Manon de Fallois (Cnil) : “Les besoins d’accompagnement sont exponentiels”

Comment la Cnil accompagne aujourd’hui les entreprises du secteur de la santé ? 

Un certain nombre de ressources sur son site web afin d’aider les organismes à documenter leur conformité (fiches pratiques, MOOC, etc.). La partie “santé” du site web de la Cnil, qui est relativement riche, est d’ailleurs en cours de refonte. 

Par ailleurs, nous organisons depuis quelques années des webinaires, par exemple sur les points d’attention de la Cnil lors de l’instruction des demandes d’autorisation, les traitements de données du Système national des données de santé (SNDS) ou encore les nouveaux référentiels. À la fin du mois, nous allons animer un webinaire inédit avec le Centre d’accès sécurisé aux données pour présenter les circuits de traitement du numéro de sécurité sociale (NIR) à des fins d’appariement avec les données du SNDS et nous allons prochainement publier deux guides, l’un à destination des chercheurs, l’autre à destination des organismes souhaitant constituer un entrepôt de données de santé. 

Depuis 2020, la Cnil propose également des modalités d’accompagnement plus individualisées et innovantes (bac à sable, accompagnement renforcé) renouvelées chaque année en raison de leur succès. Le secteur de la santé étant novateur par nature, nous recevons chaque année des candidatures en lien avec l’écosystème des données de santé.

En pratique, nous constatons que les besoins d’accompagnement sont exponentiels et nous souhaitons y répondre. Dans certains cas, il peut être nécessaire de transversaliser cet accompagnement, raison pour laquelle nous organisons de plus en plus ce type d’événements en lien avec d’autres acteurs comme la Plateforme des données de santé (Health Data Hub).

Êtes-vous fortement sollicités ? 

Nous avons reçu 160 demandes de conseil liées à la  santé depuis le début de l’année. Certaines d’entre elles concernent le développement de systèmes d’intelligence artificielle (IA). Afin d’accompagner au mieux les organismes, nous travaillons très régulièrement en lien avec nos collègues du service de l’expertise technologique et du service de l’intelligence artificielle créé l’année dernière. 

Par ailleurs, nous avons reçu depuis 2020 une quarantaine de demandes d’autorisation concernant la mise en œuvre de projets de recherche impliquant le recours à des systèmes d’intelligence artificielle. Certains référentiels ayant été adoptés avant l’essor de l’IA, une vieille croyance persiste dans l’esprit de certains porteurs de projets selon laquelle l’IA et le respect des méthodologies de référence seraient antinomiques. Tel n’est pas le cas en pratique, la majorité des projets de recherche est réalisée dans ce cadre ; comme en témoigne le faible nombre de demandes d’autorisation déposées auprès de la Cnil et impliquant le recours à un système d’IA.

Vous avez lancé le 16 mai une consultation publique sur les référentiels de la Cnil, envisagez-vous de créer un référentiel dédié à l’IA ?

Dans le cadre de cette consultation, qui prendra fin le 12 juillet, nous avons effectivement posé deux questions sur le recours à l’IA : la première concerne l’identification des spécificités liées au développement d’un système d’IA qui nécessiteraient d’ajuster les référentiels de la Cnil et la seconde vise à connaître le besoin des acteurs de voir élaborer un référentiel dédié à l’IA. 

En effet, pour le moment, nous n’avons pas une parfaite visibilité sur tous les cas d’usage liés au développement de l’IA de telle sorte que nous n’avons pas connaissance des éventuelles difficultés rencontrées par les acteurs lorsqu’ils mettent en œuvre un projet de recherche avec de l’IA dans le cadre, par exemple, de la méthodologie de référence MR-004. 

Ce retour de l’écosystème sera très précieux pour ensuite mener des réflexions et alimenter nos référentiels. Par exemple, si une majorité des répondants nous indique qu’il est nécessaire de créer un référentiel ad hoc, nous organiserons un groupe de travail associant les organismes intéressés pour pouvoir identifier de façon plus spécifique leurs besoins, afin que le référentiel soit pragmatique et permette l’essor de l’intelligence artificielle dans le respect de la vie privée des personnes concernées. 

Enfin, les réponses apportées permettront à la Cnil de préciser davantage l’articulation entre le développement ainsi que le déploiement d’un système d’intelligence artificielle et les formalités préalables. Une fiche pratique sera d’ailleurs prochainement publiée sur ce sujet.

Vous participez au groupe de travail de  l’Agence de l’innovation en santé et l’infrastructure de recherche clinique F-CRIN, quelles sont aujourd’hui les premières avancées ? 

Dans le cadre de ce groupe de travail (cf.encadré) sont, notamment réunis des méthodologistes, des membres des autorités sanitaires, des chercheurs et des représentants des industries de santé pour réfléchir aux nouvelles approches méthodologiques complémentaires ou alternatives au gold standard (l’essai randomisé contrôlé), et en particulier sur leur performance et leur valeur ajoutée. Parmi les trois sous-groupes mis en place, l’un concerne la gestion des données, leur qualité et leurs usages.

