La loi Santé de 2016, portée par Marisol Touraine, a mis en oeuvre le Système national des données de santé (SNDS) et l’a ouvert aux structures privées sous certaines conditions. Que le demandeur soit public ou privé, le projet d’étude doit présenter un intérêt public et être soumis à l’Institut national des données de santé (INDS), guichet unique des demandes d’accès au SNDS. L’INDS fournit un avis à la Commission nationale de l’informatique et des libertés (Cnil) sur la cohérence entre la finalité de l’étude proposée, la méthodologie présentée et le périmètre des données auxquelles un accès est demandé puis la Cnil autorise ou non l’étude en question. Mais si le demandeur est un laboratoire pharmaceutique ou un assureur en santé, il doit également démontrer que les modalités techniques d’accès au SNDS rendent impossibles l’utilisation des données pour deux finalités absolument interdites : la promotion de produits et l’exclusion de garanties des contrats d’assurance ou la modification de cotisations ou de primes d’assurance d’un individu ou d’un groupe d’individus présentant un même risque. Sinon, il a le choix de passer par un bureau d’études qui, seul, pourra accéder aux données et s’engagera à respecter des critères de confidentialité, d’expertise et d’indépendance.
Tiers de confiance
Depuis juillet 2017, et l’arrêté qui détermine les conditions pour devenir bureau d’études, ils sont ainsi 49 avoir été habilités par la Cnil. 31 se sont lancés dès la première année, depuis l’entreprise individuelle jusqu’au mastodonte de la donnée, IQVIA, et au moins deux ont été radiées du Registre du commerce et des sociétés (RCS). La majorité de ces bureaux d’études travaillent pour le compte d’industriels ou d’établissements hospitaliers quand ils ne sont qu’une poignée à collaborer avec des complémentaires. Parmi ces derniers, mind Health a interrogé Clinityx, Kanopymed, OpusLine, Public Health Expertise (PHE) et Carte Blanche Partenaires, dernier habilité en date (il ne figure pas encore dans le listing de la Cnil). Comme l’exige la loi, tous se sont engagés à répondre aux conditions de sécurité imposées par le SNDS, à empêcher la réidentification des personnes auxquelles les données se rapportent – pour ce faire, un seuil minimal de patients concernés par critère, comme l’aire géographique par exemple, est notamment exigé – et à se doter de compétences en matière de recherche, de statistiques et de traitement de données.