dédiés car les difficultés rencontrées pour valoriser financièrement les données complexifient l’autofinancement. La pérennisation des EDS n’est donc pas garantie tant qu’un modèle économique n’aura pas été élaboré.