Un premier rapport consacré à l’utilisation des données de vie réelle en recherche clinique est paru en mai dernier. Il intègre dix-huit recommandations regroupées en plusieurs axes. Outre l’amélioration des modalités d’information des patients, l’une d’entre elles me paraît particulièrement primordiale et très inspirée par les nouvelles modalités d’accompagnement de la Cnil, notamment dans le cadre de la phase pilote sur les essais décentralisés et dématérialisés. Elle vise à proposer un accompagnement personnalisé des porteurs de projet sélectionnés souhaitant mettre en œuvre ces essais innovants par les régulateurs. Outre la Cnil, la Commission nationale des recherches impliquant la personne humaine (CNRIPH), l’ANSM et la Plateforme des données de santé (HDH), pourraient être associés à cette cellule d’appui qui publierait au fil de l’eau des recommandations pratique utiles aux acteurs de l’écosystème. 

Quel peut être le principal apport de ces travaux ? 

À mon sens, ces travaux permettront notamment, d’une part, d’identifier les situations dans lesquelles les données à caractère personnel sont indispensables à la constitution des bras comparateurs ainsi que leur source (entrepôts de données de santé, données du SNDS…) et, d’autre part,  celles dans lesquelles le recours à des données de santé artificielles (générées par des algorithmes ou des processus automatisés, ndlr) ou synthétiques (issues de l’agrégation de données collectées ultérieurement, ndlr) est pertinent. Ces données ne pourront être considérées comme anonymes que si elles satisfont les principes posés dans les lignes directrices européennes relatives à l’anonymisation. Les possibilités d’anonymiser les données par randomisation vont sans aucune doute s’accroître avec l’essor de l’IA, remettant ainsi la déclinaison du principe de minimisation au centre des réflexions, dans une logique de protection des données par défaut dès la conception du projet de recherche.

Dans le cadre de l’utilisation secondaire des données de santé, ce questionnement va se systématiser davantage avec la mise en place du règlement sur l’espace européen des données de santé. Ce dernier prévoit, en effet, que c’est uniquement dans l’hypothèse où il est démontré que l’accès à des données anonymisées ne permettrait pas d’atteindre la finalité poursuivie par les porteurs de projet que ces derniers pourront solliciter l’accès à des données personnelles pseudonymisées.

Concernant les données de santé artificielles, vous avez participé au livre blanc dédié, coordonné par la professeure Stéphanie Allassonnière et le docteur Jean-Louis Fraysse, publié en avril 2024. Quelle perspectives ces données ouvrent-elles pour la recherche clinique ? 

Un premier jalon a été posé dans le cadre livre blanc décrivant notamment les potentialités offertes par les données artificielles. Elles pourraient par exemple permettre de faciliter le recrutement ainsi que la mise en place des études tout en accélérant la mise sur le marché de nouveaux traitements grâce à la réduction des coûts et de la durée des études induite. Ces potentialités devront être confirmées en France et en Europe grâce à de nouveaux cas d’usage.

Cet essor des données de santé artificielles ou synthétiques, qui va conduire à en multiplier les utilisations dans le domaine de santé, questionne toutefois la nécessité d’encadrer certains usages à travers une juste régulation. À l’instar des pratiques d’ores et déjà mises en œuvre par certains organismes ayant développé des outils fournissant des indicateurs agrégés calculés à partir de données du SNDS à leurs clients qui s’engagent à ne pas poursuivre de finalités interdites, les utilisateurs de données de santé artificielles ou synthétiques pourraient, par exemple, s’engager à ne pas poursuivre des finalités dénuées d’intérêt public.

En lien avec ce groupe de travail, l’AIS, l’Infrastructure F-CRIN et l’ARIIS organisent le 24 juin à Lille un événement dédié aux évolutions méthodologiques en recherche clinique au cours duquel doit être lancé un appel à manifestation d’intérêt. Quel est son objectif ? 

Cet appel à manifestation d’intérêt va initier une phase plus opérationnelle du groupe de travail (GT) afin de faciliter un déploiement sûr et efficace pour les patients de ces nouveaux designs d’essais cliniques tout en favorisant des interactions constantes entre les régulateurs et les promoteurs. 

Ces cas pilotes permettront de faire des preuves de concept afin de définir le niveau de preuve, les modalités d’usage et d’évaluation de ces nouveaux outils. Ils permettront d’enrichir les recommandations déjà publiées par le GT à l’aune d’exemples pratiques et de créer une émulation dans l’écosystème de la recherche en santé afin de favoriser l’innovation en santé. Davantage d’informations seront annoncées à ce sujet le 24 juin prochain. 

Vous avez annoncé le 3 juin que la phase pilote relative aux essais décentralisés et dématérialisés se prolongera finalement jusqu’au 30 septembre 2024, pour quelle raison ? 

L’objectif de cette phase pilote (qui devait initialement s’achever à la fin du mois de juin) est d’accompagner 20 projets comportant un ou des éléments décentralisés afin de répondre aux questions concrètes des promoteurs en amont de la soumission des projets aux autorités compétentes (ANSM, comités de protection des personnes, etc.). Ces travaux permettront d’aider à décliner en France les recommandations de la Commission européenne relatives aux essais décentralisés publiées en décembre 2022 à l’aune de cas d’usages, afin que ces recommandations soient les plus opérationnelles possibles. 

Nous avons reçu de nombreuses candidatures émanant d’industriels de santé et quelques demandes proviennent d’établissements de santé. La plupart concernent la mise en place de solutions de consentement électronique et le suivi des participants à leur domicile.

Nous avons fait le choix de prolonger cette phase pilote afin d’offrir aux promoteurs la possibilité de nous soumettre des cas d’usages plus diversifiés, dans l’objectif de couvrir un maximum de scénarios de décentralisation et de dématérialisation.  

Les recommandations seront-elles publiées à l’issue de la phase pilote ?

À l’issue de la phase pilote, nous allons dresser le bilan des cas d’usage soumis par les promoteurs. Des recommandations françaises seront ensuite publiées, consolidant à la fois les travaux menés par la CNRIPH et les retours d’expérience apportés par les promoteurs. 

Bien que les composantes de décentralisation et de dématérialisation soient particulièrement larges (nouvelles modalités de recrutement des patients, pré-screening…), nous espérons pouvoir intégrer dans ces recommandations des réponses à la plupart des cas d’usage soumis par les promoteurs. Sur certains sujets, la rédaction prendra sans doute du temps.

S’agissant des spécificités liées aux traitements de données mis en œuvre au sein d’essais décentralisés et dématérialisés, la Cnil a publié, dans le cadre de sa concertation sur les référentiels “santé”, trois fiches recensant les bonnes pratiques sur le suivi à domicile, le contrôle qualité à distance et l’envoi d’une note d’information de façon dématérialisée. 

S’agissant des autres modalités de décentralisation et de dématérialisation, l’objectif est, bien sûr, de publier davantage de recommandations en lien avec les autres autorités de régulation lorsque suffisamment de cas d’usage nous auront été soumis.

Avez-vous déjà identifié des évolutions à envisager ? 

Cette phase pilote a d’ores et déjà permis d’identifier d’éventuels vides juridiques ou zones grises souvent liées, en pratique, aux dispositions du Code de la santé publique. En effet, la loi Jardé, encadrant les recherches impliquant la personne humaine, date de 2012 et, la dématérialisation et la décentralisation se sont accélérées avec la crise sanitaire du Covid-19. Il s’agit donc d’identifier les éventuels freins et de proposer, le cas échéant, des évolutions législatives et réglementaires afin de les lever, en lien avec les autres autorités de régulation et le ministère de la Santé.

Ces difficultés peuvent également être identifiées dans le cadre de l’instruction des demandes d’autorisation soumises à la Cnil. Nous avons ainsi pu constater que les dispositions du Code de la santé publique n’étaient pas forcément adaptées aux recherches impliquant la personne humaine hybrides composées d’un bras contrôle/témoin nécessitant uniquement de réutiliser des données déjà collectées dans le cadre de précédentes recherches ou dans le cadre du soin. En effet, le Code de la santé publique n’opère pas de distinction en fonction des différentes composantes constituant tout ou partie d’un bras de l’étude. Ainsi tous les participants sont soumis au même régime (consentement ou non opposition), qu’ils soient inclus dans le bras expérimental ou que leurs données soient uniquement réutilisées dans le cadre de la constitution du bras contrôle/témoin. Cela pouvait poser des difficultés pratiques pour la mise en œuvre de ces essais innovants, obligeant les promoteurs à scinder leur projet en deux afin que le bras contrôle ne soit pas soumis au régime juridique des recherches impliquant la personne humaine, de telle sorte que le comité de protection des personnes ne pouvait pas se prononcer sur la pertinence scientifique de l’intégralité de la recherche.

Cette problématique, qui constituait un frein à la mise en place d’essais innovants, a été à nouveau mise en exergue dans le cadre du groupe de travail de l’Agence de l’innovation en santé et du réseau FCRIN. C’est pour cette raison qu’un amendement a été déposé le 24 mai dans le cadre du projet de loi de simplification de la vie économique pour prévoir que lorsqu’un bras contrôle/témoin est uniquement constitué à partir de données déjà collectées dans le cadre de la prise en charge habituelle du patient ou d’une précédente étude, les personnes concernées seront uniquement informées conformément au RGPD et à la loi “Informatique et Libertés”.